El experto en seguridad Wolfgang Ettlinger ha descubierto una vulnerabilidad en la identificación austriaca, que permite al atacante suplantar la identidad de sus víctimas.

El ataque explota una vulnerabilidad en la vesión en línea de la aplicación escrita en Java para usar la identificación (Bürgerkartenumgebung o BKU) para autorizar transacciones bancarias o firmar documentos PDF con la firma válida de la víctima. La firma digital es legalmente equivalente a una firma en papel.

Para lograr esto, un atacante debe primero crear un sitio web que utilice la tarjeta para verificar, por ejemplo, la edad del visitante. Cuando las víctimas potenciales visitan el servicio e ingresan su PIN en la applet BKU con su tarjeta introducida en un lector, el atacante puede leer y guardar el PIN. Mientras la víctima continúa visitando el sitio, el atacante incrusta el applet nuevamente; esta vez de manera invisible. Esta instancia del applet puede ser controlada completamente por el atacante de manera remota, desde el click a botones hasta introducción del PIN previamente recolectado. Por lo tanto, el atacante puede proceder a introducir datos arbitrarios como si fuera la víctima. Para demostrar el ataque, Ettlinger ha publicado un video.

Ettlinger dice que los atacantes pueden recolectar PINs y controlar el applet mediante la API de Java LiveConnect, que da acceso a métodos de Java via JavaScript. Mientras el acceso directo a la tarjeta se realiza en un contexto con privilegios especiales que previenen la ejecución de JavaScript, la interfaz de usuario no ofrece este nivel de protección. El experto de seguridad dice que, aunque la vulnerabilidad en la applet BKU ya ha sido corregida, las versiones vulnerables que están actualmente funcionando siguen siendo un riesgo.

Se han descubierto, previamente, vulnerabilidades en la interacción entre la lectura de tarjetas y plugins de navegador en sistemas alemanes: un miembro del Partido Pirata ha logrado clonar el software aleman en JavaScript para obtener el PIN de la víctima. Luego utilizó el PIN para abrir un canal de comunicación con la tarjeta mediante un plugin de navegador.