ePass birgt Sicherheitsrisiken
IT-Profimagazin iX über den neuen Reisepass

Hannover, 11. Oktober 2006 - Der neue biometrische Reisepass soll einen Höchststand an Fälschungssicherheit bieten, so die Verantwortlichen. Doch sein Standardwirrwarr, die komplexe Architektur und ein unausgereift wirkendes Konzept sind alles andere als vertrauenerweckend, schreibt das IT-Profimagazin iX in der aktuellen Ausgabe 11/2006.

Der neue elektronische Reisepass enthält neben den klassischen Sicherheitsmaßnahmen einen RFID-Chip, in dem die Daten des Passinhabers einschließlich einer digitalisierten Version seines Lichtbilds gespeichert sind. Diese Informationen, die mit einem speziellen Lesegerät ausgelesen werden, dienen Grenzbeamten zur Überprüfung der Identität des Reisenden.

Verschiedene Verschlüsselungsfunktionen sollen das unberechtigte Auslesen der Passdaten verhindern. Allerdings bietet diese kryptografische Basissicherheit nur wenig Schutz: Denn der Name des Eigentümers, der Geburtstag und die Dokumentennummer reichen aus, um den Pass auszulesen. Diese Informationen, die in der zweiten Zeile der maschinenlesbaren Zone aufgedruckt sind, sind keineswegs geheim. Nicht nur der Inhaber, auch beispielsweise jedes Hotel oder jede Bank, die zur Sicherheit beim Geldabheben gelegentlich die Ausweisnummer in ihrem System hinterlegt, kennen diese Daten. Alle weiteren erforderlichen Informationen stehen in den Stammdaten. So könnten letztlich Unbefugte einen Schlüssel generieren.

Fehlende erprobte Standards in der Verschlüsslung sorgen für ein weiteres Problem: So werden die Daten zunächst ohne Sicherung ausgelesen und müssen zur Überprüfung erst einmal durch einen Mischmasch aus Standard- und proprietären Verfahren auseinandergenommen werden. Dadurch entsteht eine hohe Anfälligkeit für Trojaner, die das Dokument beispielsweise als "gültig" ausgeben könnte.

Dass man die Daten des neuen ePasses auch klonen kann, demonstrierte iX-Autor Lukas Grunewald eindrucksvoll im Sommer dieses Jahres auf der Sicherheitskonferenz Black Hat. Er zeigte, wie man die Daten mit einem selbst entwickelten Werkzeug auslesen, kopieren und auf einen anderen Chip übertragen kann.

"All diese Sicherheitslücken sind jedoch nur ein Aspekt beim ePass", sagt iX-Redakteurin Ute Roos und verweist auf Biometrie-Probleme wie fehlerhafte Erkennungen. (ur)