加拿大魁北克疫苗护照应用的 QR 码安全性受到质疑

在安全研究人员和黑客表明加拿大魁北克省的移动验证系统存在许多安全问题后，一个疫苗护照iOS应用程序的缺陷被揭开。魁北克省发布了其VaxiCode应用程序，这是该省的COVID-19疫苗接种护照，旨在提供一种通过手机来证明一个人的疫苗接种状况的方法。在其发布后不久，整个系统的安全性已经受到质疑。

http://hackernews.cc/wp-content/uploads/2021/08/a39010371dfdac8-600x334.jpeg

一位被称为”路易斯”的计算机程序员成功地推翻了魁北克省数字转型部长Eric Caire的说法，即该系统生成的二维码”不能被伪造、修改或复制”。在加拿大广播公司CBC的报道中，该男子设法为一个不存在的人制作了一份假的疫苗接种证明。

在VaxiCode应用程序中存储该证明后，该证明能够骗过VaxiCode Verif配套应用程序，该应用程序旨在为企业验证文件。

“老实说，我对自己能够如此轻易地穿透系统感到惊讶，”这位程序员说。

安全问题并不仅仅局限于制造假证明。周四，据报道，一群黑客甚至能够获得总理Francois Legault、市长Valerie Plante、魁北克卫生部长Christian Dube的二维码，以及省内反对派的疫苗证明。

这些二维码包含一些信息，包括姓名、出生日期、接种日期和使用的疫苗类型。Caire淡化了这个问题，坚持认为该系统使用起来很安全。

该系统旨在尽可能简单，以鼓励采用，但Caire说该省可以使获得二维码的过程更加复杂，以提高安全性。

Caire还说，公民还必须出示带照片的身份证明，才能去需要疫苗接种护照的场所。”故事的核心是证明你的身份，”凯尔说。”我想说得很清楚，二维码没有被伪造，没有被修改，它仍然是安全的。”

魁北克省从9月1日起强制要求在一些活动中使用疫苗接种护照，包括坐在酒吧或餐馆里，去节日或健身房，以及其他有高传播风险的情况。

这些问题导致魁北克团结会发言人Gabriel Nadeau-Dubois向魁北克省长Legault发出一封信，称这种情况是”不可原谅的混乱”。信中要求总理解决这个漏洞，”否则，需要考虑暂停疫苗护照，直到找到一个长期的解决方案”。

（消息及封面来源：cnBeta）