Daten können ausgelesen werden
Der neue elektronische Reisepass enthält neben den klassischen Sicherheitsmaßnahmen einen RFID-Chip, in dem die Daten des Passinhabers einschließlich einer digitalisierten Version seines Lichtbilds gespeichert sind. Diese Informationen, die mit einem speziellen Lesegerät ausgelesen werden, dienen Grenzbeamten zur Überprüfung der Identität des Reisenden.
Wenig Schutz
Verschiedene Verschlüsselungsfunktionen sollen das unberechtigte Auslesen der Passdaten verhindern. Allerdings bietet diese kryptografische Basissicherheit nur wenig Schutz: Denn der Name des Eigentümers, der Geburtstag und die Dokumentennummer reichen aus, um den Pass auszulesen. Diese Informationen, die in der zweiten Zeile der maschinenlesbaren Zone aufgedruckt sind, sind keineswegs geheim. Nicht nur der Inhaber, auch beispielsweise jedes Hotel oder jede Bank, die zur Sicherheit beim Geldabheben gelegentlich die Ausweisnummer in ihrem System hinterlegt, kennen diese Daten. Alle weiteren erforderlichen Informationen stehen in den Stammdaten. So könnten letztlich Unbefugte einen Schlüssel generieren.
Keine erprobten Standards
Fehlende erprobte Standards in der Verschlüsslung sorgen für ein weiteres Problem: So werden die Daten zunächst ohne Sicherung ausgelesen und müssen zur Überprüfung erst einmal durch einen Mischmasch aus Standard- und proprietären Verfahren auseinandergenommen werden. Dadurch entsteht eine hohe Anfälligkeit für Trojaner, die das Dokument beispielsweise als "gültig" ausgeben könnte.
Ausgelesen und kopiert
Dass man die Daten des neuen ePasses auch klonen kann, demonstrierte iX-Autor Lukas Grunewald eindrucksvoll im Sommer dieses Jahres auf der Sicherheitskonferenz Black Hat. Er zeigte, wie man die Daten mit einem selbst entwickelten Werkzeug auslesen, kopieren und auf einen anderen Chip übertragen kann.