Zwitsers biometrisch paspoort door oog van de naald
Een ongekend krappe meerderheid van Zwitserse burgers heeft tijdens een referendum over de invoering van een biometrisch paspoort voor gestemd, het verschil met tegenstanders bedroeg slechts 5504 stemmen. Wat neerkomt op 50,14% tegenover 49,86%. Sinds 1848 was er niet zo'n klein verschil tijdens een stemming opgetreden. Er stond echter meer dan alleen een nieuw paspoort op het spel, ook het Zwitserse lidmaatschap van de Schengenzone was in het geding.
Alle Schengenlanden zijn verplicht om voor maart 2010 een biometrisch paspoort in te voeren. Het gaat dan om een pasfoto en later ook een vingerafdruk. Vanwege de krappe meerderheid zijn alle partijen van mening dat bescherming van de biometrische gegevens de hoogste prioriteit hoort te krijgen. Volgens de Zwitserse Federale politie zijn de gegevens in het paspoort niet te manipuleren en ook niet door derden zonder toestemming uit te lezen.
Er is al verschillende keren aangetoond dat de gegevens uit te lezen zijn. In Engeland heeft iemand zelfs paspoorten uitgelezen die verstuurd werden en dus nog in de verzend envelop zaten. Daarnaast heb ik persoonlijk gezien dat bepaalde gegevens gewijzigd werden. Die werden vervolgens op een lege chip gebrand (niet in het paspoort). Een velletje aluminiumfolie over de chip in het paspoort en de nieuwe chip (ingevoegd tussen de paginas) werd gelezen i.p.v. de oorspronkelijke chip.
Peter
Het paspoort bevat aan relevante data:
Generatie 1 (2005...27/06/2009):
DG1: persoonlijke data (naam, BSN, documentgegevens, etc.), BAC beveiligd
DG2: JPEG foto, BAC beveiligd
Generatie 2 (EU: vanaf 28/06/2009):
DG1: zie generatie 1, backward compatible, BAC beveiligd
DG2: zie generatie 1, backward compatible, BAC beveiligd
DG3: twee vingerafdrukken, EAC beveiligd
Voor beide generaties geldt dat je - ook zonder toestemming - DG1 en DG2 kunt lezen als je in het bezit bent van het documentnummer, vervaldatum en de geboortedatum van de houder (= de BAC-sleutel). Door gebrekkige entropie kun je online brute-forcen (aangetoond in het VK) of een meegeluisterde sessie offline kraken.
De vingerafdrukken kun je alleen uitlezen als je een geldige 'private key' van het uitgevende land bezit: hiermee toont het inspectiesysteem aan dat het je vingerafdrukken mag ophalen. Het is echter een kwestie van tijd voor de eerste sleutels (met of zonder inspectie systeem) in verkeerde handen vallen. Revocation-procedures zijn vervolgens niet waterdicht met als mogelijk resultaat dat je vingerafdrukken ook gestolen worden...
Manipuleren kan (vooralsnog?) inderdaad niet met de originele chips: ze zijn 'read only gemaakt na personalisatie'. Er zijn echter in wederom het VK ongeveer 3000 documenten gestolen w.o. documenten met blanco chips in 'transport mode'. Daarnaast kun je een chip-emulator (http://www.dexlab.nl) gebruiken om de data in op te slaan. Generatie 1-chips zijn hiermee te klonen. En die zijn in veel langen tot 27/06/2019 geldig.
Zie http://www.blackhat.com/presentations/bh-europe-09/VanBeek/BlackHat-Europe-2009-VanBeek-ePassports-Mobile-slides.pdf voor een recente Black Hat Briefings-presentatie met meer details en aanvallen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Met jou als Chief Information Security Officer werken we samen aan het inrichten van een digitale leer-, werk- en onderzoeksomgeving en investeren in digitalisering. De beveiliging van alle daarbij gebruikte middelen en informatie én het zorgen voor bewustzijn bij alle partijen is hierbij een belangrijke pijler. Daar kom jij in beeld.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.