Mit Karte, bitte!

Elektronische Dokumente ID über Chip
Kommentare

Der dritte und letzte Teil dieses Artikels beschäftigt sich mit elektronischen Dokumenten. Schwerpunkt ist die Realisierung eines kompletten .NET-Projekts, mit dem das Auslesen und Verifizieren eines elektronischen Reisepasses, wie er beispielsweise seit 2005 von der Bundesrepublik Deutschland ausgegeben wird, möglich ist. Hierbei werden insbesondere die Aspekte einer sicheren Kommunikation zwischen dem in einem elektronischen Dokument integrierten, kontaktlosen Chip und einem adäquaten Lesegerät beleuchtet. Weiterhin werden Grundlagen der RFID-Technologie aufgezeigt.

Windows Developer

Der Artikel „ID über Chip“ von Helmut Stoiber ist erstmalig erschienen im Windows Developer 9.2012

Elektronische Dokumente liegen sowohl in den Formfaktoren „Plastikkarte mit kontaktlosem oder kontaktbehaftetem Interface sowie mit Dualinterface“ vor als auch als Booklets mit integriertem kontaktlosen RFID-Chip. Hierzu zählen so genannte ID-Karten, die für die Anmeldung an ein Computersystem oder -Netzwerk (Logical Access) sowie für die Authentisierung gegenüber elektronischen Zugangskontrollen (Physical Access) Verwendung finden. Weiterhin existieren hoheitliche Dokumente, wie digitale Personalausweise oder digitale Reisepässe. Während der deutsche elektronische Reisepass bereits im Jahre 2005 eigeführt wurde, wird der elektronische Personalausweis seit 2011 ausgegeben.

Vorteile elektronischer Dokumente

Mit Chip ausgestatte elektronische Dokumente erhöhen die Fälschungssicherheit gegenüber Dokumenten, die ausschließlich über optische Sicherheitsmerkmale verfügen, um ein Vielfaches. Hinzu kommt, dass die Verifikation optischer Merkmale, wie Hologramme oder andere durch Laser eingebrachte Security-Features, teilweise nicht mehr vollständig mit dem bloßen Auge verifiziert werden können, sodass teure optische Spezialleser eingesetzt werden müssen. Für die Verifikation der Echtheit eines in einem elektronischen Dokument integrierten Chips werden hingegen lediglich ein preisgünstiger Chip-Reader und eine geeignete Software benötigt, wie beispielsweise der in diesem Artikel realisierte ePass Reader.

RFID-Technologie

RFID steht für Radio Frequency Identification. Hierbei handelt es sich um ein kontaktloses Interface (Luftschnittstelle), über das ein so genannter „Transponder“ mit einem Erfassungsgerät (Terminal, Chipkartenleser) kommunizieren kann. Ein RFID-Transponder kann als sehr kleines Bauelement realisiert oder mit einem speziellen Druckverfahren hergestellt werden und direkt in den Kartenkörper integriert werden. Ein Transponder besteht in der Regel aus einer Antenne, einem Transceiver für das Senden und Empfangen von Daten sowie einem Mikrochip, der einen persistenten und fallweise einen wieder beschreibbaren Speicher aufweist. Optional ist ein kryptografischer Koprozessor mit integriert. Ein RFID-Transponder arbeitet nach dem Prinzip des „Sendens auf Abruf“, d. h. er sendet nur dann, wenn ein Lesegerät diesen Vorgang initiiert.

Bei den in elektronischen Reisepässen eingesetzten Transpondern handelt es sich um passive Transponder, d. h. die benötigte Energie wird vom Lesegerät bereitgestellt und zum Transponder über ein elektromagnetisches Feld übertragen. Die maximale Reichweite liegt in etwa bei 10 cm Abstand zwischen dem Lesegerät und dem elektronischen Reisepass. Angeblich lässt sich dieser Abstand bis auf einen Meter erhöhen, indem am Lesegerät eine sehr große Spezialantenne angebracht wird. Falls der elektronische Reisepass nicht über spezielle Schutzmechanismen verfügt, kann ein derartiges unerwünschtes Auslesen von Passdaten (Skimming) mithilfe einer Schutzhülle mit integrierter Metallfolie verhindert werden, da diese wie ein Faradayscher Käfig abschirmend wirkt.

Neben der maximalen Reichweite, die bei einem elektronischen Reisepass ohnehin eine sehr untergeordnete Rolle spielt, da dieser in der Regel direkt auf ein Lesegerät gelegt wird, sind der Frequenzbereich und das Modulationsverfahren, mit denen der Transponder arbeitet, zwei weitere signifikante Größen. Der zu den ICAO-Standards kompatible elektronische Reisepass folgt bezüglich der RFID-Technologie den Spezifikationen ISO/IEC 14443 (vgl. Teil 1), wobei die Modulationsfrequenz fc 13,56 MHz ± 7 kHz beträgt und die beiden Modulationsverfahren Typ A und Typ B spezifiziert sind. In beiden Fällen lassen sich bidirektional 106 kBit/s übertragen (fc/128 = 105,9375 kbit/s).

Elektronischer Reisepass gemäß ICAO

Ein elektronischer Reisepass gemäß ICAO [1] besteht aus einem standardisierten Passbuch (Booklet), in dessen Deckel oder Datenseite ein kontaktloser RFID-Chip mit Antenne integriert ist. Ursprünglich waren nur biografische Daten und ein Gesichtsbild des Passbuchinhabers digital gespeichert. Um die sichere Zuordnung eines elektronischen Passes zu einem Passinhaber zu ermöglichen, sind aktuell zusätzlich biometrische Daten wie Fingerabdrücke und/oder Iris-Scans im Chip gespeichert. In Tabelle 1 sind die diversen Sicherheitsstandards eines Machine Readable Travel Document (MRTD) zusammengefasst, wobei die Auswahl und Kombination einzelner Sicherheitsfeatures dem herausgebenden Land obliegt und unbenommen bleibt.

Sicherheitsfeatures des elektronischen Reisepasses

Sicherheitsfeature Kurzbeschreibung
Passive Authentication
(PA)
Zertifikatsbasierter Schutz vor Fälschung oder Manipulation der im Chip gespeicherten Daten
Basic Access Control
(BAC)
Chipdaten können nur ausgelesen werden, wenn eine im Pass aufgedruckte Zeichenkette (MRZ) verfügbar ist.
Active Authentication
(AA)
Schutz vor „Chip Cloning“. Nicht erforderlich, falls EAC eingesetzt wird.
Extended Access Control
(EAC)
Zertifikatsbasierte Berechtigungsrichtlinien für den Zugriff auf geschützte biometrische Daten
Passive Authentication

Die im Chip des elektronischen Passes gespeicherten Daten müssen primär gegen Fälschung beziehungsweise Manipulation gesichert werden. Hierzu wird die von ICAO definierte „Passive Authentication“ eingesetzt, die auf einer X.509-PKI (Public Key Infrastructure) basiert [2]. Diese PKI besteht gemäß Abbildung 1 aus einer so genannten Country Signer Certificate Authority (CSCA), die als oberste Instanz digitale Zertifikate für den Document Signer (DS) ausgibt. Während des Produktionsprozesses signiert der Document Signer die Hash-Werte der im Chip zu speichernden Daten. Diese Signaturen werden schließlich mit den biografischen und den biometrischen Daten im Chip gespeichert. Optional kann auch das jeweilige DS-Zertifikat im Chip gespeichert werden. Aus Sicherheitsgründen muss alle drei Monate ein neues DS-Zertifikat von der CSCA ausgestellt werden.

Abb. 1: Zertifikatsbasiertes PA-Verfahren
Abb. 1: Zertifikatsbasiertes PA-Verfahren

Bei der Echtheitsprüfung eines elektronischen Reisepasses, also beispielsweise an einer Grenzkontrolle, gliedert sich der Verifikationsprozess in zwei Phasen. Zunächst werden die gespeicherten Hash-Werte der biografischen und biometrischen Daten mit dem DS-Zertifikat geprüft. Hierzu erzeugt die Software des Lesegerätes die korrespondierenden Hash-Werte und vergleicht diese mit den ausgelesenen (gespeicherten) Hash-Werten. Ist diese Überprüfung erfolgreich, wird das DS-Zertifikat mit dem CS-Zertifikat geprüft. Ist auch diese Überprüfung erfolgreich, so gelten die gelesenen Passdaten als authentisch.

Unsere Redaktion empfiehlt:

Relevante Beiträge

Meinungen zu diesem Beitrag

X
- Gib Deinen Standort ein -
- or -