4.4 Sicherheitsmerkmale
4.4.1 Basic Access Control
Beim alten Reisepass hat der Besitzer durch Aushändigen des Passes indirekt eingewilligt, dass die dort enthaltenden Daten ausgelesen
werden können. Um beim ePass ein Auslesen der auf dem RF-Chip befindlichen Daten per Funk ohne Wissen des Passeigentümers zu
verhindern, wird beim ePass das Authentifizierungsverfahren Basic Access Control (BAC) eingesetzt. Dieses Verfahren erlaubt die
Übertragung der Daten über die kontaktlose Schnittstelle erst dann, wenn zuerst mit einem optisch arbeitenden Lesegerät Daten aus der
Innenseite des ePasses ausgelesen wurden, was ein vorheriges Aufklappen des ePasses voraussetzt.
Die Funktionsweise des Basic Access Control ist von der ICAO standardisiert worden und wird im Technical Report [ICAO 2004a]
beschrieben. Die folgende Beschreibung der Funktionsweise basiert auf dem erwähnten ICAO Dokument und einem Dokument des
BSI [BSI 2005d].
Als erstes muss der ePass aufgeschlagen werden, um die dann sichtbar werdende Machine Readable Zone (MRZ) mittels Optical
Character Recognition (OCR) zu erfassen. In der MRZ sind Daten des Passes wie der Name, die Dokumentennummer, die Nationalität,
das Geburtsdatum und das Geschlecht kodiert [ICAO 2004e S.20). Alternativ können die Daten auch manuell – beispielsweise durch
Eingabe mit einer Tastatur – erfasst werden, wenn eine automatische Erfassung nicht möglich ist.
Die Dokumentennummer, das Geburtsdatum und das Ablaufdatum werden, ähnlich wie bei einer Hashwertberechnung, für die
Berechnung des Zugriffsschlüssels verwendet, mit dem anschließend die gegenseitige Authentisierung zwischen dem RF-Chip und
dem Lesegerät erfolgt. Man benutzt nur diese drei Bestandteile der MRZ, weil nur sie durch Prüfsummen abgesichert sind und somit
Fehler beim Einlesen per OCR erkannt werden können.
Die ICAO und das BSI bewerteten die Stärke des Zugriffsschlüssels mit maximal 56 Bit, was der Stärke eines normalen DES-
Schlüssels entspricht [BSI 2005d] & [ICAO 2004a S.56].
Die ICAO erwähnt ebenfalls, dass sich die Stärke des Schlüssels unter
bestimmten Bedingungen verringern lässt. Auf diesen Punkt wird in Kapitel 5.5.3
eingegangen.
Der Authentifizierungsprozess erfolgt in mehreren Schritten:
Zuerst wird eine Zufallszahl (r
Chip
) von dem RF-Chip an das Lesegerät
gesendet. Anschließend werden zwei Chiffrate ausgetauscht, die mit dem Zugriffsschlüssel verschlüsselt werden: Das vom Lesegerät
an den RF-Chip gesendete Chiffrat besteht neben der eigenen Zufallszahl (r
Reader
) und der Zufallszahl des RF-Chips (r
Chip
) noch aus der
eigenen Hälfte des späteren Sitzungsschlüssels (K
Reader
). Nun kann der RF-Chip wiederum mit dem Zugriffsschlüssel das Chiffrat
entschlüsseln und überprüfen, ob die vorher an das Lesegerät gesendete Zufallszahl (r
Chip
) in dem Chiffrat vorhanden ist. Wenn dies der
Fall ist, wird ein Chiffrat mit der Zufallszahl des RF-Chips (r
Chip
), der Zufallszahl des Lesegeräts (r
Reader
) sowie der eigenen Hälfte des
zukünftigen Sitzungsschlüssels (K
Chip
) an das Lesegerät gesendet. Nun wird das Chiffrat vom Lesegerät entschlüsselt und überprüft, ob
die beiden Zufallszahlen korrekt enthalten sind. Wenn dies der Fall ist, wird aus den beiden Schlüsselhälften der neue
Sitzungsschlüssel ermittelt, mit dem die nun folgende Kommunikation verschlüsselt wird. Die Integrität der Daten ist somit ebenfalls
sichergestellt.
Abbildung 4.4.1a veranschaulicht die Funktionsweise der Basic Access Control.
| Hinweis: Alle Rechte vorbehalten. Eine Verfielfältigung oder Verbreitung dieser Seite oder Teile derselben in elektronischer oder anderer Form ist nicht gestattet. Diese HTML-Version des Buches 'ePass - der neue biometrische Reisepass' ist nicht zum Referenzieren geeignet. Das Buch sowie die PDF Version unterscheiden sich von dieser HTML-Version in Layout und Seitenzahlenangaben. Aufgrund von Konvertierungsschwierigkeiten des Originaldokumentes zu HTML, können auf dieser Seite Datstellungsprobleme auftreten, die in dem Buch und der PDF-Version nicht vorhanden sind. |