SecTor 2025 | How a Mobile Drivers License App Became a Boarding Pass
三句話摘要
一位加拿大安全工程師分享將行動駕照（MDL）從試點到通過 ISO/SOC 2 認證並整合 TSA 的完整歷程，點出合規、技術與人際關係三者缺一不可。 行動駕照的成功不在於密碼學有多精巧，而在於與 DMV、審計師、TSA 建立的信任關係——技術只是門票，人際關係才是讓計畫真正落地的關鍵。 情境敏感揭露是 MDL 的核心價值：實體駕照會洩露地址、生日等多餘資訊，MDL 可只揭示驗證方需要的特定欄位，對弱勢群體尤其重要。
重點整理
重點- 1
情境敏感揭露是 MDL 的核心價值：實體駕照會洩露地址、生日等多餘資訊，MDL 可只揭示驗證方需要的特定欄位，對弱勢群體尤其重要。
- 2
試點階段暴露了隱私設計盲點：在 Linden 威脅建模中發現，若使用同一系統記錄「路邊攔停」與「年齡驗證」，執法人員可推斷持照者剛剛去過酒類商店，屬重大隱私侵害，需在技術設計層面切斷此關聯。
- 3
認證不只是負擔，而是建立競爭優勢的武器：取得 ISO、SOC 2 認證後，TSA 提出合規要求時只需出示現成報告，大幅縮短整合周期；認證過程本身也逼出內部流程改善，讓團隊真正變得更好。
- 4
安全工作最終靠關係，不靠技術：演講者反覆強調，自主身份項目失敗、TSA 整合成功，差別在於與 DMV 合作夥伴、審計師、ISO 委員會建立的信任關係，溝通停止就等於製造安全空缺。
實用技巧與重點
乾貨- 公司規模：加拿大鈔票公司（CBN），2200 人，業務涵蓋射頻、光學、密碼學、生物辨識、奈米技術
- 試點數據：5000 名公眾用戶，2017 年中結束，驗證場景含便利商店、LCBO（安大略酒類管制局）、啤酒廠、執法機構
- 架構決策：雙設備系統（持照者 + 驗證器）、一次性條碼、30 秒顯示時限、圖片形式呈現
- PIN 防暴力破解方法：借鑒 IKE 協議，用 PIN 加密公鑰再向伺服器驗證，暴力破解只得到一堆無效密鑰
- 防複製方法：Token 與最後一次 Challenge 做 XOR，複製到其他設備後因無最新 Challenge 而失效
- PWA 臉部辨識繞過工具：Clam Tracker（JavaScript 人臉追蹤庫）+ OBS 虛擬攝影機
- 繞過 FR 閾值測試結果：閾值設 0 時任何人均可匹配，提高至 27 可用面具通過，再提高至約 40+ 以上開始失效
- FR 測試團隊規模：約 20 人持續進行活體檢測測試
- 合規框架疊加順序：ISO 27001 → NIST 800-53 → SOC 2 → TSA 原始控制要求
- 記分卡核心問題：是否有攻擊發生？外部威脅狀況？與同業相比是否足夠？是否朝正確方向進步？
- 威脅建模建議：Adam Shostack 四問法（我們在做什麼？會出什麼錯？我們怎麼應對？我們做得好嗎？），分三階段各 2 小時完成
- SOC 2 技巧：使用泳道圖釐清五方事件響應流程；好的 SOC 2 報告應有例外情況，沒有例外可能代表審計深度不足
- 平板電腦丟失案例：運送 TSA 試點平板途中包裹流失，最終追蹤到堪薩斯城 Cargo Largo（失物轉售商）；建議高價值設備必須加裝地理定位器
結論
結論“行動駕照的成功不在於密碼學有多精巧，而在於與 DMV、審計師、TSA 建立的信任關係——技術只是門票，人際關係才是讓計畫真正落地的關鍵。”
完整解析
詳細這場演講的核心是一個真實的教訓：技術再精湛，若忽視人際關係與溝通，再好的產品也走不到終點。演講者任職於加拿大鈔票公司（CBN）安全團隊，負責推動行動駕照（MDL）從概念驗證到通過 TSA 合規認證的整個歷程。他以一句話點題：貫穿這一切的潛在主題，是安全專業人員在人際關係上投入的時間永遠不夠。
試點階段始於 2017 年，目的是縮小範圍、識別風險並獲得動能。系統以 PWA 形式推出，共有 5000 名公眾用戶，驗證場景涵蓋便利商店、酒類商店及執法機構。在威脅建模過程中，團隊透過 Linden 評估發現一個棘手的隱私問題：同一套系統若記錄了「路邊執法攔停」與「酒吧年齡驗證」，理論上可被用來推斷持照者的活動軌跡，這在政府主導的身份系統中是嚴重的隱私侵害。技術層面，團隊刻意不採用 OAuth，而是借鑒 IKE 協議自製驗證機制，讓每次 PIN 輸入都轉換為加密公鑰與伺服器交互，避免暴力破解；同時對 Token 做 XOR 防止跨設備複製。但為了防欺詐而採用的一次性條碼卻帶來嚴重可用性問題，加上速率限制設定過嚴，一度鎖定了支援系統，讓 DMV 合作夥伴相當不滿。
進入標準化階段後，整個環境已截然不同：國際標準 ISO/IEC 18013-5 正在成形、自主身份（SSI）成為市場主流要求、互操作性成為硬需求。原本單純的 QR Code 擷取 URL 架構，必須演化為支援藍牙、Wi-Fi Direct、NFC 的雙設備系統，並加入完整的 PKI 與屬性個別驗證機制。這階段演講者也展示了一個令人警覺的 PWA 安全弱點：使用 Clam Tracker 人臉追蹤 JavaScript 庫搭配 OBS 虛擬攝影機，可在 PWA 臉部辨識系統中偽造另一個人的臉部，在閾值 27 左右時成功率仍相當高——這說明 FR 並非絕對安全，閾值設定是可用性與安全性之間的持續拉鋸。
認證階段是整個旅程中管理負擔最重的部分。團隊需同時應對 ISO 27001、NIST 800-53 與 SOC 2，1500 個控制項起初全部推給一個叫 Jeff 的人負責，結果毫無進展。後來改用人員地圖（People Map）梳理各團隊職責，才打破僵局。演講者特別強調幾個反直覺的教訓：審計員是幫助者而非敵人；SOC 2 報告若毫無例外，反而代表審計深度不足；合規不是成績單，而是確保風險登記冊上的每項風險都有對應控制的工具。最終，ISO 打下基礎，NIST 853 提供映射，SOC 2 展示運營安全，三者疊加後一次性回應 TSA 所有合規要求，整合得以順利落地。
整場演講以一個有趣的花絮收尾：運送 TSA 試點平板電腦的安全快遞出了差錯，裝置最終現身於堪薩斯城一家失物轉售商——這意外地印證了演講者的另一個建議：高價值設備必須加裝地理定位追蹤，因為「安全運輸」並不如我們以為的那樣安全。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
