Deutscher ePass birgt Sicherheitsrisiken

18. Oktober 2006, 10:25
3 Postings

Standardwirrwarr, komplexe Architektur und ein unausgereift wirkendes Konzept

Der neue biometrische Reisepass soll einen Höchststand an Fälschungssicherheit bieten, so die Verantwortlichen. Doch sein Standardwirrwarr, die komplexe Architektur und ein unausgereift wirkendes Konzept sind alles andere als vertrauenerweckend, schreibt das IT-Magazin iX in der aktuellen Ausgabe.

Daten können ausgelesen werden

Der neue elektronische Reisepass enthält neben den klassischen Sicherheitsmaßnahmen einen RFID-Chip, in dem die Daten des Passinhabers einschließlich einer digitalisierten Version seines Lichtbilds gespeichert sind. Diese Informationen, die mit einem speziellen Lesegerät ausgelesen werden, dienen Grenzbeamten zur Überprüfung der Identität des Reisenden.

Wenig Schutz

Verschiedene Verschlüsselungsfunktionen sollen das unberechtigte Auslesen der Passdaten verhindern. Allerdings bietet diese kryptografische Basissicherheit nur wenig Schutz: Denn der Name des Eigentümers, der Geburtstag und die Dokumentennummer reichen aus, um den Pass auszulesen. Diese Informationen, die in der zweiten Zeile der maschinenlesbaren Zone aufgedruckt sind, sind keineswegs geheim. Nicht nur der Inhaber, auch beispielsweise jedes Hotel oder jede Bank, die zur Sicherheit beim Geldabheben gelegentlich die Ausweisnummer in ihrem System hinterlegt, kennen diese Daten. Alle weiteren erforderlichen Informationen stehen in den Stammdaten. So könnten letztlich Unbefugte einen Schlüssel generieren.

Keine erprobten Standards

Fehlende erprobte Standards in der Verschlüsslung sorgen für ein weiteres Problem: So werden die Daten zunächst ohne Sicherung ausgelesen und müssen zur Überprüfung erst einmal durch einen Mischmasch aus Standard- und proprietären Verfahren auseinandergenommen werden. Dadurch entsteht eine hohe Anfälligkeit für Trojaner, die das Dokument beispielsweise als "gültig" ausgeben könnte.

Ausgelesen und kopiert

Dass man die Daten des neuen ePasses auch klonen kann, demonstrierte iX-Autor Lukas Grunewald eindrucksvoll im Sommer dieses Jahres auf der Sicherheitskonferenz Black Hat. Er zeigte, wie man die Daten mit einem selbst entwickelten Werkzeug auslesen, kopieren und auf einen anderen Chip übertragen kann.

"All diese Sicherheitslücken sind jedoch nur ein Aspekt beim ePass", sagt iX-Redakteurin Ute Roos und verweist auf Biometrie-Probleme wie fehlerhafte Erkennungen. (red)

Share if you care.