Cebit

BSI: Der elektronische Reisepass ist sicher

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in einer Serie von Vorträgen auf der CeBIT nachdrücklich die Sicherheit des elektronischen Reisepasses betont.

In Pocket speichern vorlesen Druckansicht 121 Kommentare lesen
Lesezeit: 4 Min.
Von
  • Detlef Borchers

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat in einer Serie von Vorträgen auf der CeBIT nachdrücklich die Sicherheit des elektronischen Reisepasses betont. Probleme gebe es allenfalls bei der Verteilung und Sperrung von Zertifikaten, mit denen sich Lesegeräte gegenüber dem Reisepass identifizieren müssen, wenn biometrische Daten vom RFID-Chip ausgelesen werden sollen. Gleichzeitig hat das BSI eine Ausschreibung für eine Untersuchung gestartet, die die Qualität der Erhebung von biometrischen Daten vereinheitlichen und verbessern soll.

In vier faktenreichen Vorträgen setzte sich das BSI mit den behaupteten Unsicherheiten des elektronischen Reisepasses auseinander. Harald Kelter vom BSI zeigte Fotos davon, wie das BSI im Internet kursierende Bauanleitungen nachbaut, die angeblich das unbemerkte Auslesen von RFID-Chips ermöglichen. Sein Fazit: Bei 2,3 bis 2,5 Meter ist Schluss mit dem Abhören der Kommunikation zwischen Karte und Lesegerät. Das aktive Auslesen der Daten mit einem RFID-Skimmer sei ohnehin nur bis zu einer Entfernung von maximal 25 Zentimetern möglich.

Renke Bienert vom Chiphersteller NXP beschäftigte sich rechnerisch/physikalisch mit der Abhör- und Aktivierungsreichweite der Funkchips, die im Reisepass verwendet werden. Auch seine Schlussfolgerungen konnten beruhigen: Unter theoretischen Idealbedingungen ohne Störrauschen betrage die maximale Abhörreichweite 9 bis 10 Meter, im praktischen Alltag höchstens 4 bis 5 Meter. Die Aktivierungsreichweite berechnete Bienert mit 35 Zentimetern. Wer unbemerkt über größere Distanzen Daten aus einem Reisepass auslesen möchte, bleibe nicht unbemerkt: Bei einer Distanz vom 60 Zentimetern und einer ausreichend großen, exakt ausgerichteten Antenne in einer "sehr großen Aktentasche" brauche es schon 350 Watt Sendeleistung, um den Chip auszulesen. Das im Internet kursierende Video von der tödlichen Bedrohung eines Reisepassinhabers durch RFID-Detektoren und Bomben bezeichnete Bienert als "extrem weit hergeholt".

Dennis Kügler vom BSI beschäftigte sich mit den in der Wikipedia aufgeführten Angriffen auf die Sicherheit von ePässen. Er konzedierte, dass das behauptete Klonen eines Chips wohl möglich sei, bestritt aber, dass auf diese Weise Datenänderungen möglich seien. Die Arbeit des britischen Sicherheitsexperten Adam Laurie, der vier Stunden Lese-Kontakt zu einem chipbestückten Reisepass brauchte, um die ihm zuvor bekannten Inhaberdaten in der Basic Access Control zu ermitteln, hielt Kügler für kein aussagefähiges Angriffsszenario an einer Passkontrolle. Darüber hinaus sei bei dem elektronischen Reisepass der zweiten Generation die Seriennummer mit alphanumerischen Zeichen erweitert worden, was die Entropie der maschinenlesbaren Zone (MRZ, aus der der Schlüssel zur Basic Acess Control errechnet wird) von 35 auf 45 Bit erhöhe.

Kügler ging außerdem auf die Überlegungen von MRTD Analysis ein, die sich mit dem Einschmuggeln von Software Exploits und dem Fehlen einer sicheren Zeitbestimmung durch den RFID-Chip beschäftigen. Solche Angriffe auf die Pass-Lesegeräte und die Infrastruktur könnten durch die ständige Entwicklung und Standardisierung der Extended Acess Control berücksichtigt und verhindert werden. Als praktisches Problem beim ePass bezeichnete Kügler den Umgang mit den Zertifikaten, die für den erweiterten Zugriff auf die biometrischen Daten gebraucht werden. Die Verteilung der Zertifikate wie der Revokationslisten ungültiger Zertifikate sei verbesserungswürdig. Marco Breitenstein von der Firma Secunet beschäftigte sich in seinem Referat mit multimodaler Biometrie und dabei speziell mit der Frage, wie Gesichtsbild und Fingerabdruck eine sichere Identifizierung des Reisenden ermöglichen.

Die Vortragsreihe des BSI auf der CeBIT wurde offenbar vor dem Hintergrund angesetzt, dass die Produktion und damit die Sicherheit der elektronischen Personalausweise bald diskutiert wird. Bei diesen Ausweisen wird das Verfahren der Basic Acess Control durch das sicherere PACE-Verfahren (Password Authenticated Connection Establishment) ersetzt. Für die Produktion des künftigen Personalausweises stellte die Bundesdruckerei auf der CeBIT ein neues Druckverfahren vor, bei dem die Ausweise aus Polycarbonat so bedruckt werden, dass die Daten per Diffusion in den Kartenkörper wandern.

Pünktlich zur anlaufenden Debatte um den Personalausweis sind neue Gerüchte aufgetaucht, nach denen Giesecke & Devrient die Bundesdruckerei zu 75 Prozent übernehmen will. Diese Übernahme soll der Münchner Kartenproduzent von der Bedingung abhängig gemacht haben, dass der Bund den Auftrag zur Produktion der neuen Personalausweise an die Bundesdruckerei vergibt. Der Bund selbst soll dabei 25 Prozent des ehemaligen Staatsbetriebes erwerben. Die ebenfalls am Kauf der Bundesdruckerei interessierte Gemalto wollte die Gerüchte auf der CeBIT nicht kommentieren. (Detlef Borchers) / (pmz)