Techniken der ID-Karte

Aus Winfwiki

Fallstudienarbeit
Hochschule:	Hochschule für Oekonomie & Management
Standort:	Bremen
Studiengang:	Bachelor Wirtschaftsinformatik
Veranstaltung:	Fallstudie / Wissenschaftliches Arbeiten
Betreuer:	Dipl.-Phys. Frank Guderwarning.png„Dipl.-Phys. Frank Guder“ gehört nicht zu den möglichen Werten dieses Attributs (Dipl-Inf._(FH)_Jörg_Muschiol, Dr._Vladimir_Stantchev, Prof._Dr._Ralf_Hötling, Prof._Dr._Uwe_Kern, Dipl-Inf._(FH)_Christian_Schäfer, Prof._Dr._Gregor_Sandhaus).
Typ:	Fallstudienarbeit
Themengebiet:	Techniken der ID-Karte
Autor(en):	Isabelle Meyer, Stephan Jeske, Christian Berg
Studienzeitmodell:	Abendstudium
Semesterbezeichnung:	SS11
Studiensemester:	2
Bearbeitungsstatus:	vergeben
Prüfungstermin:
Abgabetermin:

Inhaltsverzeichnis 1 Einleitung 1.1 Thema 1.2 Zielsetzung 2 Elektronische Identifizierungskarten 2.1 Der elektronische Personalausweis 2.1.1 Ausweisen im Internet 2.1.2 Elektronische Signatur 2.1.3 Sicheres Reisedokument 2.1.4 Tests vor dem Rollout 2.1.5 Kein Zugriff auf persönliche Daten 2.1.6 Sicherheitsniveau 2.1.7 Sicherheitsbedenken 3 RFID(Radio Frequency Identification) 3.1 Definition 3.2 Management-Architekture für RFID-Lösungen 3.3 Nutzungsbereiche der RFID Technik 3.4 Abgrenzung der Techniken 3.5 Technik 4 Authentifizierung 4.1 Authentifizierungsarten 4.1.1 Authentifizierung durch Besitz 4.1.2 Authentifizierung durch Wissen 4.1.3 Authentifizierung durch Eigenschaft 5 Authentisierungsverfahren 5.1 Einseitige symmetrische Authentisierung 5.2 Gegenseitige symmetrische Authentisierung 6 Infrastruktur am Beispiel des elektronischen Personalausweises 6.1 Extended Access Control 6.1.1 Password Authenticated Connection Establishment (PACE) 6.1.2 Terminal Authentication (TA) 6.1.3 Chip Authentification (CA) 7 Authentisierung auf einer Weboberfläche am Beispiel des ePA 7.1 Der eID-Server 7.2 Ablauf der Authentifizierung 8 Abkürzungsverzeichnis 9 Abbildungsverzeichnis 10 Endnoten 11 Quellen- und Literaturverzeichnis

1 Einleitung

1.1 Thema

Kaum eine Technologie ist derart schnell gewachsen und hat an so starker Bedeutung gewonnen, wie die der elektronischen Identifikationskarten. In vielen verschiedenen Bereichen wie z.B. der Zeiterfassung, Bezahlungssystemen, Hotels oder der elektronischen Authentifizierung in sensiblen Bereichen ersetzt sie heute Stempelkarten oder Schlüssel und ermöglicht eine hohe Flexibilität und Sicherheit.Es gibt verschiedene Speicher-, und Lesetechniken. Infrarot- oder Induktivcode, Magnetstreifen, Kontaktchip und RFID-Chip sind die weit verbreitesten.

1.2 Zielsetzung

Erläuterung der Techniken der verschiedenen ID-Karten und die des neuen elektronischen Personalausweises. Die gängigsten Verschlüsselungs-, und Authentifizierungstechniken und die Infrastruktur und Netzwerke in denen sie Einsatz finden.

2 Elektronische Identifizierungskarten

"Mit elektronischen Identitätskarten sollen Menschen sicher, d.h. unzweifelhaft und unfälschbar, ihre Identität nachweisen, z.B. wenn sie Gesundheitsleistungen in Anspruch nehmen, Grenzen überschreiten, sich vor Behörden ausweisen, Einkommensnachweise für Sozialleistungen erbringen oder Steuererklärungen abgeben."^[2]

2.1 Der elektronische Personalausweis

Der elektronische Personalausweis ist seit dem 01 November 2010 im Einsatz. Er beinhaltet einige neue Funktionen die z.B. den Gang zu Behörden ersetzt. "Die vielleicht interessanteste neue Eigenschaft ist die Online-Ausweisfunktion, die die Sicherheit und den Komfort von E-Business und E-Government für alle deutlich erhöhen soll. Die neue Dokumentengeneration wird die herkömmlichen Anwendungen des Ausweises um elektronische Funktionen ergänzen. Die Daten, die heute optisch vom Dokument ablesbar sind, werden zukünftig in einem Ausweis-Chip abgelegt. Damit können sich die Ausweisinhaber online ausweisen – sowohl gegenüber Behörden im E-Government als auch gegenüber privatwirtschaftlichen Dienstleistungsanbietern, beispielsweise beim Online-Shopping, Online-Banking oder beim Online-Kauf von Tickets. Die Online-Ausweisfunktion basiert auf dem Prinzip des gegenseiten Ausweisens, wonach beide Seiten auf die angegebene Identität ihres Gegenübers vertrauen können: Nur mit einem staatlich ausgestellten Berechtigungszertifikat ist es für Dienstleister im Internet technisch möglich, auf Ausweisdaten zuzugreifen. Im Berechtigungszertifikat ist zusätzlich hinterlegt, welche Datenkategorien abgefragt werden können."^[3]

2.1.1 Ausweisen im Internet

"Der neue Personalausweis ist mit der Funktion des elektronischen Identitätsnachweises zum Online-Ausweisen ausgerüstet. Damit können Prozesse wie z. B. Log-in oder Alters- und Wohnortbestätigung wirtschaftlicher und schneller realisiert werden. Ein besonderer Schwerpunkt wurde auf den Schutz persönlicher Daten gelegt: Nur berechtigte Anbieter von Dienstleistungen dürfen die Daten des Ausweises abfragen. Der Ausweisinhaber selbst behält die volle Kontrolle darüber, welche seiner persönlichen Daten an den Anbieter übermittelt werden. Aufgrund seines Sicherheitskonzepts hilft der neue Personalausweis, Internetkriminalität zu bekämpfen und das Vertrauen der Bevölkerung in elektronische Transaktionen zu steigern. Er stärkt den Schutz vor Identitätsdiebstahl und bietet neue benutzerfreundliche Möglichkeiten für die Umsetzung des Jugendschutzes, letzteres unter anderem auch an Automaten, beispielsweise beim Zigarettenkauf."^[3]

2.1.2 Elektronische Signatur

"Die Ausweisinhaber können ein Zertifikat für die qualifizierte elektronische Signatur auf ihren Personalausweis laden. Damit sollen auch Dienste, die eine eigenhändige Unterschrift erfordern, medienbruchfrei, sicher und preiswert auf dem elektronischen Wege in Anspruch genommen werden."^[3]

2.1.3 Sicheres Reisedokument

"Für hoheitliche Kontrollen an Grenzen und im Inland – und nur für diese – ist die Biometriefunktion zur Identitätsfeststellung vorgesehen: Das digitale Foto wird in allen Personalausweisen enthalten sein. Zwei Fingerabdrücke können auf freiwilliger Basis ebenfalls im Chip gespeichert werden. Damit kann der elektronische Personalausweis ähnlich wie der elektronische Reisepass als sicheres Reisedokument eingesetzt werden. Beide Merkmale ermöglichen eine effiziente und sichere Unterstützung der Personenkontrolle, insbesondere zur Bekämpfung von Betrugsversuchen, bei denen verlorene oder gestohlene Dokumente gezielt durch fremde Personen verwendet werden. Das erste Konzept zum neuen Personalausweis wurde 2008 veröffentlicht und in Zusammenarbeit mit BITKOM und Deutschland sicher im Netz e.V. im Rahmen von gemeinsamen Workshops und Informationsveranstaltungen mit Vertretern der Wirtschaft, der Wissenschaft, des Datenschutzes und der Verbraucherverbände diskutiert. Das "Gesetz über Personalausweise und den elektronischen Identitätsnachweis sowie zur Änderung weiterer Vorschriften", PAuswG, wurde im Juni 2009 im Bundesgesetzblatt veröffentlicht und ist am 1. November 2010 in Kraft getreten."^[3]

2.1.4 Tests vor dem Rollout

"Um die positiven Voraussetzungen für eine hohe Akzeptanz des neuen Ausweises auf Seiten der Bürgerinnen und Bürger zu schaffen, hat das BMI seit Oktober 2009 Anwendungstests durchgeführt. Darin haben E-Business- und E-Government-Anbieter die neuen Funktionen des Personalausweises in ihren Services erprobt. Die Beantragung, Ausstellung und Sperrung von Ausweisen wurden durch ausgewählte kommunale Behörden seit Anfang 2010 in einem Feldtest evaluiert. Die Ergebnisse beider Tests sind vor dem Rollout in die laufende Projektabwicklung eingeflossen."^[3]

2.1.5 Kein Zugriff auf persönliche Daten

"Das Nutzen der Online-Ausweisfunktion mit am heimischen PC ist nur möglich, wenn man im Besitz des Ausweises ist und die geheime PIN kennt. Außerdem benötigt man ein Lesegerät. Bei der Verwendung eines Basislesegerätes ohne eigenes Zahleneingabefeld könnte eine Schadsoftware wie beispielsweise ein „Keylogger“ (Hard- oder Softwarekomponenten, die alle Tastatureingaben aufzeichnen und ggf. an Dritte übermitteln können) die Tastatureingabe der sechsstelligen PIN mitlesen, die zur Online-Authentisierung mit dem neuen Personalausweis notwendig ist. Allein durch das Mitlesen der PIN ist ein Missbrauch jedoch nicht möglich. Neben der Kenntnis der PIN muss der Angreifer dafür auch Zugriff auf den Ausweis selbst haben. Der Ausweis muss daher vom Inhaber sicher verwahrt werden. Dazu gehört auch, den Ausweis nur dann auf ein Kartenlesegerät zu legen, wenn er im Internet genutzt werden soll. Darüber hinaus werden alle auf dem Ausweis gespeicherten persönlichen Daten durchgehend verschlüsselt vom Chip an den Diensteanbieter übertragen. Verbraucher können mögliche Risiken bei allen Chipkarten und beim Online-Banking – ebenso wie beim neuen Personalausweis – deutlich minimieren, indem sie die üblichen Sicherheitsvorkehrungen treffen. So sollte man Angriffen mit Schadsoftware und Phishing vorbeugen und seine Computersysteme mit geeigneten Mitteln (Personal Firewall, leistungsfähiger Virenscanner, Aktualisierungen des Betriebssystems und aller verwendeten Anwendungsprogramme) frei von Schadsoftware halten. Im Vergleich zu der bei sonstigen Chipkarten und beim Onlinebanking in der Regel verwendeten Authentisierung mittels Benutzername und Passwort bietet der neue Personalausweis auch in Verbindung mit einem Basislesegerät einen erheblichen Sicherheitsgewinn. Das in der Nutzungssoftware "AusweisApp" integrierte virtuelle PIN-Pad, das die PIN-Eingabe mit der Maus ermöglicht und so das Mitlesen der PIN durch Keylogger oder ähnliche Schadprogramme deutlich erschwert, sollte genutzt werden. Diese Funktionalität kommt auch bereits bei mehreren Online-Banking-Angeboten zum Einsatz. Die PIN sollte regelmäßig geändert werden. Vorteile der Basislesegeräte sind der niedrige Preis, die freie Bauform und die einfache Integrierbarkeit in andere Geräte. Sie ermöglichen den Bürgern zudem einen einfachen und kostengünstigen Einstieg in die Nutzung des neuen Personalausweises als Online-Ausweis. Noch höhere Sicherheit bieten sogenannte Standard- und Komfortleser. Bei diesen ist die Sicherheit, dass keinerlei Daten abgefangen werden können, extrem hoch – auch bei Angriffen mit Trojanern oder anderer Schadsoftware. Ist der PC mit aktueller Antivirensoftware und Firewall gesichert, ist der Schutz auch mit Basislesern hinreichend hoch."^[3]

2.1.6 Sicherheitsniveau

"Das Gesamtsystem, das die Daten des neuen Personalausweises vor unberechtigten Zugriffen schützt, ist auf einem sehr hohen technischen Sicherheitsniveau. Das Sicherheitsniveau des Chips selbst gilt sogar als höchstmöglicher Sicherheitsstandard. Alle verwendeten Protokolle und Mechanismen beim neuen Personalausweis wurden einem Peer-Review der Fachwelt unterzogen. Dabei wurde auch getestet, ob Alternativen ein höheres Maß an Sicherheit bieten können. Das konkrete Niveau der Sicherheit hängt jedoch immer von der Computerumgebung des Nutzers ab. Dies gilt auch für andere Anwendungen wie das Online-Banking oder Internet-Shopping. Sicherheit kann nicht allein durch technologische Vorkehrungen gewährleistet werden. Anwender, die das Sicherheitsniveau ihres Rechners kontinuierlich auf dem neuesten Stand halten, indem sie eine aktuelle Firewall und einen leistungsfähigen Virenscanner einsetzen sowie regelmäßige Sicherheitsupdates für das Betriebssystem und alle weitere eingesetzte Software einspielen, brauchen sich um die Sicherheit ihrer persönlichen Daten keine Sorgen zu machen."^[3]

2.1.7 Sicherheitsbedenken

"Klassische Angriffe mit Spionagesoftware auf den PC des Verbrauchers sind nicht neu. Mit Hilfe dieser Schadsoftware kann der Angreifer genau das sehen, was der Nutzer des angegriffenen Computers auf seinem Bildschirm sieht. Sie führt jedoch nicht dazu, dass ein Angreifer die PIN des Personalausweises mitlesen kann, denn diese wird bei der Eingabe auf dem Bildschirm nicht im Klartext abgebildet. Angriffe mit Schadsoftware wie beispielsweise einem Trojaner sind bei der Nutzung des Internets grundsätzlich möglich. Dies stellt jedoch nicht eine Gefährdung einer einzelnen Anwendung dar, sondern zeigt allgemein die Notwendigkeit zur Verwendung von Virenscannern und Firewalls auf dem PC oder Notebook. Denn solche Spionageprogramme könnten auch eingesetzt werden, um persönliche E-Mails mitzulesen, beim Online-Einkauf zuzuschauen, wenn persönliche Daten in Formulare eingegeben werden oder beim Online-Banking Kontonummer, Kontostand und Transaktionsnummern mitzulesen."^[3]

3 RFID(Radio Frequency Identification)

3.1 Definition

"RFID bezeichnet Verfahren zur automatischen Identifizierung von Objekten über Funk. Der Einsatz von RFID-Systemen eignet sich grundsätzlich überall dort, wo automatisch gekennzeichnet, erkannt, registriert, gelagert, überwacht oder transportiert werden muss."^[5]

3.2 Management-Architekture für RFID-Lösungen

"Die störungsfreie Funktion von Geschäftsanwendungen ist eine Überlebensfrage für Unternehmen. Ausfälle von IT-Systemen beeinträchtigen nicht nur das eigene Unternehmen, sondern können auch die Beziehungen zu Kunden und Geschäftspartnern schmerzhaft belasten. Deshalb ist es wichtig, dass unternehmensübergreifende Geschäftsprozesse zuverlässig strukturiert werden. Dies erfordert eine durchgehende Management-Infrastruktur, die von den strategischen Zielen eines Unternehmens bis hin zu einzelnen Komponenten der IT-Systeme zu gestalten ist. Gerade Auto-ID- und RFID-Lösungen müssen sachgerecht in ein solches Umfeld eingebettet werden. Verantwortlichkeiten müssen klar zugeordnet und Schnittstellen genau definiert werden. Das steigert die Transparenz und senkt die Kosten."^[6]

3.3 Nutzungsbereiche der RFID Technik

"Radiofrequenz-Identifikation (RFID) bezeichnet eine Technologie, die der Identifikation von Objekten dient, ohne dass diese berührt werden oder deren Funketiketten (RFID-Tags) sichtbar sein müssen. Die RFID-Technologie ist in vielen Bereichen bereits eingeführt, so z.B. für Skipässe, für die Fernbedienung der Zentralverriegelung von Autos, für den Diebstahlschutz in Warenhäusern, für die Logistik von Handelsobjekten wie z.B. Paletten, Container, Kleidungsstücken sowie für die Identifizierung von Haus- und Schlachttieren. RFIDTechnologie wird den Barcode in vielen Marktsektoren ablösen, aber besonders im Supermarkt, also bei Verbraucherartikeln, wird der Barcode noch auf Jahre hinaus eine dominante Rolle spielen. In den vergangenen Jahren wurde viel darüber geschrieben, wie sich die RFID-Technologie im Retail-Bereich auswirken wird, dies besonders am Beispiel der Warenhausketten Metro (Deutschland), Tesco (UK) und Wal-Mart (USA). Dabei entstand oft der Eindruck, dass die Verbrauchermärkte dieser Firmen kurz davor stehen, alle ihre Produkte mit RFID-Tags zu versehen, den Nachschub in den Regalen vollständig zu automatisieren und die Kassiervorgänge vollkommen autonom von den Kunden selbst abwickeln zu lassen. Bis Mitte 2005 sind erst marginale einstellige Prozentsätze der Artikel mit RFID-Tags ausgestattet, und die umfassende, RFID-gestützte Selbstbedienung an den Kassen ist noch Zukunft. Barcodes sind hier weiterhin das dominante und weltweit akzeptierte Medium für die Produktidentifikation. Gleichwohl sind Metro und Wal-Mart Innovatoren beim Einsatz von RFID-Tags in der Lieferkette (Supply Chain). Kartons und Paletten werden von ihren Lieferanten zunehmend mit RFID-Tags ausgestattet, die meist auf der Rückseite konventioneller Barcode-Etiketten aufweisen, so dass beide Verfahren komplementär eingesetzt werden können. Es ist zu erwarten, dass diese Ebne sich in der Logistik in den nächsten Jahren sehr stark ausbreiten wird. Zurzeit ist die Mehrheit der RFID-Anwendungen in „geschlossenen“ Prozessen zu finden, bei denen die Tags immer wieder verwendet werden und die Anwendung innerhalb einer Organisation bzw. Firma stattfindet, z.B. in Bibliotheken für die Ausleihe von Büchern sowie in den Bereichen Asset- und Dokumentenmanagement. Man spricht hier von „geschlossenen Schleifen“ bzw. „closed loops“. Im Retail-Bereich geht es meist um „offene“ Systeme mit Etiketten an der Verpackung, die am Ende zusammen mit den RFID-Tags weggeworfen werden, so genannte „offene Schleifen“ bzw. „open loops“. Da bisher die untere Preisgrenze von RFID-Tags bei 10 bis 30 Cent liegt, ist das Tagging für Konsumartikel wie Yoghurtbecher, die selbst auf diesem Preisniveau liegen, bislang unwirtschaftlich. Es werden auch Paletten und Container verwendet, an denen RFID-Tags fest montiert sind. Sie werden entsprechend der Wiederverwendung der Paletten immer wieder neu mit Daten beschriftet. Deswegen können hier auch teurere Tags wirtschaftlich sinnvoll eingesetzt werden. Auch das ist eine „closed loop“, denn die Paletten bewegen sich im Kreislauf. Eine weitere Form der Nutzung von RFID-Tags liegt z.B. bei Ersatzteilen vor. Deren Tags können nach dem Einbau in Anlagen, Flugzeugen oder Autos am Teil verbleiben und so zu jedem Zeitpunkt zur Identifikation des Teils dienen. Zusätzliche Daten könnten auf solchen Tags gespeichert und jederzeit abgefragt werden, etwa Daten über Einbau, Lebensdauer oder Wartungsintervalle. Dies ist z. B. bei Airbus und Boeing für Flugzeugteile geplant. Mit Tracking und Tracing wird die automatische Verfolgung und Lokalisierung von Produkten in Lieferketten bezeichnet. Der Nutzen der RFID-Technologie dafür ist an das Vorhandensein von RFID-Antennen und Readern gebunden, z.B. an Lagerzugängen und Logistik-Hubs."^[6]

3.4 Abgrenzung der Techniken

"RFID-Systeme werden in vielfältigen Varianten angeboten. Trotz der großen Bandbreite der RFID-Lösungen ist jedes RFID-System durch die folgenden drei Eigenschaften definiert:

• Elektronische Identifikation:

Das System ermöglicht eine eindeutige Kennzeichnung von Objekten durch elektronisch gespeicherte Daten.

• Kontaktlose Datenübertragung:

Die Daten können zur Identifikation des Objekts drahtlos über einen Funkfrequenzkanal ausgelesen werden.

• Senden auf Abruf (on call):

Ein gekennzeichnetes Objekt sendet seine Daten nur dann, wenn ein dafür vorgesehenes Lesegerät diesen Vorgang abruft."^[5]

3.5 Technik

"Ein RFID-System besteht technologisch betrachtet aus zwei Komponenten, einem Transponder und einem Lesegerät: Der Transponder – auch als "Tag" bezeichnet – fungiert als eigentlicher Datenträger. Er wird an einem Objekt angebracht (beispielsweise an einer Ware oder einer Verpackung) bzw. in ein Objekt integriert (z. B. in eine Chipkarte) und kann kontaktlos über Funktechnologie Funktechnologie ausgelesen und je nach Technologie auch wieder beschrieben werden. Grundsätzlich setzt sich der Transponder aus einer integrierten Schaltung und einem Radiofrequenzmodul zusammen. Auf dem Transponder sind eine Identifikationsnummer und weitere Daten über den Transponder selbst bzw. das Objekt, mit dem dieser verbunden ist, gespeichert. Das Erfassungsgerät – typischerweise und auch im Folgenden kurz nur als Lesegerät bezeichnet – besteht je nach eingesetzter Technologie aus einer Lese- bzw. einer Schreib-/Leseeinheit sowie aus einer Antenne. Das Lesegerät liest Daten vom Transponder und weist ggf. den Transponder an, weitere Daten zu speichern. Weiterhin kontrolliert das Lesegerät die Qualität der Datenübermittlung. Die Lesegeräte sind typischerweise mit einer zusätzlichen Schnittstelle ausgestattet, um die empfangenen Daten an ein anderes System (PC, Automatensteuerung, …) weiterzuleiten und dort weiter zu verarbeiten. RFID-Systeme nutzen unterschiedliche Frequenzbereiche vom Langwellen- bis zum Mikrowellenbereich. Ein weiteres Unterscheidungsmerkmal von RFID-Systemen besteht in der jeweils zum Einsatz kommenden Speichertechnologie. Hierbei wird grundsätzlich zwischen Read-only- und Read-write-Systemen unterschieden. Auch die Art der Energieversorgung des Transponders und die daraus resultierende Unterscheidung in aktive Transponder mit eigener Energiequelle bzw. passive Transponder, die durch das Lesegerät mit Energie versorgt werden, ist von grundlegender Bedeutung. Aufgrund dieser Merkmale können Gruppen von RFID-Systemen gebildet und bezüglich der Leistungsfähigkeit ihrer jeweiligen Komponenten in Low-End-Systeme, Systeme mittlerer Leistungsfähigkeit und High-End-Systeme unterschieden werden. Eine weitere Gruppierung von RFID-Systemen kann entsprechend ihrer jeweiligen Reichweite – also des maximal möglichen Abstandes zwischen Transponder und Lesegerät – erfolgen. Hier werden in der Regel Close-Coupling-, Remote-Coupling- sowie Long-Range-Systeme unterschieden. Die Bauformen von Transpondern reichen vom Glas-Injektat über die elektrische Ohrenmarke bis hin zu Scheckkartenformaten, verschiedenen Scheibenbauformen sowie schlagfesten und bis zu 200° Celsius hitzebeständigen Datenträgern für die Lackierstraßen der Automobilindustrie. Die flexible Auslegbarkeit der Identifikationspunkte, Baugröße, Form und Feldcharakteristik der Antenne machen RFID-Systeme insgesamt zu einer sehr vielseitigen automatischen Identifikationstechnologie. Diese Gruppierungen ermöglichen sowohl eine Einordnung von RFID-Systemen hinsichtlich der auf ihnen basierenden möglichen Anwendungen sowie eine Einschätzung der damit verbundenen Fragen zur Informationssicherheit und zum Datenschutz."^[5]

4 Authentifizierung

Authentifizierung ist ein Vorgang, bei dem sichergestellt werden soll, ob die anfragende Person wirklich dieselbe ist, wie die zugriffsberechtigte Person. Die Authentifizierung kann auf verschiedene Weisen erfolgen.

4.1 Authentifizierungsarten

Es gibt verschiedenste Möglichkeiten, sich zu authentifizieren. Die häufigsten Methoden werden im Folgenden näher erläutert.

4.1.1 Authentifizierung durch Besitz

Die Authentifizierung durch Besitz zeichnet sich dadurch aus, dass die zu identifizierende Person im Besitz der Zugriffsberechtigung sein muss. Als Beispiel ziehen wir hierfür den Personalausweis heran, der stets mitgeführt werden muss und sich im Besitz einer jeden Person befindet.

4.1.2 Authentifizierung durch Wissen

Die Authentifizierung durch Wissen bezieht sich meist auf die zusätzliche Abfrage eines Passwortes und impliziert oft den Besitz eines Ausweises. Dieser Kombination begegnet man beispielsweise bei der eigenen Hausbank am Geldautomaten; man benötigt eine Karte (Besitz) und zusätzlich ein PIN (Wissen), um an das Geld zu gelangen.

4.1.3 Authentifizierung durch Eigenschaft

Die zu identifizierende Person besitzt eine Eigenschaft, die so einzigartig ist, dass sie sich mit dieser ausweisen kann. Ein Beispiel hierfür ist der eigene Fingerabdruck. Ein Fingerabdruck-Scanner liest die Konturen des Fingers ein und vergleicht diese mit den in der Datenbank vorliegenden Referenzmustern. Diese Art der Authentifizierung wird auch als biometrische Authentisierung bezeichnet. ^[8]

5 Authentisierungsverfahren

Im Gegensatz zu reinen Identifizierungsverfahren, wie es z.B. die reine Abfrage eines PINs darstellt, werden für ID-Karten eher Authentisierungsverfahren gewählt, bei denen beide „Kommunikationsteilnehmer […] ein gemeinsames Geheimnis besitzen“^[9], das mit Hilfe dieses Verfahrens überprüft wird. Der Vorteil gegenüber dem reinen Identifizierungsverfahren ist, dass die PIN nicht im Klartext, sondern verschlüsselt zur Karte gesendet wird. Man unterscheidet das statische und das dynamische Authentisierungsverfahren. Während bei den statischen Verfahren immer dieselben Daten zur Authentisierung genutzt werden, wird bei der dynamischen Authentisierung stets eine abweichende Datengrundlage verwendet.

Des Weiteren unterscheidet man grundsätzlich zwischen einseitigen und gegenseitigen Verfahren. „Die einseitige Authentisierung führt im Gutfall dazu, dass die Authentizität eines der beiden Kommunikationspartner sichergestellt ist. Bei der gegenseitigen Authentisierung sind am Ende des Verfahrens im Gutfall beide Partner authentisch.“ ^[9]

Im Folgenden wird genauer auf die einseitige symmetrische Authentisierung sowie die gegenseitige symmetrische Authentisierung eingegangen. Da im Bereich der Chipkarten die asymmetrische Authentisierung praktisch noch keine Verwendung findet, wird diese in dieser Ausarbeitung vernachlässigt.

5.1 Einseitige symmetrische Authentisierung

In Abbildung 5 wird das Prinzip der einseitigen symmetrischen Authentisierung verdeutlicht. Es wird eine Zufallszahl durch das Terminal generiert und folglich diese Zahl zur Chipkarte übertragen. Dies wird als sogenannte Challenge (Anfrage) bezeichnet. Sobald die Chipkarte die Zufallszahl erhält, wird sie von der Karte verschlüsselt. Der bei der Aktion verwendete Schlüssel ist lediglich dem Terminal und der Chipkarte selbst bekannt. Dieses System ist also nur so lange sicher, wie auch der Schlüssel niemandem zugänglich gemacht wird, denn nur wer Kenntnis über diesen Schlüssel hat, kann dem Terminal Authentizität nachweisen. Nachdem die Chipkarte die Verschlüsselung abgeschlossen hat, sendet sie diese verschlüsselte Zahl an das Terminal zurück. Dies bezeichnet man als Response, bzw als Antwort auf die vor wenigen Schritten eingeleitete Challenge. Somit kann das Terminal nun die erhaltene und verschlüsselte Zufallszahl wieder mit dem geheimen Schlüssel entschlüsseln. Danach wird das Ergebnis mit der Zufallszahl verglichen, die ursprünglich an die Chipkarte gesendet wurde. Stimmen beide Zahlenwerte überein, ist das Terminal davon überzeugt, dass die Chipkarte denselben geheimen Schlüssel kennt und leitet einen erfolgreichen Authentisierungsabschluss ein.^[10]

5.2 Gegenseitige symmetrische Authentisierung

In Abbildung 6 wird das Prinzip der gegenseitigen symmetrischen Authentisierung verdeutlicht. Diesem Prinzip liegt eine zweifache einseitige Authentizierung zu Grunde und weißt somit eine höhere Sicherheitsstufe auf, als die einfache einseitige Authentisierung.

Zunächst benötigt das Terminal die Kartennummer der Chipkarte, aus der direkt nach dem Erhalt ein kartenindividueller Authentisierungssschlüssel berechnet wird. Sobald der Authentisierungssschlüssel erstellt wurde, fordert das Terminal von der Chipkarte eine Zufallszahl an und generiert selbst ebenfalls eine Zufallszahl. Nach Erhalt der Zufallszahl von der Chipkarte vertauscht das Terminal beide Zahlen hintereinander und verschlüsselt sie mit dem zu Beginn generierten Authentisierungsschlüssel, um den nun neu entstandenen verschlüsselten Text an die Chipkarte zu übertragen. Die Chipkarte kann den Text nun wieder entschlüsseln und prüft, ob die zu Beginn vom Terminal angefragte und zugesendete Zufallszahl mit der zurückerhaltenen übereinstimmt. Ist eine Übereinstimmung ersichtlich, geht die Chipkarte davon aus, dass das Terminal denselben geheimen Schlüssel kennt und benutzt. Somit ist das Terminal aus Sicht der Chipkarte authentisiert. Im Zuge dessen vertauscht die Chipkarte die beiden Zufallszahlen ein weiteres Mal, verschlüsselt sie wieder mit dem geheimen Schlüssel und sendet den verschlüsselten Text zum Terminal zurück. Das Terminal entschlüsselt nun abermals den erhaltenen Block und prüft, ob die Zufallszahl, die es zuvor an die Chipkarte gesendet hat, mit der übereinstimmt, die es gerade zugeschickt bekommen hat. Ist eine Übereinstimmung erkennbar, so ist auch die Chipkarte aus Sicht des Terminals authentisiert. Damit ist diese gegenseitige Authentisierung abgeschlossen, denn sowohl Terminal als auch Chipkarte wissen nun, dass der jeweils andere Kommunikationspartner vertrauenswürdig scheint. ^[11]

Damit jedoch eine Authentifizierung durch den Personalausweis oder eine andere ID-Karte stattfinden kann, wird ein Hintergrundsystem benötigt. Die ID-Karten sind nur ein kleiner Teil einer riesigen Infrastruktur, die die Verarbeitung der zu übermittelnden Daten regelt.

6 Infrastruktur am Beispiel des elektronischen Personalausweises

Die Infrastruktur für den elektronischen Personalausweis basiert auf einer sogenannten Public-Key-Infrastruktur (PKI). Hierfür stehen mehrere Behörden und Unternehmen in Kontakt, wie z.B. das BSI (Bundesamt für Sicherheit in der Informationstechnik) oder auch die VfB (Vergabestelle für Berechtigungszertifikate).

6.1 Extended Access Control

Um eine sichere Übertragung der Daten zu gewährleisten, wird der sogenannte „Extend Access Control“ (EAC) als Zugriffsmechanismus gewählt. Mit ihm soll sichergestellt werden, dass die Daten während der Übertragung und auch zum Zeitpunkt der Speicherung stets höchsten Sicherheitsmaßnahmen unterliegen. Dieses Verfahren besteht aus den 3 Protokollen „Password Authenticated Connection Establishment“ (PACE), der „Terminal Authentication“ (TA) und der „Chip Authentication“ (CA).

6.1.1 Password Authenticated Connection Establishment (PACE)

Bei dieser Art der Authentisierung gibt das Protokoll den Personalausweis frei und dem Lesegerät die Erlaubnis, auf den Chip des Personalausweises zuzugreifen. Zusätzlich bietet eine individuelle PIN dem Inhaber des Ausweises zusätzlichen Schutz und wird wie ein Passwort eingesetzt.

6.1.2 Terminal Authentication (TA)

Dieser Schritt der Authentisierung sorgt dafür, dass das Terminal die Zugriffsberechtigung auf die Daten des auf dem Ausweis befindlichen Chips bekommt. Die Prüfung der Berechtigungen geschieht unter dem sogenannten „Challenge-Response-Verfahren“ und einem Berechtigungszertifikat. Dieses Berechtigungszertifikat kann entweder detaillierte Daten über die Person enthalten oder auch nur „oberflächliche“ Daten wie z.B. die Aussage, dass die Person volljährig ist oder nicht. Auch hier gilt wieder das Minimalprinzip. Es dürfen so wenig Daten wie nötig erhoben werden.

6.1.3 Chip Authentification (CA)

Bisher steht eine sichere Funkverbindung zwischen Lesegerät und Ausweis, sowie eine erfolgreiche Authentisierung des Terminals. In diesem Schritt der Chip Authentication wird nun der Ausweis gegenüber dem Terminal authentisiert.

Erst nachdem alle diese drei Verfahren, die der EAC beinhaltet, durchgelaufen sind, kann eine sichere und verschlüsselte Übertragung erfolgen. Dieses erfolgt ausgehend vom Chip hinüber in das Lesegerät, bis es im Terminal angelangt ist. ^[12]

7 Authentisierung auf einer Weboberfläche am Beispiel des ePA

Der neue Personalausweis bietet die Möglichkeit, sich online auszuweisen beziehungsweise sich zu authentifizieren. Hierzu müssen jedoch bestimmte Komponenten vorhanden sein, damit dies geschehen kann. Es werden unter anderem eine bestehende Infrastruktur (hardwarebasierend) benötigt, um zu regeln, wie und an wen die personenbezogenen Daten übermittelt werden sollen, sowie eine softwarebasierende Lösung, um die Wege der Übermittlung einzuleiten.

Zur Verbildlichung betrachten wir nun die Sicht des Betreibers einer Webseite. Für ihn bietet diese Art der Authentisierung eine, für die heutigen Standards, sehr zuverlässige Methode, die Identifikation einer Person zu überprüfen. Der Betreiber bekommt die Daten nun direkt von dem Personalausweis übermittelt, wobei zu beachten ist, dass der Besitzer des Personalausweises stets Kenntnis darüber erhalten muss, welche seiner auf dem Personalausweis gespeicherten Daten übertragen werden. Am Beispiel eines Online-Shops wären dies Vor- und Zuname, sowie die Adresse, um an den Kunden liefern zu können.

Die Vorteile für den Käufer sind zudem auch sehr hoch. Er verfügt nun die Möglichkeit, mit wenigen Klicks Bestellungen abzuschicken oder bekommt direkten Zugriff auf diverse Online-Services, wie z.B. die bequeme Einsicht in sein Punkteregister in Flensburg.

Die Abbildung 8 verdeutlicht die Situation vor der sowohl der Benutzer (Bürger der Bundesrepublik Deutschland) als auch der Webseitenbetreiber (Diensteanbieter) steht. Der Benutzer ruft eine Webseite auf und möchte sich auf sichere Weise mit seinen personenbezogenen Daten auf der Webseite authentifizieren. Zur besseren Verständlichkeit der Abbildung folgt nun zunächst eine Erläuterung des eID-Server.

7.1 Der eID-Server

„Der eID-Server ist das Verbindungsstück zwischen der im Zusammenhang mit dem neuen Personalausweis genutzten Software, der sogenannten AusweisApp (frühere Bezeichnung Bürgerclient) und der jeweiligen Web-Anwendung des Diensteanbieters. Mit Hilfe des eID-Servers wird die Online-Authentisierung per eID realisiert, also die Nutzung der Online-Ausweisfunktion. Der eID-Server soll das authentische und sichere Auslesen der Daten (der jeweils freigegebenen Datenfelder) des neuen Personalausweises (nPA) gewährleisten. Eine weitere Aufgabe des eID-Servers ist das Abrufen von Berechtigungszertifikaten und Sperrlisten sowie die Verschlüsselung und das Signieren der versendeten Daten. Zur Gewährleistung der Sicherheit ist ein eID-Server in einer gesicherten Umgebung zu betreiben. Der eID-Server ist also die zentrale Komponente zur Realisierung der eID-Funktion (Onlineausweis-Funktion).“ ^[13]

7.2 Ablauf der Authentifizierung

• „Die Authentisierung wird schrittweise am Beispiel eines Webangebots beschrieben:
• 1. Der Ausweisinhaber ruft den Webdienst des Dienstanbieters auf, der eine Online-Authentisierung benötigt
• 2. Der Dienst leitet eine Authentisierungsanfrage an den eID-Server weiter
• 3. Zwischen dem eID-Server sowie der Client Software […], dem Lesegerät und dem Ausweis-Chip wird ein sicherer Kanal aufgebaut und die Authentizität des Dienstanbieters sowie die Authentizität und Integrität (Fälschungssicherheit) des Ausweises geprüft
• 4. Die Client-Software zeigt dem Ausweisinhaber das Berechtigungszertifikat des Diensteanbieters und die angefragten Ausweisdatenkategorien an. Der Ausweisinhaber entscheidet, welche Ausweisdaten er übermitteln möchte
• 5. Durch Eingabe der PIN bestätigt der Ausweisinhaber die Übermittlung der Daten
• 6. Die Ausweisdaten werden an den eID-Server übermittelt
• 7. Der eID-Server sendet eine Authentisierungsantwort und die beiden Ausweisdaten an den Dienst
• 8. Die Authentisierungsantwort und die Ausweisdaten werden ausgelesen. Der Dienst prüft die Authentisierungsergebnisse und entscheidet, ob die Authentisierung als erfolgreich anzusehen ist. Abschließend erfolgt eine Ergebnisantwort an den Nutzer bzw. die Ausführung des Dienstes“

^[14]

8 Abkürzungsverzeichnis

Abkürzung	Bedeutung
ID-Karten	Identifikationskarten
RFID	Radio Frequency Identification
PIN	Persönliche Identifikationsnummer
ePA	elektronischer Personalausweis
nPA	neuer Personalausweis
eID	elektronische Identifikation

9 Abbildungsverzeichnis

Abb.-Nr.	Abbildung
1	Elektronischer Personalausweis
2	Erklärungen Elektronischer Personalausweis
3	RFID
4	RFID Techniken
5	Einfache symmetrische Authentisierung
6	Gegenseitige symmetrische Authentisierung
7	Infrastruktur und Beteiligte
8	Webauthentifizierung
9	Infrastruktur und Ablauf

10 Endnoten

1. ↑ ^{1,0 1,1} http://www.personalausweisportal.de (01.07.2011 11:56)
2. ↑ vgl.Thilo Weichert (2005)
3. ↑ ^{3,0 3,1 3,2 3,3 3,4 3,5 3,6 3,7} vgl.Bundesministerium des Inneren (2011)
4. ↑ http://www.rfid-ready.de/rfid-transponder.html (06.07.2011 22:05)
5. ↑ ^{5,0 5,1 5,2} vgl.Bundesministerium für Sicherheit in der Informationstechnik(2011)
6. ↑ ^{6,0 6,1} vgl.Dr. Norbert Ephan,et.al (2005)
7. ↑ http://www.rfid-im-blick.de/images/stories/handbuch/2011/einblick_in_autoid_rfid_2011_dynamic%20systems.pdf (07.07.2011 13:16)
8. ↑ vgl. Schmeh (2009) S. 36f.
9. ↑ ^{9,0 9,1} Rankl und Effing (2002) S.219
10. ↑ vgl. Rankl und Effing (2002) S.222f
11. ↑ vgl. Rankl und Effing (2002) S.223
12. ↑ vgl. Bundesministerium für Sicherheit in der Informationstechnik (2011)
13. ↑ Die-eid-Funktion (2011)
14. ↑ Personalausweisportal (2011) S.11

11 Quellen- und Literaturverzeichnis

Bundesministerium des Inneren (2011)		Bundesministerium des Inneren: Neuer Personalausweis http://www.bmi.bund.de/DE/Themen/Sicherheit/PaesseAusweise/ePersonalausweis/ePersonalausweis_node.html (01.07.2011, 19:20)
Personalausweisportal (2011)		Personalausweisportal: Der Personalausweis - Anwenderhandbuch für Wirtschaft und Verwaltung http://www.personalausweisportal.de/SharedDocs/Downloads/DE/anwenderhandbuch.pdf?__blob=publicationFile , (05.07.2011)
Bundesministerium für Sicherheit in der Informationstechnik (2011)		Bundesministerium für Sicherheit in der Informationstechnik: Innovation einer eID-Architektur in Deutschland https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/ElekAusweise/Pressemappe_nPA/Innovationen_eID-Architektur_Deutschland.pdf?__blob=publicationFile, (05.07.2011)
Bundesministerium für Sicherheit in der Informationstechnik (2011)		Bundesministerium für Sicherheit in der Informationstechnik: Radio Frequency Identification https://www.bsi.bund.de/DE/Themen/ElektronischeAusweise/RadioFrequencyIdentification/radiofrequencyidentification_node.html;jsessionid=69162A2038C2193AFA087BBE0A04CDFE.2_cid165 (01.07.2011, 21:17)
Die-eid-Funktion (2011)		die-eid-funktion.de : Die eID-Funktion (Online-Ausweisfunktion) des neuen Personalausweises (nPA) http://www.die-eid-funktion.de/eid_server_bzw_eid_service_voraussetzung_um_die_eid_funktion_des_npa_bereitzustellen_002.php , (05.07.2011)
Dr. Norbert Ephan,et.al (2005)		Dr. Norbert Ephan,et.al: White Paper RFID Technologie, Systeme und Anwendungen http://www.bitkom.org/files/documents/white_paper_rfid_deutsch_11.08.2005__final.pdf (07.07.2011, 15:49)
Schmeh (2009)		Klaus Schmeh: Handbuch der Chipkarten Aufbau – Funktionsweise – Einsatz von Smartcards. Hanser-Verlag, 2009.
Rankl und Effing (2002)		Wolfgang Rankl, Wolfgang Effing: Handbuch der Chipkarten Aufbau – Funktionsweise – Einsatz von Smartcards. Hanser-Verlag, 2002.
Weichert (2005)		Thilo Weichert: Beitrag zur Tagung "Allgegenwärtige Identifizierung?",2005. https://www.datenschutzzentrum.de/vortraege/050428_weichert_alcatel.htm (06.07.2011, 21:35)