Forskare utsätter säkerhetsfel i sociala säkerhetsnummer

Har du skrivit ditt födelsedatum och födelseort på något av dina sociala nätverk? Om så är fallet kan du ha lämnat tillräckligt med information för hackare att räkna ut ditt personnummer. Tja, i teorin, hur som helst. Forskare vid Carnegie Mellon University har framgångsrikt utarbetat ett sätt att gissa en persons socialförsäkringsnummer med hjälp av statistisk analys.

Carnegie Mellon-forskare Alessandro Acquisti och Ralph Gross säger att systemet för social trygghet kombinerat med den utbredda användningen av SSN som ett identifieringsnummer har skapade en "sårbarhetsarkitektur" och är en oväntad följd av tillgången till grundläggande personlig information och modern datakraft. Studien kommer att presenteras den 29 juli vid årets Black Hat-säkerhetskonferens i Las Vegas.

Acquisti och Gross bestämde att problemet ligger i hur sociala säkerhetsnummer konstrueras. Varje S.S.N. har tre delar: områdesnummer (AN); gruppnummer (GN); serienummer (SN). Alla tre komponenterna kan förutsägas baserat på den sannolika platsen för din bostad vid den tidpunkt då din S.S.N. ansökte om. Detta är möjligt eftersom sekvensen av AN och GN för varje stat är offentligt tillgänglig online, och SN-er tilldelas i följd.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Forskarna testade sin teori av att gissa SSN mot Social Security Administrations Death Master File. DMF är en offentligt tillgänglig databas som listar SSN: er av personer som har dött.

Medan framgångssatsen för att förutsäga SSNs var relativt låg kunde forskarna korrekt räkna siffror rikstäckande för människor födda före 1989, 0,08 procent av tiden i färre än hundra försök.

Det enklaste talet att förutspå var dock de som tilldelades i mindre stater och personer som föddes efter 1988. Anledningen är att från och med 1989 var socialförsäkringsnummer tilldelade enligt uppräkningen vid Födelseinitiativ, där personer fick sitt personnummer vid födseln. EAB ökade chansen att identifiera en S.S.N. dramatiskt sedan en persons födelseort och plats vid den tidpunkt då S.S.N ansökte om var garanterad att vara identisk. Dessutom minskar en mindre befolkningsbefolkning automatiskt antalet SSN: er som gör en korrekt gissning mer sannolik.

Ett slående resultat var att Carnegie Mellon-forskarna kunde identifiera en av 20 kompletta SSN i ​​mindre än tio försök för personer födda i Delaware 1996. Forskarna fann också att de kunde korrekt identifiera de fem första siffrorna i en SSN av någon i ett enda försök 44 procent av tiden för individer födda mellan 1989 och 2003.

Trots deras resultat varnade Acquisti och Gross att deras metod att skörda S.S.N.s bara kunde imiteras av sofistikerade hackare. I ett sådant scenario diskuterar forskarna hur brottslingar med rätt algoritm skulle gissa S.S.N.s för män födda i West Virigina 1991 och en hyrd botnet som innehöll minst 10 000 IP-adresser (zombie-datorer), kunde framgångsrikt erhålla S.S.N. av så många som 47 personer per minut. Omständigheterna skulle behöva vara ideala och köra enligt ett stort antal variabler som föreslagits av Acquisti och Gross, men forskningen föreslår storskalig identitetsskördning med bara två delar av grundläggande personuppgifter.

Lösningar

Illustration: Stuart Bradford Så vad är svaret nu då SSN fel har bevisats? Acquisti och Gross argumenterar för att traditionen att använda din S.S.N. som ett personligt identifieringsnummer för privata transaktioner som att öppna ett bankkonto eller anmäla sig till en mobilleverantör bör ersättas med ett säkrare identifieringssystem.

Med användning av S.S.N. Som ett medel för personlig identifiering är ett förfarande som Socialförsäkringsverket har varnat för i åratal. Men SSA-representanten Mark Lassiter berättade för New York Times att Carnegie Mellon Research inte är en orsak till alarm. Lassiter sa att det skulle vara en "dramatisk överdrift" för att föreslå forskarna att "hackat en kod" för att upptäcka S.S.N.s. Lassiter sa också att SSA kommer att tilldela siffror med ett randomiseringssystem som börjar nästa år.

Om du är orolig för att skydda din identitet online, kolla in PC Worlds "Guide för att skydda din onlineidentitet".

Anslut med Ian Paul på Twitter (@ianpaul).