Basic Access Control

Grafik

• Schlüsselerzeugung

1. Der Dokumentinhaber legt sein Reisedokument zur Inspektion vor.
2. Ein optisches Lesegerät liest die auf das Dokument gedruckte maschinenlesbare Zone (MRZ) aus. Alternativ können die Daten auch von Hand eingegeben werden.
3. Aus den Daten werden die Dokumentennummer, das Geburtsdatum und das Ablaufdatum inklusive der Prüfziffern extrahiert.
4. Aus den extrahierten Daten werden zwei Schlüssel, K_ENC und K_MAC erzeugt, welche zur Verschlüsselung der folgenden Kommandos und zur Prüfsummenberechnung verwendet werden.

• Authentifizierung und Etablierung der Sitzungsschlüssel

5. Von dem Dokumentenchip wird eine Zufallszahl RND_ICC erzeugt und an das Inspektionssystem gesendet.
6. Das Inspektionssystem erzeugt zwei Zufallszahlen, RND_IFD und K_IFD.
7. Die Verkettung der Zufallszahlen wird mit dem Schlüssel K_ENC verschlüsselt und das Ergebnis mit einer auf dem Schlüssel K_MAC basierenden MAC-Prüfsumme versehen.
8. Die Daten werden zusammen mit einem Authentifizierungkommando an den Dokumentenchip gesendet.
9. Der Chip verifiziert und entschlüsselt die Daten und vergleicht die enthaltene Zufallszahl mit der zuvor von ihm gesendeten.
10. Der Chip erzeugt eine weitere Zufallszahl K_ICC und bildet die XOR-Verknüpfung aus K_ICC und K_IFD als Grundlage für die Erzeugung der Sitzungsschlüssel KS_ENC und KS_MAC.
11. Die Verkettung der Zufallszahlen RND_ICC, RND_IFD und K_ICC wird mit dem Schlüssel K_ENC verschlüsselt und das Ergebnis mit einer auf dem Schlüssel K_MAC basierenden MAC-Prüfsumme versehen und zurück an das Inspektionssystem geschickt. Für die spätere Kommunikation wird aus den jeweils vier niederwertigen Bytes der Zufallszahlen RND_ICC und RND_IFD ein acht Byte langer Zähler generiert.

• Beginn der gesicherten Kommunikation

12. Das Inspektionssystem verifiziert die Gültigkeit der Antwort des Chips und entschlüsselt das Ergebnis.
13. Aus dem Ergebnis werden nun ebenfalls die Sitzungsschlüssel und der acht Byte lange Zähler errechnet.

Die nun folgende Kommunikation zwischen dem Inspektionssystem und dem Reisedokument wird als Secure Messaging bezeichnet. Eine Nachricht wird jeweils mit einem Sitzungsschlüssel verschlüsselt und das Ergebnis mit einer Prüfsumme versehen. Vor jeder Prüfsummenberechnung wird der Sitzungszähler erhöht und den zur Prüfsummenberechnung herangezogenen Daten vorangestellt. Die Verschlüsselung und Prüfsummenberechnung werden mit den erzeugten Schlüsseln KS_ENC und KS_MAC durchgeführt. Die Daten werden mit 112-Bit-Triple-DES verschlüsselt.

Die Sicherheit des Verfahrens hängt maßgeblich von der effektiven Schlüssellänge ab. Während diese bei einer reinen zahlbasierten Seriennummer theoretisch 56 Bit betragen kann, wird beispielsweise in den Niederlanden eine Nummernvergabe praktiziert, die die Schlüsselstärke auf höchstens 35 Bit reduziert und eine tatsächlich noch geringere Stärke nahelegt. Von der niederländischen Sicherheitsfirma Riscure wurde ein Angriff gezeigt, bei dem eine Aufzeichnung einer abgehörten legitimen BAC-Kommunikation aufgrund der verwendeten Verschlüsselungsstärke mit der Rechenleistung eines handelsüblichen PCs innerhalb weniger Stunden entschlüsselt werden konnte.

Teilweise wird argumentiert, dass Basic Access Control deshalb an sich noch kein schlechtes Verfahren sei. Allgemein sollte die Stärke eines Verschlüsselungsverfahrens der Vertraulichkeit der zu schützenden Daten angemessen sein. Verfechter des Systems wenden ein, dass die Daten, die der Chip eines BAC-Reisepasses enthält (Name, Geburtsdatum, Passnummer, Staatsangehörigkeit, Geschlecht, Gültigkeitsdauer des Passes, Lichtbild), in den oben genannten „wenigen Stunden“ sehr wahrscheinlich auch auf anderem Wege ermittelt werden könnten. Insofern biete das unsicher angewandte BAC-Verfahren Angreifern nur eine weitere Angriffsmöglichkeit mit ähnlichem Aufwand wie vergleichbare Angriffe.

• Internetseite der ICAO zu MRTDs
• Heise.de Artikel zum ePass-Hack
• MRTD Reports (Memento vom 15. Mai 2009 im Internet Archive) der ICAO (in englisch)