[...]
Die Bounty selbst klingt erstmal interessant. Beim genaueren Hinsehen versucht UBIC hier aber meiner Meinung ein falsch-positives Sicherheitsgefühl zu vermitteln. So in die Richtung "Seht her, wir hatten sogar eine Bounty ausgeschrieben, niemand hat eine Security-Problem gefunden". Auch die Dotierung mit 1,25 BTC klingt nicht schlecht, vergleicht man aber die Kosten, die ein Security-Test einer externen Firma kosten würde, wären die 1,25 BTC nur ein Tropfen auf den heißen Stein.
Wenn ich bei einer ordentlichen Pen-Test Firma anfrage ob sie sich mal meine Android & iOs App plus Backend plus Hashingfunktionen für die Datenverarbeitung von Ausweissdaten angucken wollen und ich würde dafür um die 10.000€ zahlen lachen die mich aus. Ich meine das wären vielleicht 4 Arbeitstage, die ich dafür bekomme, das reicht garantiert nicht für ein ordentliches Audit bei Daten dieser Senisibilität.
Das System basiert auf einem Konzept von Mike Hearn, und der ist ja nicht irgendjemand.
[...]
Mike Hearn ist in der Tat kein irgendjemand, aber es ist halt auch überhaupt nicht ersichtlich, dass er an dem Projekt in irgendeiner weise beteiligt ist.
[...]
Es ist davon auszugehen das der jeweilige Staat der den Reisepass ausgestellt hat die Adresse deanonymisieren kann.
Ein normaler Nutzer der Blockchain aber nicht.
[...]
Und du kannst beweisen, dass das ein normaler Nutzer nicht kann? Einfach mal behaupten ist einfach, aber noch mal wir reden hier über Passdaten, da bräuchte ich etwas mehr als die blose Behauptung.
[...]
Alternativ gibt es
IDENA, das gleiche Konzept mehr oder wenig aber ohne Reisepass sondern mit Captchas.
Und ohne Impressum.
Mike Hearn hat nicht an dem Projekt teil genommen. Der "proof-of-passport" ist aber seine Idee, er hat sich als erster damit beschäftigt und ist zu dem Ergebnis gekommen dass es möglich ist.
UBIC ist meiner Kenntnis nach die erste funktionierende Umsetzung davon (Es gibt auch
q.org deren Status ist aber unbekannt).
Konkret läuft das so ab:
- Die App fragt nach der Passnummer, Geburtsdatum und dem Reisepass Ablaufdatum
- Mit diesen Informationen kann die App auf den NFC Chip zugreifen
- Auf dem NFC Chip befinden sich mehrere Dateien, wie DG1 = Name, Geburtsdatum, Passnummer DG2 = Passfoto, SOD = PKCS7 Sicherheitszertifikat
- In der SOD Datei befindet sich ein Sicherheitszertifikat wo ein Document Signing Certificate den Hash von DG1 und DG2 signiert.
- Veröffentlich auf der UBIC blockchain wird dann ein Beweis der Kenntnis dieser Signatur und der dazugehörige signierte Hash.
Dieser ganze Verlauf wird im Source Code so umgesetzt. Wer Zweifel hat kann sich den Source Code durchlesen und dann die App, beziehungsweise die Node selber kompilieren. Wenn jemand etwas Sicherheitsrelevantes findet bekommt er ein angemessenen Bounty.
Ökonomisch funktioniert es analog zu dem Bitcoin wie mit dem one-cpu-one-vote Prinzip, Pro Landeswährung:
1 registrierter Pass = 100% des rewards
10 registrierter Pass = 10% des rewards
100 registrierter Pass = 1% des rewards
Usw.. Das ziel ist es ein großen Netzwerk Effekt zu generieren. Das hat
q.org schon gut erklärt.
.
