SlideShare una empresa de Scribd logo
1 de 35
Biometrische Daten im Reisepass
        GDD ERFA-Kreis Hannover
              11.10.2007, Hameln




             Dr. Christian Böttger
               Senior Consultant
Über DN-Systems
 Globales   Beratungs- und Technologie-
     Unternehmen
            Planung
            Evaluierung
            Audit
            Eigenes Rechner- / Netzwerk- Labor
            Projektmanagement
            Integrale Sicherheit (nicht nur IT)
            Investigation / digitale Forensik

11.10.2007                     ePass - Biometrie   2
Weltweiter Service
              K und en
              E ig e n e N ie d e r la s s u n g e n
              P a r t n e r N ie d e r la s s u n g e n




 11.10.2007                                               ePass - Biometrie   3
Unsere Kunden
    RZ- und Datacenter-Betreiber
    Internet-Service-Provider und Backbone-Betreiber
    Telekommunikations-Konzerne
    Supply-Chain-Betreiber
    Transport und Logistik
    International tätige Konzerne
    Banken und Finanznetz-Betreiber (Kreditkarten-
     Clearing)
    Produzenten von Sicherheits-Hard- und Software
    Behörden und Staaten

11.10.2007               ePass - Biometrie              4
Was ist RFID?
  Radio           Frequency Identification (RFID)
             Drahtlose Übertragung von Informationen
              zwischen Transponder („Tag“) und
              „Reader“ (Lese- und Schreibgerät)
             Bidirektionale Übertragung (Lesen und
              Schreiben)
             Transponder („Tag“) kann an etwas befestigt, in
              etwas eingebaut oder auch in Lebewesen
              implantiert werden.
             automatische Korrelation zwischen Objekt und
              gespeicherter Information
 11.10.2007                      ePass - Biometrie              5
Datenmanipulation
(Beispiel)




 11.10.2007   ePass - Biometrie   6
Generische Angriffe
    Abhören     der Information zwischen
         Transponder und Reader
            Fälschen der Kommunikation
            unbefugtes Erlangen von User ID, Nutzdaten
             und Meta-Daten
            grundlegende Angriffe auf Strukturen und
             Tags
            „Replay Attacken“, um Zugangssysteme
             auszutricksen

11.10.2007                   ePass - Biometrie            7
Generische Angriffe
    Fälschung      der Identität des Readers und
         nicht-authorisiertes Schreiben auf den Tag
            Änderung der UID durch Manipulation des
             administrative data block
            Vortäuschen einer falschen Identität
            UID muss laut Standard in Klartext lesbar sein
            Manipulation von Produktgruppen und Preisen



11.10.2007                    ePass - Biometrie               8
Generische Angriffe
    Manipulation    von auf dem Tag
         gespeicherten Daten
            Manipulation von Nutzdaten
            Manipulation von Metadaten
            Austausch von Objekten
            Scheinbare Duplikation von Objekten




11.10.2007                   ePass - Biometrie     9
Generische Angriffe
    Deaktivierung        des Transponders
            Verhinderung der Verfolgung von Objekten
            Verhinderung der Erkennung von Objekten
             („unsichtbar“)




11.10.2007                   ePass - Biometrie          10
Generische Angriffe
    Angriffe    auf die Middleware und
         Backend/Server-Systeme; Manipulation
         von Datenstrukturen
            Einbringen von Schadprogrammen („Malware“)
             in Backend- und Middleware-Systeme
                z.B. „Datenbank-Würmer“, SQL-Injektion
            Manipulation von Backend-Systemen
            „Denial of Service“ - Angriffe auf die
             Infrastruktur

11.10.2007                       ePass - Biometrie        11
Generische Angriffe
    „Jamming“         der RFID Frequenzen
            Kann mit „out-of-the-box“ Polizeifunk / Handy-
             Jammern gemacht werden (Breitband Jamming
             Sender)
            Angriffe gegen den Anti-Collision-Mechanismus
             des RFID-Systems
            Verhindern, dass ein Tag gelesen werden kann
            Einfacher „Denial of Service“- Angriff gegen das
             RFID System
            „Abschalten“ der Produktion, des Verkaufs oder
             des Zugangs
11.10.2007                    ePass - Biometrie             12
ePassports




              This image is a work of a United States Department of Homeland Security employee,
                        taken or made during the course of an employee's official duties.
                   As a work of the U.S. federal government, the image is in the public domain.

 11.10.2007                        ePass - Biometrie                                              13
MRTD
    Machine Readable Travel Document
     = Electronic Passport (ePassport, ePass)
    Spezifikation durch die ICAO
                International Civil Aviation Organization, Unterorganisation
                 der UN
    eingeführt auf globaler Basis




11.10.2007                             ePass - Biometrie                        14
Deutscher ePass




     RFID Tag in die Hülle integriert
     Hergestellt von der Bundesdruckerei GmbH
     Bald auch als elektronischer Personalausweis
 11.10.2007              ePass - Biometrie           15
MRTD nach ICAO
 Auf   einem RFID Tag werden persönliche
     Daten und biometrische Daten gespeichert
            ICAO Standard deckt auch alternative Methoden
             wie 2D-Barcodes ab
            Gemeinsamer Standard für Interoperabilität
            Neben vorgeschriebenen Merkmalen gibt es auch
             optionale Merkmale




11.10.2007                    ePass - Biometrie          16
2D Code und MRZ




             Pass mit 2D Barcode und MRZ (machine readable zone)
11.10.2007                       ePass - Biometrie                 17
MRTD Daten-Layout
    LDS (Logical Data Structure)
            Daten werden in DG (Data Groups) gespeichert
              DG1: MRZ Information (mandatory)
              DG2: Portrait Bild + biometrisches Template (mandatory)
              DG3 / DG4: Fingerabdrücke, Iris-Bild (optional)
              EF.SOD: Security Object Data (kryptographische Signaturen)
              EF.COM: Liste der existierenden Data Groups

    Daten werden in BER-encoded ASN.1 Strukuren
     gespeichert
    DG2-DG4 benutzen CBEFF – Codierung
            common biometric file format, ISO 19785


11.10.2007                          ePass - Biometrie                       18
MRTD
Sicherheitsmerkmale
     Zufällige UID für jede Aktivierung
             normalerweise haben alle ISO 14443 Transponder eine
              feste eindeutige Seriennummer
             Die UID wird für den Anti-Kollisionsmechanismus benötigt.
             Verhinderung der Verfolgung des Trägers ohne vorherige
              Zugriffskontrolle (Verhinderung einer „Anti-USA-Bürger-
              Bombe“)
             Problem: ICAO MRTD Spezifikationen verlangen keine
              zufällige Seriennummer
             Nur einige Ländern werden eine zufällige UID verwenden.



 11.10.2007                         ePass - Biometrie                 19
Passive Authentifizierung
     Vorgeschrieben für alle MRTD
     stellt sicher, dass die MRTD/Passport-Daten durch das
      ausgebende Land elektronisch signiert sind
     Das Lesesystem muss die Hash-Werte der DGs überprüfen:
       EF.SOD enthält individuelle Signaturen für jede DG
       EF.SOD ist selber signiert
       Document Signer Public Key muss durch PKD / bilaterale
         Kanäle bekannt sein
       Document Signer Public Key kann auf dem MRTD
         gespeichert sein
       Nützt nur etwas, wenn der Country Root CA public key
         bekannt ist


 11.10.2007                  ePass - Biometrie                   20
Signierte Daten
              E F .C O M                 E F .D G 1                       E F .D G 2                 E F .D G 3




                           HA S H over                                                 HA S H over
                              D ata                                                       D ata




                                              HA S H over HA S H
                                              H A S H S ig n e d b y
                                                 C o u n try C A
                                                    E F .S O D

 11.10.2007                                           ePass - Biometrie                                           21
Basic Access Control BAC
     Erlaubt Zugriff auf die Daten, nachdem das Lesegerät
      authorisiert wurde
     Authorisierung über die Machine Readable Zone (MRZ)
       9-stellige Dokumentennummer
       In vielen Ländern: Ausgebende Behörde + fortlaufende Nummer
         (kann dann leicht geraten werden)
       6-stelliges Geburtsdatum
                 Kann geraten oder als gültig angenommen werden
             6-stelliges Verfallsdatum
             16 most significant Bytes des SHA1-Hash über MRZ-Info (3DES
              Schlüssel für S/M (ISO7816 secure messaging) werden benutzt




 11.10.2007                             ePass - Biometrie               22
Extended Access Control
EAC
  optionales Verfahren (Deutschland wendet es
   an für Fingerabdrücke)
  Soll den unerlaubten Zugriff auf biometrische
   Daten verhindern (außer Passbild)
             nicht international standardisiert
             von den ausgebenden Behörden individuell
              implementiert
             nur ausgewählten Ländern wird der Zugang
              gestattet


 11.10.2007                    ePass - Biometrie         23
Klonen von ePässen
   „Dual Interface Tags“ können als MRTD Tag fungieren
   Daten können von einem echten ePass ausgelesen
    weden
   Personalisierung ist möglich mit „Smartcard Shell“ oder
    anderen Software-Tools
   Geklonte ePässe verhalten sich für RFID identisch zu
    offiziellen ePässen
         „http://stream.servstream.com/ViewWeb/BBCWorld/File/worl_click_141206_one_hi.as
          x?Media=77526“
         http://archiv.tagesspiegel.de/archiv/10.02.2007/3053670.asp#
         Technology Review, Februar 2007, Seite 91/92
         SAT1 "Planetopia", 1.10.2006, Gefahren von RFID in elektronischen Reisepässen


 11.10.2007                            ePass - Biometrie                            24
Chaos der Standards
     TLV and ASN.1 sind nicht korrekt implementiert
     Redundante Meta Formate für biometrische Daten
     Wenn der unterschreibende Schlüssel eines Landes
      unzuverlässig/geklaut ist, ist das Land verloren
       es gibt keinen Weg, ein MRTD-Zertifikat
         zurückzurufen!
     Die Daten müssen erst vom Lesegerät komplett gelesen
      und ausgewertet / interpretiert werden, bevor sie
      verifiziert werden können
     Design wurde durch politische Kompromisse erreicht,
      nicht von IT-Security Experten
     Daten können manipuliert werden
 11.10.2007                ePass - Biometrie             25
Sicherheitsrisiken
  UID könnte verändert werden
  Pass - Tag könnte als Zugangs-Tag in
   anderen Zusammenhängen benutzt werden
  Manipulierte DGs könnten die Lesegeräte
   zum Absturz bringen
             erfolgreich demonstriert mit den Geräten
              mehrerer Länder
                 http://www.heise.de/newsticker/meldung/93723
             Wenn man einen Absturz provozieren kann, kann
              man vermutlich auch Schadprogramme
              einbringen
 11.10.2007                         ePass - Biometrie            26
Einbruch in das System


                                                                    ERP




              Event M anager                                        CRP
                                          In fo rm a tio n
              R e a d e r c o n tro l         S e rv e r
                                        ( M id d le w a re )




                                                                    ....
                                                     ED GE     BACKEND


 11.10.2007                             ePass - Biometrie                  27
Organisation
  Das          Problem mit der Identität lässt sich nicht
             nur durch Technologie lösen
             vollkommen automatisieren
             Es muss in einen Organisationsprozess
              eingebunden werden.
             Es muss immer kostenorientiert aufbereitet
              werden.




 11.10.2007                     ePass - Biometrie            28
neues Passgesetz - 1
  ICAO     Spezifikation steht konträr zu den „Best
      Practices“ für die Absicherung von
      Informationssystemen:
             bisher geschlossenes Kontrollsystem (optische
              Leser für MRZ) werden geöffnet (RFID). Gefahr
              von Angriffen auf die Lesestationen.
             BAC-Schlüssel ist auf dem MRTD aufgedruckt.
              Schloss und Schlüssel liegen zusammen vor. In
              vielen Ländern ist es vorgeschrieben, Fotokopien
              des Passes z.B. in Hotels zu machen...

 11.10.2007                     ePass - Biometrie            29
neues Passgesetz - 2
  ICAO     Spezifikation steht konträr zu den „Best
      Practices“ für die Absicherung von
      Informationssystemen:
             Gültigkeit des EAC Schlüssels kann vom MRTD nicht
              geprüft werden, da kein Zeitnormal vorliegt (MRTD hat
              keine eingebaute Uhr). Ein Rückrufmechanismus für
              Schlüssel existiert nicht. Verwendet wird der
              Zeitstempel des letzten Zugriffs. Möglichkeit der
              Entwertung durch bewusst falsche (zukünftige)
              Zeitstempel durch Angreifer. Schreibschutz auf dem
              MRTD muss wegen der Zeitstempel aufgehoben
              werden.
 11.10.2007                       ePass - Biometrie               30
neues Passgesetz - 3
  Sicherheit           der Datenübermittlung
             für EAC muss online bei einer zentralen Stelle
              angefragt werden
               kein EAC und damit auch keine neuen Pässe für
                Auslandsdeutsche in „nicht vertrauenswürdigen“
                Ländern (z.B. Sultanat Oman)
             Technologie stellt nur einen kleinen Teil dar,
              organisatorische Maßnahmen fehlen im Gesetz
             Es ist noch nicht einmal der gleiche Standard wie bei
              der Übermittlung von Kontodaten von Banken an das
              BaFin festgeschrieben

 11.10.2007                       ePass - Biometrie                   31
neues Passgesetz - 4
     BAC: Schlüssel kann aus MRZ generiert werden
       MRZ durch Fotokopie des MRTD erhältlich (Flugreisen,
         Hotels, Mietwagen, ...)
     Auch ohne Auslesen der Daten kann durch reinen
      Verbindungsaufbau mit BAC ein Bewegungsprofil
      aufgezeichnet werden
     Auslesen des Passbildes mit BAC beschert dem Angreifer ein
      Biometrie-geeignetes Bild des Opfers
     Auslesen der BAC-geschützten Daten kann nicht bemerkt
      bzw. nachgewiesen werden
     Pass sollte nicht nur in Deutschland „sicher“ sein: ein Pass ist
      schließlich gerade zum Einsatz im Ausland gedacht

 11.10.2007                     ePass - Biometrie                    32
ePersonalausweis
     vermutlich gleiche Technik wie beim ePass
     Fingerabdrücke durch EAC geschützt
     Kryptographie ist nicht das Problem, sondern der Rest des
      Standards
     Organisation kritisch: langer Weg vom Fingerabdruck-
      Scanner im Bürgerbüro bzw. Lesegerät „auf Streife“ bis zur
      zentralen Datei. Ist wirklich jeder Schritt und jedes Kabel
      „sicher“?
     erkennungsdienstliche Erfassung aller Bürger ab 16 Jahren
       Polizei-Wunschtraum
       Bürger-Albtraum
       Generalverdacht für alle?


 11.10.2007                    ePass - Biometrie                    33
Fragen ?




 11.10.2007   ePass - Biometrie   34
Thank You

Dr. Christian Böttger                             DN-Systems GmbH
Bentestraße 10                                    Hornemannstr. 11-13
31311 Uetze                                       31137 Hildesheim, Germany
Phone: +49.5173.9249744                           Phone: +49-5121-28989-0
Mail: c.boettger@boettger-consulting.de           Mail: info@dn-systems.de
http://www.boettger-consulting.de/                http://www.dn-systems.de/


                                                  DN-Systems International Limited
                                                  P.O. Box 500 581
                                                  Dubai · U.A.E.
                                                  Phone: +971-50-2861299
                                                  Mail: info@dn-systems.com

 11.10.2007                         ePass - Biometrie                                35

Más contenido relacionado

Destacado

Destacado (19)

Presentacion espacio promocional_01
Presentacion espacio promocional_01Presentacion espacio promocional_01
Presentacion espacio promocional_01
 
Iacone - Innovative Schulprogramme für eine lebendige Zukunft
Iacone - Innovative Schulprogramme für eine lebendige ZukunftIacone - Innovative Schulprogramme für eine lebendige Zukunft
Iacone - Innovative Schulprogramme für eine lebendige Zukunft
 
noble praxis-tipps: social media - teil 1
noble praxis-tipps: social media - teil 1noble praxis-tipps: social media - teil 1
noble praxis-tipps: social media - teil 1
 
Cuento definitivo
Cuento definitivoCuento definitivo
Cuento definitivo
 
παρουσίαση1σουφλί
παρουσίαση1σουφλίπαρουσίαση1σουφλί
παρουσίαση1σουφλί
 
Ag5 Qualitätsmanagement Jugendreisen M-V
Ag5 Qualitätsmanagement Jugendreisen M-V Ag5 Qualitätsmanagement Jugendreisen M-V
Ag5 Qualitätsmanagement Jugendreisen M-V
 
Social Ads: Facebook & Twitter
Social Ads: Facebook & TwitterSocial Ads: Facebook & Twitter
Social Ads: Facebook & Twitter
 
Los multimedios
Los multimediosLos multimedios
Los multimedios
 
LBS Bürmoos Budgetantrag 2011
LBS Bürmoos Budgetantrag 2011LBS Bürmoos Budgetantrag 2011
LBS Bürmoos Budgetantrag 2011
 
Manual uso microblogging
Manual uso microbloggingManual uso microblogging
Manual uso microblogging
 
Proyecto eduplay 26.07 vf
Proyecto eduplay 26.07 vfProyecto eduplay 26.07 vf
Proyecto eduplay 26.07 vf
 
13 kunsthaus bregenz
13 kunsthaus bregenz13 kunsthaus bregenz
13 kunsthaus bregenz
 
Dokumentation
DokumentationDokumentation
Dokumentation
 
Roadmap von Microsoft UI-Technologien und Windows 8
Roadmap von Microsoft UI-Technologien und Windows 8Roadmap von Microsoft UI-Technologien und Windows 8
Roadmap von Microsoft UI-Technologien und Windows 8
 
BLACKBERRY
BLACKBERRYBLACKBERRY
BLACKBERRY
 
Nanomateriales
NanomaterialesNanomateriales
Nanomateriales
 
Diplom vs bachelor
Diplom vs bachelorDiplom vs bachelor
Diplom vs bachelor
 
Diana
DianaDiana
Diana
 
Oac
OacOac
Oac
 

Similar a Gdd Erfa 20071011

Sicherheit im Internet-of-Things - Wie man das größte Botnetz der Welt absichert
Sicherheit im Internet-of-Things - Wie man das größte Botnetz der Welt absichertSicherheit im Internet-of-Things - Wie man das größte Botnetz der Welt absichert
Sicherheit im Internet-of-Things - Wie man das größte Botnetz der Welt absichertAndré Nitze
 
Angriffe auf Smartphones im Mobilfunknetz, Präsentation der Diplomarbeit
Angriffe auf Smartphones im Mobilfunknetz, Präsentation der Diplomarbeit Angriffe auf Smartphones im Mobilfunknetz, Präsentation der Diplomarbeit
Angriffe auf Smartphones im Mobilfunknetz, Präsentation der Diplomarbeit dm-development
 
Sicherheitsfunktionen In Aktuellen Betriebssystemen Talk
Sicherheitsfunktionen In Aktuellen Betriebssystemen TalkSicherheitsfunktionen In Aktuellen Betriebssystemen Talk
Sicherheitsfunktionen In Aktuellen Betriebssystemen TalkUdo Ornik
 
BigData-IT-Security-AGruner
BigData-IT-Security-AGrunerBigData-IT-Security-AGruner
BigData-IT-Security-AGrunerAxel S. Gruner
 
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von RettungsmannschaftenTrackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaftentrackoid
 
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von RettungsmannschaftenTrackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaftentrackoid
 
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von RettungsmannschaftenTrackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von RettungsmannschaftenAndrea Antonello
 
Smartphone Internals 2013
Smartphone Internals 2013Smartphone Internals 2013
Smartphone Internals 2013dm-development
 
Plattformen für das Internet der Dinge, solutions.hamburg, 05.09.16
Plattformen für das Internet der Dinge, solutions.hamburg, 05.09.16Plattformen für das Internet der Dinge, solutions.hamburg, 05.09.16
Plattformen für das Internet der Dinge, solutions.hamburg, 05.09.16Boris Adryan
 
Regelkonformität durch neue Architekturen
Regelkonformität durch neue ArchitekturenRegelkonformität durch neue Architekturen
Regelkonformität durch neue ArchitekturenICT Economic Impact
 

Similar a Gdd Erfa 20071011 (12)

Sicherheit im Internet-of-Things - Wie man das größte Botnetz der Welt absichert
Sicherheit im Internet-of-Things - Wie man das größte Botnetz der Welt absichertSicherheit im Internet-of-Things - Wie man das größte Botnetz der Welt absichert
Sicherheit im Internet-of-Things - Wie man das größte Botnetz der Welt absichert
 
Angriffe auf Smartphones im Mobilfunknetz, Präsentation der Diplomarbeit
Angriffe auf Smartphones im Mobilfunknetz, Präsentation der Diplomarbeit Angriffe auf Smartphones im Mobilfunknetz, Präsentation der Diplomarbeit
Angriffe auf Smartphones im Mobilfunknetz, Präsentation der Diplomarbeit
 
Sicherheitsfunktionen In Aktuellen Betriebssystemen Talk
Sicherheitsfunktionen In Aktuellen Betriebssystemen TalkSicherheitsfunktionen In Aktuellen Betriebssystemen Talk
Sicherheitsfunktionen In Aktuellen Betriebssystemen Talk
 
BigData-IT-Security-AGruner
BigData-IT-Security-AGrunerBigData-IT-Security-AGruner
BigData-IT-Security-AGruner
 
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von RettungsmannschaftenTrackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
 
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von RettungsmannschaftenTrackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
 
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von RettungsmannschaftenTrackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
Trackoid Rescue - eine mobile Lösung zur Unterstützung von Rettungsmannschaften
 
Smartphone Internals 2013
Smartphone Internals 2013Smartphone Internals 2013
Smartphone Internals 2013
 
Trackoid Rescue
Trackoid RescueTrackoid Rescue
Trackoid Rescue
 
Plattformen für das Internet der Dinge, solutions.hamburg, 05.09.16
Plattformen für das Internet der Dinge, solutions.hamburg, 05.09.16Plattformen für das Internet der Dinge, solutions.hamburg, 05.09.16
Plattformen für das Internet der Dinge, solutions.hamburg, 05.09.16
 
Smart Borders
Smart BordersSmart Borders
Smart Borders
 
Regelkonformität durch neue Architekturen
Regelkonformität durch neue ArchitekturenRegelkonformität durch neue Architekturen
Regelkonformität durch neue Architekturen
 

Más de bofh42

Groupware Ce Bit2007 Heise Forum Cb Web
Groupware Ce Bit2007 Heise Forum Cb WebGroupware Ce Bit2007 Heise Forum Cb Web
Groupware Ce Bit2007 Heise Forum Cb Webbofh42
 
Dienstleistung
DienstleistungDienstleistung
Dienstleistungbofh42
 
Groupware
GroupwareGroupware
Groupwarebofh42
 
Online Forensic V4
Online Forensic V4Online Forensic V4
Online Forensic V4bofh42
 
Open Ttt Cb 2006 11 09
Open Ttt Cb 2006 11 09Open Ttt Cb 2006 11 09
Open Ttt Cb 2006 11 09bofh42
 
Werbung Im Web Www
Werbung Im Web WwwWerbung Im Web Www
Werbung Im Web Wwwbofh42
 
Clt2008 Virtualisierung
Clt2008 VirtualisierungClt2008 Virtualisierung
Clt2008 Virtualisierungbofh42
 
Groupware Linuxtag 2008 Cb
Groupware Linuxtag 2008 CbGroupware Linuxtag 2008 Cb
Groupware Linuxtag 2008 Cbbofh42
 

Más de bofh42 (8)

Groupware Ce Bit2007 Heise Forum Cb Web
Groupware Ce Bit2007 Heise Forum Cb WebGroupware Ce Bit2007 Heise Forum Cb Web
Groupware Ce Bit2007 Heise Forum Cb Web
 
Dienstleistung
DienstleistungDienstleistung
Dienstleistung
 
Groupware
GroupwareGroupware
Groupware
 
Online Forensic V4
Online Forensic V4Online Forensic V4
Online Forensic V4
 
Open Ttt Cb 2006 11 09
Open Ttt Cb 2006 11 09Open Ttt Cb 2006 11 09
Open Ttt Cb 2006 11 09
 
Werbung Im Web Www
Werbung Im Web WwwWerbung Im Web Www
Werbung Im Web Www
 
Clt2008 Virtualisierung
Clt2008 VirtualisierungClt2008 Virtualisierung
Clt2008 Virtualisierung
 
Groupware Linuxtag 2008 Cb
Groupware Linuxtag 2008 CbGroupware Linuxtag 2008 Cb
Groupware Linuxtag 2008 Cb
 

Gdd Erfa 20071011

  • 1. Biometrische Daten im Reisepass GDD ERFA-Kreis Hannover 11.10.2007, Hameln Dr. Christian Böttger Senior Consultant
  • 2. Über DN-Systems  Globales Beratungs- und Technologie- Unternehmen  Planung  Evaluierung  Audit  Eigenes Rechner- / Netzwerk- Labor  Projektmanagement  Integrale Sicherheit (nicht nur IT)  Investigation / digitale Forensik 11.10.2007 ePass - Biometrie 2
  • 3. Weltweiter Service K und en E ig e n e N ie d e r la s s u n g e n P a r t n e r N ie d e r la s s u n g e n 11.10.2007 ePass - Biometrie 3
  • 4. Unsere Kunden  RZ- und Datacenter-Betreiber  Internet-Service-Provider und Backbone-Betreiber  Telekommunikations-Konzerne  Supply-Chain-Betreiber  Transport und Logistik  International tätige Konzerne  Banken und Finanznetz-Betreiber (Kreditkarten- Clearing)  Produzenten von Sicherheits-Hard- und Software  Behörden und Staaten 11.10.2007 ePass - Biometrie 4
  • 5. Was ist RFID?  Radio Frequency Identification (RFID)  Drahtlose Übertragung von Informationen zwischen Transponder („Tag“) und „Reader“ (Lese- und Schreibgerät)  Bidirektionale Übertragung (Lesen und Schreiben)  Transponder („Tag“) kann an etwas befestigt, in etwas eingebaut oder auch in Lebewesen implantiert werden.  automatische Korrelation zwischen Objekt und gespeicherter Information 11.10.2007 ePass - Biometrie 5
  • 7. Generische Angriffe  Abhören der Information zwischen Transponder und Reader  Fälschen der Kommunikation  unbefugtes Erlangen von User ID, Nutzdaten und Meta-Daten  grundlegende Angriffe auf Strukturen und Tags  „Replay Attacken“, um Zugangssysteme auszutricksen 11.10.2007 ePass - Biometrie 7
  • 8. Generische Angriffe  Fälschung der Identität des Readers und nicht-authorisiertes Schreiben auf den Tag  Änderung der UID durch Manipulation des administrative data block  Vortäuschen einer falschen Identität  UID muss laut Standard in Klartext lesbar sein  Manipulation von Produktgruppen und Preisen 11.10.2007 ePass - Biometrie 8
  • 9. Generische Angriffe  Manipulation von auf dem Tag gespeicherten Daten  Manipulation von Nutzdaten  Manipulation von Metadaten  Austausch von Objekten  Scheinbare Duplikation von Objekten 11.10.2007 ePass - Biometrie 9
  • 10. Generische Angriffe  Deaktivierung des Transponders  Verhinderung der Verfolgung von Objekten  Verhinderung der Erkennung von Objekten („unsichtbar“) 11.10.2007 ePass - Biometrie 10
  • 11. Generische Angriffe  Angriffe auf die Middleware und Backend/Server-Systeme; Manipulation von Datenstrukturen  Einbringen von Schadprogrammen („Malware“) in Backend- und Middleware-Systeme  z.B. „Datenbank-Würmer“, SQL-Injektion  Manipulation von Backend-Systemen  „Denial of Service“ - Angriffe auf die Infrastruktur 11.10.2007 ePass - Biometrie 11
  • 12. Generische Angriffe  „Jamming“ der RFID Frequenzen  Kann mit „out-of-the-box“ Polizeifunk / Handy- Jammern gemacht werden (Breitband Jamming Sender)  Angriffe gegen den Anti-Collision-Mechanismus des RFID-Systems  Verhindern, dass ein Tag gelesen werden kann  Einfacher „Denial of Service“- Angriff gegen das RFID System  „Abschalten“ der Produktion, des Verkaufs oder des Zugangs 11.10.2007 ePass - Biometrie 12
  • 13. ePassports This image is a work of a United States Department of Homeland Security employee, taken or made during the course of an employee's official duties. As a work of the U.S. federal government, the image is in the public domain. 11.10.2007 ePass - Biometrie 13
  • 14. MRTD  Machine Readable Travel Document = Electronic Passport (ePassport, ePass)  Spezifikation durch die ICAO  International Civil Aviation Organization, Unterorganisation der UN  eingeführt auf globaler Basis 11.10.2007 ePass - Biometrie 14
  • 15. Deutscher ePass  RFID Tag in die Hülle integriert  Hergestellt von der Bundesdruckerei GmbH  Bald auch als elektronischer Personalausweis 11.10.2007 ePass - Biometrie 15
  • 16. MRTD nach ICAO  Auf einem RFID Tag werden persönliche Daten und biometrische Daten gespeichert  ICAO Standard deckt auch alternative Methoden wie 2D-Barcodes ab  Gemeinsamer Standard für Interoperabilität  Neben vorgeschriebenen Merkmalen gibt es auch optionale Merkmale 11.10.2007 ePass - Biometrie 16
  • 17. 2D Code und MRZ Pass mit 2D Barcode und MRZ (machine readable zone) 11.10.2007 ePass - Biometrie 17
  • 18. MRTD Daten-Layout  LDS (Logical Data Structure)  Daten werden in DG (Data Groups) gespeichert  DG1: MRZ Information (mandatory)  DG2: Portrait Bild + biometrisches Template (mandatory)  DG3 / DG4: Fingerabdrücke, Iris-Bild (optional)  EF.SOD: Security Object Data (kryptographische Signaturen)  EF.COM: Liste der existierenden Data Groups  Daten werden in BER-encoded ASN.1 Strukuren gespeichert  DG2-DG4 benutzen CBEFF – Codierung  common biometric file format, ISO 19785 11.10.2007 ePass - Biometrie 18
  • 19. MRTD Sicherheitsmerkmale  Zufällige UID für jede Aktivierung  normalerweise haben alle ISO 14443 Transponder eine feste eindeutige Seriennummer  Die UID wird für den Anti-Kollisionsmechanismus benötigt.  Verhinderung der Verfolgung des Trägers ohne vorherige Zugriffskontrolle (Verhinderung einer „Anti-USA-Bürger- Bombe“)  Problem: ICAO MRTD Spezifikationen verlangen keine zufällige Seriennummer  Nur einige Ländern werden eine zufällige UID verwenden. 11.10.2007 ePass - Biometrie 19
  • 20. Passive Authentifizierung  Vorgeschrieben für alle MRTD  stellt sicher, dass die MRTD/Passport-Daten durch das ausgebende Land elektronisch signiert sind  Das Lesesystem muss die Hash-Werte der DGs überprüfen:  EF.SOD enthält individuelle Signaturen für jede DG  EF.SOD ist selber signiert  Document Signer Public Key muss durch PKD / bilaterale Kanäle bekannt sein  Document Signer Public Key kann auf dem MRTD gespeichert sein  Nützt nur etwas, wenn der Country Root CA public key bekannt ist 11.10.2007 ePass - Biometrie 20
  • 21. Signierte Daten E F .C O M E F .D G 1 E F .D G 2 E F .D G 3 HA S H over HA S H over D ata D ata HA S H over HA S H H A S H S ig n e d b y C o u n try C A E F .S O D 11.10.2007 ePass - Biometrie 21
  • 22. Basic Access Control BAC  Erlaubt Zugriff auf die Daten, nachdem das Lesegerät authorisiert wurde  Authorisierung über die Machine Readable Zone (MRZ)  9-stellige Dokumentennummer  In vielen Ländern: Ausgebende Behörde + fortlaufende Nummer (kann dann leicht geraten werden)  6-stelliges Geburtsdatum  Kann geraten oder als gültig angenommen werden  6-stelliges Verfallsdatum  16 most significant Bytes des SHA1-Hash über MRZ-Info (3DES Schlüssel für S/M (ISO7816 secure messaging) werden benutzt 11.10.2007 ePass - Biometrie 22
  • 23. Extended Access Control EAC  optionales Verfahren (Deutschland wendet es an für Fingerabdrücke)  Soll den unerlaubten Zugriff auf biometrische Daten verhindern (außer Passbild)  nicht international standardisiert  von den ausgebenden Behörden individuell implementiert  nur ausgewählten Ländern wird der Zugang gestattet 11.10.2007 ePass - Biometrie 23
  • 24. Klonen von ePässen  „Dual Interface Tags“ können als MRTD Tag fungieren  Daten können von einem echten ePass ausgelesen weden  Personalisierung ist möglich mit „Smartcard Shell“ oder anderen Software-Tools  Geklonte ePässe verhalten sich für RFID identisch zu offiziellen ePässen  „http://stream.servstream.com/ViewWeb/BBCWorld/File/worl_click_141206_one_hi.as x?Media=77526“  http://archiv.tagesspiegel.de/archiv/10.02.2007/3053670.asp#  Technology Review, Februar 2007, Seite 91/92  SAT1 "Planetopia", 1.10.2006, Gefahren von RFID in elektronischen Reisepässen 11.10.2007 ePass - Biometrie 24
  • 25. Chaos der Standards  TLV and ASN.1 sind nicht korrekt implementiert  Redundante Meta Formate für biometrische Daten  Wenn der unterschreibende Schlüssel eines Landes unzuverlässig/geklaut ist, ist das Land verloren  es gibt keinen Weg, ein MRTD-Zertifikat zurückzurufen!  Die Daten müssen erst vom Lesegerät komplett gelesen und ausgewertet / interpretiert werden, bevor sie verifiziert werden können  Design wurde durch politische Kompromisse erreicht, nicht von IT-Security Experten  Daten können manipuliert werden 11.10.2007 ePass - Biometrie 25
  • 26. Sicherheitsrisiken  UID könnte verändert werden  Pass - Tag könnte als Zugangs-Tag in anderen Zusammenhängen benutzt werden  Manipulierte DGs könnten die Lesegeräte zum Absturz bringen  erfolgreich demonstriert mit den Geräten mehrerer Länder  http://www.heise.de/newsticker/meldung/93723  Wenn man einen Absturz provozieren kann, kann man vermutlich auch Schadprogramme einbringen 11.10.2007 ePass - Biometrie 26
  • 27. Einbruch in das System ERP Event M anager CRP In fo rm a tio n R e a d e r c o n tro l S e rv e r ( M id d le w a re ) .... ED GE BACKEND 11.10.2007 ePass - Biometrie 27
  • 28. Organisation  Das Problem mit der Identität lässt sich nicht  nur durch Technologie lösen  vollkommen automatisieren  Es muss in einen Organisationsprozess eingebunden werden.  Es muss immer kostenorientiert aufbereitet werden. 11.10.2007 ePass - Biometrie 28
  • 29. neues Passgesetz - 1  ICAO Spezifikation steht konträr zu den „Best Practices“ für die Absicherung von Informationssystemen:  bisher geschlossenes Kontrollsystem (optische Leser für MRZ) werden geöffnet (RFID). Gefahr von Angriffen auf die Lesestationen.  BAC-Schlüssel ist auf dem MRTD aufgedruckt. Schloss und Schlüssel liegen zusammen vor. In vielen Ländern ist es vorgeschrieben, Fotokopien des Passes z.B. in Hotels zu machen... 11.10.2007 ePass - Biometrie 29
  • 30. neues Passgesetz - 2  ICAO Spezifikation steht konträr zu den „Best Practices“ für die Absicherung von Informationssystemen:  Gültigkeit des EAC Schlüssels kann vom MRTD nicht geprüft werden, da kein Zeitnormal vorliegt (MRTD hat keine eingebaute Uhr). Ein Rückrufmechanismus für Schlüssel existiert nicht. Verwendet wird der Zeitstempel des letzten Zugriffs. Möglichkeit der Entwertung durch bewusst falsche (zukünftige) Zeitstempel durch Angreifer. Schreibschutz auf dem MRTD muss wegen der Zeitstempel aufgehoben werden. 11.10.2007 ePass - Biometrie 30
  • 31. neues Passgesetz - 3  Sicherheit der Datenübermittlung  für EAC muss online bei einer zentralen Stelle angefragt werden  kein EAC und damit auch keine neuen Pässe für Auslandsdeutsche in „nicht vertrauenswürdigen“ Ländern (z.B. Sultanat Oman)  Technologie stellt nur einen kleinen Teil dar, organisatorische Maßnahmen fehlen im Gesetz  Es ist noch nicht einmal der gleiche Standard wie bei der Übermittlung von Kontodaten von Banken an das BaFin festgeschrieben 11.10.2007 ePass - Biometrie 31
  • 32. neues Passgesetz - 4  BAC: Schlüssel kann aus MRZ generiert werden  MRZ durch Fotokopie des MRTD erhältlich (Flugreisen, Hotels, Mietwagen, ...)  Auch ohne Auslesen der Daten kann durch reinen Verbindungsaufbau mit BAC ein Bewegungsprofil aufgezeichnet werden  Auslesen des Passbildes mit BAC beschert dem Angreifer ein Biometrie-geeignetes Bild des Opfers  Auslesen der BAC-geschützten Daten kann nicht bemerkt bzw. nachgewiesen werden  Pass sollte nicht nur in Deutschland „sicher“ sein: ein Pass ist schließlich gerade zum Einsatz im Ausland gedacht 11.10.2007 ePass - Biometrie 32
  • 33. ePersonalausweis  vermutlich gleiche Technik wie beim ePass  Fingerabdrücke durch EAC geschützt  Kryptographie ist nicht das Problem, sondern der Rest des Standards  Organisation kritisch: langer Weg vom Fingerabdruck- Scanner im Bürgerbüro bzw. Lesegerät „auf Streife“ bis zur zentralen Datei. Ist wirklich jeder Schritt und jedes Kabel „sicher“?  erkennungsdienstliche Erfassung aller Bürger ab 16 Jahren  Polizei-Wunschtraum  Bürger-Albtraum  Generalverdacht für alle? 11.10.2007 ePass - Biometrie 33
  • 34. Fragen ? 11.10.2007 ePass - Biometrie 34
  • 35. Thank You Dr. Christian Böttger DN-Systems GmbH Bentestraße 10 Hornemannstr. 11-13 31311 Uetze 31137 Hildesheim, Germany Phone: +49.5173.9249744 Phone: +49-5121-28989-0 Mail: c.boettger@boettger-consulting.de Mail: info@dn-systems.de http://www.boettger-consulting.de/ http://www.dn-systems.de/ DN-Systems International Limited P.O. Box 500 581 Dubai · U.A.E. Phone: +971-50-2861299 Mail: info@dn-systems.com 11.10.2007 ePass - Biometrie 35