技術調查顯示，用於簽署符合 AAMVA 標準駕照條形碼的公開金鑰通常公開可取或容易還原。這意味著任何人無需發行單位的私鑰，即可驗證這些條形碼內資料的真實性。

此發現挑戰了條形碼簽署能提供強大不可抵賴性的假設，因為公開金鑰通常為人所知。這影響了銀行和航空等行業的身分驗證流程，受託方必須確保其驗證的是正確的發行單位。

文章指出，雖然簽署驗證了資料是由有效金鑰簽署的，但並不一定涵蓋卡上的照片。某些偽造品使用了來自其他卡片的簽署，顯示簽署過程可能並未將特定實體卡片的資料與金鑰進行密碼學綁定。

事件背景

大多數美國駕照使用符合 AAMVA DL/ID 卡片設計標準的 PDF417 條形碼。該標準要求對機器可讀資料進行數位簽署以防止篡改。AAMVA 還管理一個公開金鑰基礎設施（PKI），用於分發各州驗證這些簽署所需的公開金鑰。

社群觀察

社群成員討論公開金鑰洩露是缺陷還是特性，指出公開金鑰本質上就是公開的。一些專家指出，簽署通常不包含照片，因此帶有有效條形碼的假照片仍能通過驗證，而其他人則將其與生物特徵護照進行比較。