Basic Access Control

Basic Access Control bezeichnet das Authentifizierungsverfahren zwischen einem Inspektionssystem und einem maschinenlesbaren Reisedokument, um einen verschlüsselten Datenaustausch zu ermöglichen. Das verwendete Authentifizierungsverfahren ist eine Challenge-Response-Authentifizierung.

Das Verfahren setzt voraus, dass der Dokumenteninhaber sein Reisedokument (z. B. Reisepass) zur Inspektion vorlegt. Somit ist sichergestellt, dass sensible Daten nicht ohne Einwilligung des Reisenden ausgelesen werden können.

Inhaltsverzeichnis

Das Verfahren

Grafik
  • Schlüsselerzeugung
  1. Der Dokumentinhaber legt sein Reisedokument zur Inspektion vor.
  2. Ein optisches Lesegerät liest die auf das Dokument gedruckte maschinenlesbare Zone (MRZ) aus. Alternativ können die Daten auch von Hand eingegeben werden.
  3. Aus den Daten werden die Dokumentennummer, das Geburtsdatum und das Ablaufdatum inklusive der Prüfziffern extrahiert.
  4. Aus den extrahierten Daten werden zwei Schlüssel, K_ENC und K_MAC erzeugt, welche zur Verschlüsselung der folgenden Kommandos und zur Prüfsummenberechnung verwendet werden.
  • Authentifizierung und Etablierung der Sitzungsschlüssel
  1. Von dem Dokumentenchip wird eine Zufallszahl RND_ICC erzeugt und an das Inspektionssystem gesendet.
  2. Das Inspektionssystem erzeugt zwei Zufallszahlen, RND_IFD und K_IFD.
  3. Die Verkettung der Zufallszahlen wird mit dem Schlüssel K_ENC verschlüsselt und das Ergebnis mit einer auf dem Schlüssel K_MAC basierenden MAC-Prüfsumme versehen.
  4. Die Daten werden zusammen mit einem Authentifizierungkommando an den Dokumentenchip gesendet.
  5. Der Chip verifiziert und entschlüsselt die Daten und vergleicht die enthaltene Zufallszahl mit der zuvor von ihm gesendeten.
  6. Der Chip erzeugt eine weitere Zufallszahl K_ICC und bildet die XOR-Verknüpfung aus K_ICC und K_IFD als Grundlage für die Erzeugung der Sitzungsschlüssel KS_ENC und KS_MAC.
  7. Die Verkettung der Zufallszahlen RND_ICC, RND_IFD und K_ICC wird mit dem Schlüssel K_ENC verschlüsselt und das Ergebnis mit einer auf dem Schlüssel K_MAC basierenden MAC-Prüfsumme versehen und zurück an das Inspektionssystem geschickt. Für die spätere Kommunikation wird aus den jeweils vier niederwertigen Bytes der Zufallszahlen RND_ICC und RND_IFD ein acht Byte langer Zähler generiert.
  • Beginn der gesicherten Kommunikation
  1. Das Inspektionssystem verifiziert die Gültigkeit der Antwort des Chips und entschlüsselt das Ergebnis.
  2. Aus dem Ergebnis werden nun ebenfalls die Sitzungsschlüssel und der acht Byte lange Zähler errechnet.

Sichere Kommunikation

Die nun folgende Kommunikation zwischen dem Inspektionssystem und dem Reisedokument wird als Secure Messaging bezeichnet. Eine Nachricht wird jeweils mit einem Sitzungsschlüssel verschlüsselt und das Ergebnis mit einer Prüfsumme versehen. Vor jeder Prüfsummenberechnung wird der Sitzungszähler erhöht und den zur Prüfsummenberechnug herangezogenen Daten vorangestellt. Die Verschlüsselung und Prüfsummenberechnung werden mit den erzeugten Schlüsseln KS_ENC und KS_MAC durchgeführt. Die Daten werden mit 112-Bit-Triple-DES verschlüsselt.

Kritik

Die Sicherheit des Verfahrens hängt maßgeblich von der effektiven Schlüssellänge ab. Während diese bei einer reinen zahlbasierten Seriennummer theoretisch 56 Bit betragen kann, wird beispielsweise in den Niederlanden eine Nummernvergabe praktiziert, die die Schlüsselstärke auf höchstens 35 Bit reduziert und eine tatsächlich noch geringere Stärke nahelegt. Von der niederländischen Sicherheitsfirma Riscure wurde ein Angriff gezeigt, bei dem eine Aufzeichnung einer abgehörten legitimen BAC-Kommunikation aufgrund der verwendeten Verschlüsselungsstärke mit der Rechenleistung eines handelsüblichen PCs innerhalb weniger Stunden entschlüsselt werden konnte.

Teilweise wird argumentiert, dass Basic Access Control deshalb an sich noch kein schlechtes Verfahren sei. Allgemein sollte die Stärke eines Verschlüsselungsverfahrens der Vertraulichkeit der zu schützenden Daten angemessen sein. Verfechter des Systems wenden ein, dass die Daten, die der Chip eines BAC-Reisepasses enthält (Name, Geburtsdatum, Passnummer, Staatsangehörigkeit, Geschlecht, Gültigkeitsdauer des Passes, Lichtbild), in den oben genannten "wenigen Stunden" sehr wahrscheinlich auch auf anderem Wege ermittelt werden könnten. Insofern biete das unsicher angewandte BAC-Verfahren Angreifern nur eine weitere Angriffsmöglichkeit mit ähnlichem Aufwand wie vergleichbare Angriffe.

Weitere Informationen


Wikimedia Foundation.

Schlagen Sie auch in anderen Wörterbüchern nach:

  • Basic Access Control — (BAC) is a mechanism specified to ensure only authorized parties can wirelessly read personal information from passports with an RFID chip. It uses data such as the passport number, date of birth and expiration date to negotiate a session key.… …   Wikipedia

  • basic Access Control — bazinė prieigos kontrolė statusas Aprobuotas sritis informacija, informacinės technologijos ir informacinė visuomenė apibrėžtis Informacijos apsaugos priemonė, leidžianti perskaityti luste saugomą informaciją tik perskaičius automatinio… …   Lithuanian dictionary (lietuvių žodynas)

  • Access control — is the ability to permit or deny the use of a particular resource by a particular entity. Access control mechanisms can be used in managing physical resources (such as a movie theater, to which only ticketholders should be admitted), logical… …   Wikipedia

  • access control entry —    Abbreviated ACE. The basic unit of security in Microsoft Windows 2000 that controls access to the file system, to Active Directory objects, to printers and other network resources, and to the Registry. An ACE consists of a security identifier… …   Dictionary of networking

  • Context-based access control — (CBAC) intelligently filters TCP and UDP packets based on application layer protocol session information and can be used for intranets, extranets and internets. CBAC can be configured to permit specified TCP and UDP traffic through a firewall… …   Wikipedia

  • Control flow — Not to be confused with Flow control. In computer science, control flow (or alternatively, flow of control) refers to the order in which the individual statements, instructions, or function calls of an imperative or a declarative program are… …   Wikipedia

  • Access badge — An access badge is a credential used to gain entry to an area having automated access control entry points. Entry points may be doors, turnstiles, parking gates or other barriers.Access badges use various technologies to identify the holder of… …   Wikipedia

  • BASIC — Класс языка: алгоритмическое, процедурное, объектное программирование Появился в: 1963 г. Расширение файлов: .bas Типизация данных: нестрогая Бейсик (от BASIC, сокращение от англ.  …   Википедия

  • Control-Alt-Delete — This article is about the keyboard combination. For a list of keyboard shortcuts, see Table of keyboard shortcuts. For other uses, see Control Alt Delete (disambiguation). The keys Control Alt Delete highlighted on a QWERTY keyboard. Control Alt… …   Wikipedia

  • Access method — An access method is a function of a mainframe operating system that enables access to data on disk, tape or other external devices. They were introduced in 1963 in IBM OS/360 operating system. [http://researchweb.watson.ibm.com/journal/rd/255/ausl… …   Wikipedia

Share the article and excerpts

Direct link
Do a right-click on the link above
and select “Copy Link”