身份信息在省际间传递可能存在漏洞的思考

今年年初，费了老劲才把西安市的户口转到了成都，期间专门跑了两趟才办成事。因为当时办完户口后时间比较紧张了，于是就没有来得及更新身份证。后来因为忙别的事情，而原理的身份证也一直用的好好的，所以也就一直拖着没有及时更新。有一天，单位给我一份表格要申报一个什么人才认证，需要身份证上的信息须是成都市户籍，否则要求出具户籍证明（让单位的同事打听了说是直接用户口本不得行），时间比较急（这种行政部门的要求，打交道多了的人都能有体会）。好了，只能被迫跑一趟派出所了。说了这么多，基本上交代了事情的背景了。

去了派出所，报了身份证号要求出具户籍证明。派出所查询后当即表示：办不了户籍证明，因为系统里没有你的照片。“系统里没有我的照片”，“系统里没有我的照片”，“系统里没有我的照片”。（划重点，后面要考）

我当时就凌乱了，二代身份证我都办过两次了，身份证号码也换过一次，从来没有听说系统里没有我的照片这个事情。胳膊拧不过大腿的，何况我还是一条螳螂的胳膊，人是国家暴力机关的大腿。没办法，只能大腿的意思，花了20大洋重新照相办新的二代身份证了，具体过程就不再陈述了。

现在，需要来分析一下这中间是否可能存在BUG，有自己的身份被人在系统中替代的可能。当一个人拿着一张户口迁移凭证，办理户口迁移和新身份证的时候，在迁入省所在的系统里居然是没有照片（个人生物信息）的，所有的一切个人生物信息（包括指纹、照片）都是重新录入的。而重建信息的唯一的凭证就是那张户籍卡（或者户口薄）。

当前运行的身份验证系统（如机场、海关、铁路）主要是检查所持证件信息与个人生物信息是否一致。而发生省际间的户口迁移时，个人的档案信息（证件信息）与个人生物信息是分离的，在迁入省份的系统里居然会找不到对应身份证号码的个人生物信息，仅凭一张户籍迁移卡就可以在迁入省份的系统内新建一个证件信息（身份证号）一致的个人生物信息（包括指纹、照片）的链接。我之所以把这个新建的档案信息称之为“链接”，是因为身份证的本质就是通过“身份证号码”与某个特定自然人的个人信息档案发生关联的。为了验证某个自然人所持有的身份证或者身份证号码是否与其本人对应，当下最快捷的手段就是将“身份证号码”与其个人生物信息关联，也就是建立从“身份证号码”到“个人生物信息”的双向联系，也就是我之前所说的“链接”。

开脑洞1：如果有这么一个人办理了省际间的户口迁移，但是在迁入省份办理户籍、新身份证的不是其本人——那么，我想传说中的“身份顶替”或者“身份冒用”就发生了。最最可怕的是，在“身份被顶替者”或这“身份被冒用者”没有主动投诉报案的情况下，我想不出当前运行的身份验证系统，能用何种方法发现这个“身份顶替者”或“身份冒用者”？！因为，经过上述一番操作后，“身份顶替者”或“身份冒用者”已经拥有了一个新的合法的链接。即使在某些情况下可能出现一些“冲突”（不符合），但在当下，人脸识别技术几乎泛滥到了几乎令人发指的地步的环境下，由多少人会怀疑到发生“冲突”（不符合）的根源是在系统信息录入的时候就种下了呢。

身份信息在省际间传递可能存在漏洞的思考相关推荐

5G信令（就是用户身份信息）风暴——就是客户端通过公钥加密的消息（携带手机IMSI号）发给服务端，服务器需用私钥解密，这个解密比较消耗资源，如果短时间大量请求到来就会触发信令风暴...
信令:手机开机后,先从USIM中读取之前运营商分配的临时身份信息GUTI/TMSI,发送携带该身份信息的信令给基站,请求接入运营商网络. 如果每个设备的每条消息都需要单独认证,则网络侧安全信令的验证需 ...
自己身份信息泄漏了怎么办，别怕，带你了解身份管理与访问控制
一.前言在网络安全中,身份管理和访问控制(IAM)在对于访问对象的管理和信息传递的联系中起着至关重要的作用.身份管理与访问控制不仅要管理身份信息错误风险,还要保障在存储.处理乃至其他环节的机密性.完 ...
设计数据层组件并在层间传递数据
Angela Crocker.Andy Olsen 和 Edward Jezierski Microsoft Corporation 2002年8月适用于: Microsoft® .NET ...
WCF进阶:为每个操作附加身份信息
上文WCF进阶:将消息正文Base64编码中介绍了实现自定义MessageInspector来记录消息和实现自定义Formatter来改写消息,本文介绍一下在WCF中使用SoapHeader进行验证的 ...
Binder相关面试总结（五）：为什么Activity间传递对象需要序列化
前言我们都知道进行Android 开发的时候,跳转到Activity和Fragment的时候,传递对象是通过Intent或者bundle 进行传递.当这个对象没有实现序列化的时候当你通过Inetn ...
5G信令（就是用户身份信息）——手机开机后，先从USIM中读取之前运营商分配的临时身份信息GUTI/TMSI，发送携带该身份信息的信令给基站，请求接入运营商网络。...
5G时代,跟IMSI-CATCHER SAY GOODBYE from:https://unicorn.360.com/blog/2018/04/18/GoodBye_5G_IMSI-Catcher/ ...
总结C#中窗体间传递数据的几种方法
在编写C#windows应用程序的时候我们经常会遇到这种问题,怎么样在两个窗体间传递数据呢?以下是我整理的网上的各种方法,在遇到一个实际问题:在form1中打开一个form2窗口作为录入界面,将录入的 ...
SAML简介：安全地共享数字身份信息
http://baike.baidu.com/view/758527.htm http://netsecurity.51cto.com/art/200712/62057.htm SAML简介:安全地共 ...
Linux中进程间传递文件描述符的方法
在进行fork调用后,由于子进程会拷贝父进程的资源,所以父进程中打开的文件描述符在子进程中仍然保持着打开,我们很容易的就将父进程的描述符传递给了子进程.但是除了这种情况下,如果想将某个父进程在子进程创 ...

身份信息在省际间传递可能存在漏洞的思考

身份信息在省际间传递可能存在漏洞的思考相关推荐

最新文章

热门文章