Azonosító okmányaink védik a személyazonosságunkat – ezért nekünk is védenünk kell az okmányainkat. Ma a legtöbb azonosítónk elektronikus (ezért használják az e-ID kifejezést is): az RFID chipek integrált áramkörei kevesebb mint egy milliméter vastagok, és egyszerű betétként vannak beépítve a személyes okmányainkba. Ahogy egy korábbi cikkben is leírtuk, a chipek növelik okmányaink általános biztonságát, és fontos szerepet töltenek be digitális ökoszisztémánkban is – az utazástól a közigazgatási ügyintézésig.
A nagyobb biztonság azonban további fenyegetéseket is jelenthet a hamisítók és adatcsalók miatt. Az RFID chipeket védeni kell a módosítástól, a másolástól vagy az illetéktelen hozzáféréstől.
Ez a cikk bemutatja, milyen biztonsági intézkedéseket alkalmaz egy RFID chip, és ezek hogyan működnek a gyakorlatban. Figyelem! Sok rövidítés következik, de nem magyarázat nélkül.
Kettős biztonság: hozzáférés és hitelesítés
Az RFID chipek védelme kettős:
- először is, a chipet védeni kell a jogosulatlan hozzáféréssel szemben (ezeket az intézkedéseket Chip Access Controlnak nevezik), és
- másodszor, a chipnek meg kell akadályoznia a másolást vagy a módosítást (ezek a chiphitelesítési intézkedések).
Mindkét védelmi típust az ICAO dolgozta ki, a főbb személyazonosító okmány- és chipgyártók, valamint a BSI (Bundesamt für Sicherheit in der Informationstechnik – Német Szövetségi Információbiztonsági Hivatal) bevonásával. Ezek a védelmi megoldások az elmúlt évtizedek során folyamatosan fejlődtek, alkalmazkodva az aktuális igényekhez és egyre biztonságosabbá téve az azonosító okmányokat.
Hitelesítési protokollok a hozzáférés-vezérléshez
Mi van akkor, ha egy rosszindulatú személy úgy akar hozzáférni egy útlevél RFID-adataihoz, hogy nincs a kezében? Egy erős antenna ezt lehetővé teszi, hacsak az útlevél nem rendelkezik úgynevezett hozzáférés-vezérlő rendszerrel.
Alapvető hozzáférés-vezérlés
Az első ilyen rendszert Basic Access Controlnak (röviden BAC) hívták, amelyet 2005-ben vezettek be a német útlevelek esetében. Ez a mechanizmus csak akkor engedi a terminálnak megnyitni a chipet, ha a terminál bizonyítja, hogy a dokumentum fizikailag jelen van. Ha a terminál megkap bizonyos útlevéladatokat, feltételezi, hogy a hozzáférés jogosult: az MRZ-n (Machine Readable Zone) alapul. Először az olvasóterminál felismeri az MRZ-t, és összeveti a digitálisan tárolt MRZ-vel (chipadatok), amely nyilvánosan elérhető. Ha egyezés van, a terminál engedélyezi a chip további tartalmainak megnyitását.
Kiegészítő hozzáférés-vezérlés
A BAC-nak biztonságosabbá kellett válnia, mivel az MRZ legtöbb része nem annyira egyedi, hogy ne lehetne kitalálni. A BAC által védett dokumentumokhoz így is hozzá lehetett férni hacker algoritmusokkal és a megfelelő információdarabokkal. Ezért az ICAO egy új protokollkészletet határozott meg a skimming és a lehallgatás elkerülésére. A BAC logikáját követve az ICAO bevezette a PACE-t (Password-Authenticated Access Control) a magasabb szintű biztonság érdekében.
PACE
Ha egy chip PACE védelemmel rendelkezik, az MRZ mellett egy további kódot is igényel. Ez a kód a személyazonosító okmány része, és nem lehet olyan könnyen kitalálni, mint az MRZ-t. Többféleképpen is megvalósítható. Leggyakrabban az okmánygyártók a személyre szabási folyamat során egy speciális kódot helyeznek el a dokumentumon. Ez a Card Access Number, röviden CAN. Az MRZ és a CAN használatával a biztonságos adatkommunikációs csatorna a BAC esetéhez hasonló módon épül fel. Az elmúlt néhány évben az okmánygyártók határozottan a PACE felé mozdultak el.
EAC
Az Extended Access Control (röviden EAC) az ICAO által ajánlott, opcionális biztonsági funkció volt (a Basic Access Control kiegészítéseként) az elektronikus úti okmányokban található érzékeny biometrikus adatokhoz való hozzáférés korlátozására (ujjlenyomat a 3. adatcsoportban és írisz a 4. adatcsoportban). Részletes szabályozás helyett az ICAO csak a követelményeket rögzítette: a chipnek egyedi kulcsokat és feldolgozási képességeket kell tartalmaznia, valamint további kulcskezelés szükséges. Az ICAO azonban a tényleges megoldást a bevezető országokra bízza: az EU-ban például az EAC-t két speciális hitelesítés, a Chip Authentication és a Terminal Authentication kombinációjával oldják meg. Olvasson tovább, hogy megismerkedjen ezekkel a hitelesítési típusokkal.
Chipvédelem és hitelesítés
Az RFID technológia biztonságának elemzésekor a chipek titkosításáról is beszélnünk kell, több kérdést is figyelembe véve, például:
- Honnan tudjuk, hogy a tárolt adatok hitelesek?
- A leolvasó terminál jogosult az adatok kiolvasására? Mi szükséges ehhez?
- Hogyan védettek a tárolt adatok a másolás vagy a módosítás ellen?
Ezek a kérdések elvezetnek minket a chip-hitelesítések témájához.
Passzív hitelesítés
A passzív hitelesítést a chip adatainak integritásának biztosítására fejlesztették ki. Digitális aláírások ellenőrzésével történik. A chipben (az adatcsoportokon kívül) található egy külön adatállomány, az EF.SOD. Ez a chip teljes tartalmának titkosított reprezentációját tartalmazza. A chip tartalmának ellenőrzéséhez minden ország létrehozott egy úgynevezett CSCA-t (Country Signing Certification Authority), amely tanúsítja az útlevelek kiállításáért felelős szervezeteket (pl. állami nyomdák, nagykövetségek stb.). Ezeket a szervezeteket Document Signers-nek nevezik. Az útlevélben lévő adatokat ezután ezen Document Signers-ek egyike írja alá. Az aláírások ellenőrzéséhez a kibocsátó ország CSCA-tanúsítványainak rendelkezésre kell állniuk, és azok integritását garantálni kell. Az országok a CSCA-tanúsítványokat diplomáciai csere útján használják.
A passzív hitelesítés alkalmas a chip tartalmának megváltoztatásának megakadályozására. Azonban nem használható az ellene, hogy valaki azonos másolatot készítsen róla (klónozás), ezért ezt a témát tovább kell vizsgálnunk.
Aktív hitelesítés
A klónozás megelőzésére az e-ID-k bevezették az aktív hitelesítést: biztonságos kriptográfiai technikák kombinációját. Fő eleme egy aszimmetrikus kulcspár, amelyet a chip tárol. Míg a nyilvános kulcs szabadon olvasható (a DG15-ben van tárolva, és a hash-ét digitálisan aláírják), a privát kulcs nem olvasható ki a chipből. Jelenléte csak egy kihívás–válasz algoritmussal ellenőrizhető (ISO 9796-2 alapján). Az aktív hitelesítés nem található meg minden e-útlevélben, mivel opcionális, nem kötelező.
Chip hitelesítés
A Chip hitelesítés (CA) azért jött létre, hogy erősebb titkosítást biztosítson, mint a BAC esetében (a BAC-kulcs alacsony entrópiájának kiküszöbölésére). A CA privát és nyilvános kulcsok kommunikálásával történik, a biztonságos Diffie-Hellman kulcspár-logikát alkalmazva.
Ennyi lehetőség: melyik a legjobb?
Könnyű elveszni a hitelesítési típusok sokaságában – és felmerülhet a kérdés: minden módszert ugyanabban a személyazonosító okmányban használnak, vagy csak néhányat? Ez az okmány típusától és a kibocsátó ország szabályozásától függ. Például az Európai Unióban a géppel olvasható úti okmányoknak tartalmazniuk kell a PACE-t (BAC), a passzív hitelesítést és a Therminal hitelesítést a BSI irányelvei szerint.
Hogyan válassza ki a megfelelő RFID-olvasó terminált
Bár az optikai biztonsági elemek manuális ellenőrzéssel és digitális képalkotással is hitelesíthetők, az RFID chipek ellenőrzéséhez (és olvasásához) digitális eszközre van szükség, például egy boarding pass szkennerre vagy egy speciális útlevélolvasóra, mint az Osmond. Nemzetközi úti okmányok esetében azonban ennek az eszköznek OCR (Optical Character Recognition) funkcióval is rendelkeznie kell ahhoz, hogy el tudja végezni a fent ismertetett hozzáférés-ellenőrzési feladatokat.
Ezeknek az útlevélolvasóknak vagy ID-szkennereknek nevezett eszközöknek meg kell felelniük a legújabb RFID-technológiának.
- Hardveres szempontból a beépített antennának és az RFID-vezérlőnek meg kell felelnie az olvasási frekvenciára vonatkozó követelményeknek, és stabil adatátvitelt kell biztosítania.
- Szoftveres szempontból az automatikusan végrehajtott RFID-ellenőrzéseknek meg kell felelniük a legújabb szabványoknak, és képesnek kell lenniük a szükséges tanúsítványok tárolására és használatára.
Az Osmond, legújabb útlevélolvasó eszközünk fejlesztése során az RFID-kompatibilitásra összpontosítottunk: tudva, hogy termékeinket a legigényesebb alkalmazásokban, például határellenőrzésnél is használják, kompromisszummentes RFID-olvasási teljesítményt tűztünk ki célul. Ennek eredményeként az eszköz több előre telepített RFID-tanúsítványt is tartalmaz, hogy megkönnyítse az RFID-kommunikációt, és felhasználóbarát felületet kínál a legújabb tanúsítványfájlok egyszerű feltöltéséhez a terminálra. Mindezeken felül az Osmond – akárcsak elődei – a legszigorúbb RFID-szabványnak is megfelel: a BSI TR-03105-nek.
Van bármilyen kérdése vagy érdeklődése? Minden lépésnél támogatjuk.
