SmartCard Forum 2008 - Identifikační čipové doklady
- 1. Spojujeme software, technologie a služby Identifikační čipové doklady s biometrickými prvky Technické řešení bezpečnosti Ivo Rosol ředitel vývojové divize, OKsystem s.r.o.
- 2. ID doklady s čipem Technologie mikroprocesorových čipových karet se standardně používá zejména v oblastech: • SIM karet systému GSM • platebních karet systému EMV V současné době nastupuje plošná aplikace v oblastech: • cestovních a identifikačních dokladů • fyzického a logického přístupu a zaručeného elektronického podpisu Workshop - normy pro identifikaci osob 2
- 3. Kontaktní vs. RF rozhraní Pro cestovní a ID doklady se obvykle využívá RF rozhraní. Důvodem je: • zvýšení spolehlivosti • jednoduchost obsluhy • vyšší přenosová rychlost Nevýhodou jsou nové bezpečnostní hrozby, které se eliminují pomocí vhodně navržených kryptografických technologií a schémat. Workshop - normy pro identifikaci osob 3
- 4. RF komunikace u ID dokladů ID doklady s RF přenosem nemají vlastní zdroj energie, kterou musí čerpat z pole antény čtecího zařízení. Tato energie sice pokrývá spotřebu čipu, nestačí ale na aktivní vysílání. Pro RF komunikaci se využívá standard ISO 14443, díl 1-4 Workshop - normy pro identifikaci osob 4
- 5. RF komunikace u ID dokladů Pro napájení karet vysílá terminál nosný sinusový signál o frekvenci 13,56 MHz, pole čtečky 1,5 A/m < H < 7,5 A/m. Pro vysílání dat čtečkou na kartu jsou data kódována modifikovanou Millerovou metodou, výsledek je poté amplitudově modulován na nosný signál s hloubkou modulace 100 %. Rychlosti přenosu jsou 106, 212, 424 a 848 kbit/s Workshop - normy pro identifikaci osob 5
- 6. RF komunikace u ID dokladů Pro přenos dat z čipu do čtečky čip pasivně „vysílá“ data s využitím zátěžové modulace. Anténa čtečky a karty tvoří VF transformátor, kde změny zátěže sekundárního okruhu (karty) se promítají do primárního okruhu (čtečky) a jsou interpretovány jako 0 a 1 „vysílané“ kartou. Data jsou kódována metodou Manchester, a modulována na zátěžovou subnosnou 848 kHz Workshop - normy pro identifikaci osob 6
- 7. Útoky na RF komunikaci Radiový přenos: • komunikace s pasem (do 25 cm) – útok postrčením • lze odposlouchávat relaci oprávněné čtečky (jednotky m) • aktivní komunikace se čtečkou (desítky m) • lze poznat, že v poli čtečky je pas, nikoli jiné RFID zařízení, neboť lze vybrat aplikaci ICAO s kódem A0 00 00 02 47 10 01 Workshop - normy pro identifikaci osob 7
- 8. Útok na UID ISO 14443 specifikuje antikolizní mechanismus pro výběr čipu v elektromagnetickém poli čtečky na základě UID (jednoznačného čísla čipu). Při inicializaci vyšle čtečka REQ. Každý čip v poli čtečky v závislosti na hodnotě svého UID vysílá nebo naslouchá vysílání ostatních. Čtečka může zvolit čip, se kterým chce komunikovat, případně odeslat příkaz HALT. Statické UID se běžně využívá v běžných RFID aplikacích (přístupové systémy....). V případě e-pasů by ale mohlo vést k trasování pasu, proto je nahrazeno dynamickým UID, které je konstantní pouze po dobu relace. UID pasivně „vysílá“ čip, ale aktivně jej zopakuje čtečka (odposlech 10 m) Workshop - normy pro identifikaci osob 8
- 9. Kryptografické zabezpečení dokladů Metoda P/V Výhoda Nevýhoda PA P Autenticita LDS Neodstraňuje klonování a substituci čipu MRZ V Důkaz, že pasová knížka a Neodstraňuje současné LDS patří k sobě kopírování LDS a pasové knížky AA V Zabraňuje klonování a Vyžaduje kryptografický čip výměně čipu BAC V Zabraňuje neoprávněnému Vyžaduje kryptografický čip čtení a odposlouchávání komunikace mezi čipem a oprávněným terminálem EAC v Zabraňuje neoprávněnému Vyžaduje komplexní přístupu k citlivým infrastrukturu PKI biometrickým údajům ENC V Zabezpečuje citlivé Vyžaduje komplexní správu klíčů biometrickým údajům Workshop - normy pro identifikaci osob 9
- 10. Objekty a klíče uložené na čipu • MF – DF-LDS • KENC (klíč pro BAC, bezpečná paměť) • KMAC (klíč pro BAC, bezpečná paměť) • KPrAA (privátní klíč pro AA, bezpečná paměť) • KPubCVCA(veřejný klíč NVA pro TA, bezpečná paměť) • EF-COM (verze LDS, seznam DG) • EF-SOD (otisky DG, podpis, CDS) • EF-DG1 (MRZ) • EF-DG2 (fotografie) • EF-DG3 (otisky prstů) • EF-DG14 (data pro autentizaci čipu v rámci EAC) • EF-DG15 (data pro AA) Workshop - normy pro identifikaci osob 10
- 11. BAC Současný pas obsahuje osobní údaje (na datové stránce, ve strojově čitelné zóně MRZ a na čipu v DG1), a méně citlivé biometrické osobní údaje (fotografie na datové stránce a na čipu v DG2), které jsou přístupné i z jiných zdrojů. Tyto méně citlivé údaje jsou chráněny základním řízením přístupu BAC – Basic Access Control. BAC zaručuje, že inspekční systém má fyzický přístup k (otevřenému) pasu Workshop - normy pro identifikaci osob 11
- 12. Údaje z MRZ pro BAC číslo pasu datum narození konec platnosti včetně výplně a kontrolní číslice a kontrolní číslice a kontrolní číslice Workshop - normy pro identifikaci osob 12
- 13. Odvození klíčů pro BAC c=1 pro ENC číslo pasu datum narození konec platnosti c=2 pro MAC Hash 1 2 3 4 5 6 7 8 1 2 3 4 5 6 7 8 Ka Kb N/A S pomocí Ka pro šifrování a Kb pro MAC se s využitím 3DES algoritmu provede vzájemná autentizace, odvodí klíče relace pro SM a vytvoří SM relace Workshop - normy pro identifikaci osob 13
- 14. Slabiny BAC • Symetrické klíče jsou odvozeny z dat MRZ, nikoli z náhodného materiálu (seed) • Struktura MRZ značně redukuje entropii • je možný databázový („slovníkový“) útok Protiopatření: • používat náhodně generovaná čísla pasů • používat alfanumerická čísla pasů Workshop - normy pro identifikaci osob 14
- 15. Pasivní autentizace Data uložená v čipu jsou kryptograficky zabezpečena „elektronickým podpisem“ vydavatele pasu (DS - Document Signer) uloženým SOD. Tento podpis je možné ověřit s pomocí certifikátu DS, který vydává CSCA. Pro každou datovou skupinu DGx se spočítá hodnota otisku (hash) a uloží do objektu LDSSecurityObject, který je součástí podepsané CMS zprávy. Workshop - normy pro identifikaci osob 15
- 16. Ověření PA Pro české pasy se používá podpisové schéma založené na RSA s délkou modulu DS 2048 bitů a kódováním EMSA_PSS dle PKCS#1. Modul klíče CSCA je 3072 bitů. Certifikáty CSCA se vyměňují mezi státy s využitím důvěryhodných diplomatických služeb. Certifikáty DS jsou (nepovinně) uloženy v CMS zprávě uvnitř SOD, nebo vym+ňovány bilaterálně nebo publikovány v adresářových službách ICAO. Workshop - normy pro identifikaci osob 16
- 17. PKI pro PA Země A (ČR) Bilater. výměna Země B (MZv) CSCA CVCA MV NIMS (NCA) (NVA) STC DS DS DS Cizinecká policie IS IS IS ICAO PKD Workshop - normy pro identifikaci osob 17
- 18. Útok klonováním čipu Doklad chráněný pouze BAC a PA lze kompletně zkopírovat, včetně SOD (klonování čipu). • Ohrožení inspekčních systémů při klonování čipů a například následné modifikaci fotografie (JPEG 2000 buffer overrun) • Zničení čipu v MV troubě a použití čipu klonovaného z jiného pasu, nebo pouze vložení RF čipové karty Workshop - normy pro identifikaci osob 18
- 19. Aktivní autentizace AA znemožňuje kompletní klonování čipu • AA je založena na autentizaci čipu s využitím podpisového schématu založeného na RSA podle ISO 9796-2. Klíče jsou vygenerovány při personalizaci, soukromý klíč je uložen v bezpečné paměti čipu, veřejný klíč je uložen v DG15 a chráněn Pasivní autentizací • Operační systém čipu žádným způsobem neumožní kopírovat soukromý klíč Workshop - normy pro identifikaci osob 19
- 20. Aktivní autentizace AA využívá protokol výzva-odpověď mezi čipem a IS: • IS zašle čipu náhodně vygenerovanou výzvu V s požadavkem na její podepsání privátním klíčem • Čip vygeneruje náhodnou hodnotu U, spočítá otisk h= SHA-1(V||U) a vrátí kryptogram s=RSA(h) • IS ověří podpis pomocí veřejného klíče z DG15 Workshop - normy pro identifikaci osob 20
- 21. Přepojovací útok na AA Při ponechání pasu v recepci hotelu lze kompletně číst a zkopírovat obsah pasu. S kopií pasu lze při překročení hranice provést rellay attack – po BAC provést přesměrování z falešného pasu na AA provedenou pasem na recepci hotelu. K tomu se využije například IP kanál a internet. Workshop - normy pro identifikaci osob 21
- 22. Zneužití AA sémantikou výzvy Pokud inspekční systém místo náhodné výzvy V použije výzvu s nějakým významem, získá „podpis“ čipu k této výzvě. Například V=H(SignIS(MRZ||Datum||Čas||Místo)) čip vrátí SignICC(V||U), ověřitelný důkaz, že čip (držitel pasu) byl v Datum:Čas v daném místě Workshop - normy pro identifikaci osob 22
- 23. EAC – rozšířené řízení přístupu Budoucí cestovní a identifikační doklady budou obsahovat novou generaci bezpečnostního mechanismu, zejména v souvislosti se zavedením otisků prstů. • Pasy vydávané členskými státy EU po 28.6. 2009 (v ČR po 1.5. 2008) budou obsahovat velmi citlivé biometrické osobní údaje - otisky prstů, které nejsou běžně dostupné z jiných zdrojů a budou chráněny rozšířeným řízením přístupu EAC – Extended Access control. Tato ochrana je podle rozhodnutí Evropské komise K (2005) 409 povinná a její řešení musí být v souladu s Nařízením Rady EU č. 2252/2004 o normách pro bezpečnostní a biometrické prvky v cestovních dokladech vydávaných členskými státy (dále EAC) • ICAO v současné době nemá formální standard pro EAC • Evropská komise a ICAO odkazují na technickou zprávu TR-03110 německého BSI „Advanced Security Mechanism for Machine Readable Travel Documents – Extended Access Control • Členské státy přijmou společnou Certifikační politiku, kterou vypracovala skupina EC - Article 6, BIG Workshop - normy pro identifikaci osob 23
- 24. EAC EAC – rozšířené řízení přístupu. EAC je využito místo AA, používá kvalitnější klíče pro restart SM, neumožňuje trasovat čip a řídí přístup k DG3 případně DG4 EAC se skládá ze dvou pokročilých kryptografických mechanismů: • Autentizace čipu (pasu) a • Autentizace Terminálu (Inspekčního systému) Workshop - normy pro identifikaci osob 24
- 25. Autentizace čipu • Alternativou k Aktivní autentizaci, zaručuje, že čip není klonován (kopie kompletního datového obsahu čipu, včetně podpisu SoD) • Zabraňuje útoku formou sémantiky výzvy, která umožňuje získat ověřitelné trasování pasu (kdy a kde se vyskytoval uživatel pasu) • Umožňuje vygenerovat SM klíče s vysokou entropií, které nejsou odvozeny ze strojově čitelné zóny čipu • Využívá algoritmus Diffie-Hellman (nebo ECDH) pro určení symetrických klíčů unikátních pro tuto relaci • Autenticita čipu je ověřena implicitně z faktu, že čip je schopen využívat SM klíče, tudíž klíčový materiál použitý pro DH nebo ECDH byl autentický Workshop - normy pro identifikaci osob 25
- 26. Autentizace terminálu • Využívá PKI pro autentizaci a autorizaci IS • Založeno na protokolu výzva-odpověď • Sémantika výzvy neznamená nebezpečí • Veškerá komunikace probíhá v rámci bezpečné komunikace založené na SM v módu Encrypt- then-Authenticate a šifrovacích klíčích s vysokou entropií (3DES2) Workshop - normy pro identifikaci osob 26
- 27. PKI 2 pro EAC Země A (ČR) Země B CVCA Křížová certifikace CVCA MV (NVA) (NVA) DV (VA) DV (VA) DV (VA) DV (VA) IS IS IS IS IS IS IS IS Cizinecká policie Workshop - normy pro identifikaci osob 27
- 28. PKI pro EAC - CVCA • Každá země zřizuje právě jednu Národní verifikační autoritu - CVCA (Country Verifying Certification Authority) • CVCA je kořenová certifikační autorita, může být součástí infrastruktury CSCA, musí mít jiné klíčové páry než CSCA • Tvoří singulární bod důvěry pro všechny pasy (MRTD) vydávané domácí zemí (veřejný klíč CVCA uložen v DG14 chráněné PA) • Vydává certifikáty pro Autority pro ověřování dokumentů (DV) ve vlastní zemi i pro cizí země, tím umožňuje přístup k chráněným datům pasů pro inspekční systémy • Nastavuje na nejvyšší úrovni přístupová práva k chráněným údajům pasů pro jednotlivé země • Relativně často (vzhledem k životnosti pasu) mění svoje klíče (6 měsíců – 3 roky), k tomuto účelu vydává spojovací certifikáty (link certificate), které umožní jednotlivým pasům aktualizovat si veřejný klíč CVCA • CVCA může být provozována stejnou organizací jako CSCA – vydavatelem cestovních dokladů (u nás MV) Workshop - normy pro identifikaci osob 28
- 29. PKI pro EAC - DV • Každá země, která chce číst chráněná data z pasů (domácích i ostatních zemí) musí provozovat alespoň jednu VA - Verifikační autoritu – (DV - Document Verifier) • VA ve skutečnosti neprovádí ověřování pasů, ale je certifikační autoritou, která vydává certifikáty pro inspekční systémy – IS • VA je správcem domény inspekčních systémů ve své zemi, vydává jim certifikáty umožňující přístup k chráněným údajům pasů • VA je autorizován k vydávání certifikátů pro „své“ IS na základě certifikátu od NVA • VA musí požádat o certifikát od NVA každé země, jejíž pasy mají být kontrolovány IS v doméně VA (například pro kontrolu německých pasů musí česká VA požádat německou NVA o vydání certifikátu, který bude opravňovat českou VA k vydání certifikátů pro české IS ke kontrole německých pasů) • Doba platnosti certifikátů VA je 14 dnů – 3 měsíce • VA může omezit práva a dobu platnosti certifikátů pro své IS • VA je typicky provozována organizací zodpovědnou za kontrolu cestovních dokladů (u nás Policie ČR) Workshop - normy pro identifikaci osob 29
- 30. PKI pro EAC - IS • Inspekční systém dostává certifikáty pouze od VA své země • IS musí mít samostatný certifikát pro pasy každé země, kterou kontroluje • Certifikáty IS mají velmi krátkou dobu platnosti (1 den až 1 měsíc) kvůli teoretické možnosti krádeže IS • IS provádí vlastní kontrolu pasů s využitím Extended Access Control Workshop - normy pro identifikaci osob 30
- 31. PKI pro EAC - certifikáty • Všechny certifikáty v rámci EAC PKI (NVA, VA, IS)musí být ověřitelné čipem pasu – CVC Card Verifiable Certificate • Všechny certifikáty v řetězu musí mít stejný algoritmus elektronického podpisu, délky klíčů a doménové parametry • Spojovací certifikáty NVA umožňují měnit klíče, případně další parametry podpisového schématu Workshop - normy pro identifikaci osob 31
- 32. Obsah certifikátu Certifikáty jsou typu CVC, kódovány metodou TLV (Tag-Length-Value) Data obsažená v certifikátu: • Označení certifikační autority • Veřejný klíč • Označení držitele • Autorizace držitele • Efektivní datum certifikátu (od:) • Datum konce platnosti certifikátu (do:) • „Podpis“ certifikační autority Workshop - normy pro identifikaci osob 32
- 33. Doby platnosti certifikátů Subjekt Minimum Maximum CVCA certificate – 6 měsíců 3 roky osvědčení vnitrostátního kontrolního subjektu DV certificate – 2 týdny 3 měsíce osvědčení subjektu ověřujícího platnost dokladů IS certificate – 1 den 1 měsíc osvědčení kontrolního systému Workshop - normy pro identifikaci osob 33
- 34. Ověřování certifikátů • IS musí zaslat čipu řetěz certifikátů, který začíná spojovacími certifikáty, certifikátem VA a končí certifikátem IS • Čip si musí interně aktualizovat klíče NVA na základě spojovacích certifikátů • Čip musí odmítnout certifikáty po době platnosti. Čip nemá hodiny reálného času, používá odhad času, který si aktualizuje při každé hraniční kontrole na nejvyšší efektivní datum ověřených certifikátů NVA, VA a domovských IS. Workshop - normy pro identifikaci osob 34
- 35. Kódování přístupových práv 76 543210 Všechny ------ xx Role certifikáty NVA 11 ------ obsahuji Certificate ------ 10 VA domácí Holder 01 ------ VA cizí Authorisation: IS 00 ------ -- xxxxxx 11000011 – NVA Práva 01000011 – 0000-- -- DV rezervováno 00000001 – IS duhovka -- ----1- 00000001 efektivní práva -- -----1 Otisk prstu Workshop - normy pro identifikaci osob 35
- 36. Spojovací certifikát Spojovací certifikát (Link certificate) umožňuje: • Přenos důvěry od původního veřejného klíče CVCA k novému klíči • Změnu algoritmů, délek klíčů a parametrů Principiálně osvědčuje původním soukromým klíčem nový veřejný klíč v certifikátu. Workshop - normy pro identifikaci osob 36
- 37. Interoperabilita vyžaduje testy Probíhají mezinárodní testy konformity čipů a OS, testy křížové interoperability čipů + OS a čteček (IS) a testy interoperability PKI pro EAC. Praha bude hostit 7. – 12. 9. 2008 celosvětovou akci pořádanou MV ČR – testy, konferenci a výstavu technologií a služeb pro cestovní doklady , viz http://www.e-passports2008.org Workshop - normy pro identifikaci osob 37
- 38. Závěr Cestovní doklady s čipem a biometrickými doklady jsou nejen novou, velmi významnou aplikací, ale současně i celosvětovou „laboratoří“, která přináší velký pokrok ve vývoji čipové technologie, aplikované kryptografie, tvorby standardů a testů. Zprovoznění celé infrastruktury pro cestovní doklady a EAC je dosud bezprecedentní celosvětovou implementací PKI a zdá se, že cestovní a budoucí identifikační doklady jsou onou dlouho očekávanou „killer application“, nezbytnou pro rozvoj dalších identifikačních a autorizačních čipových dokladů, PKI a infrastruktury pro e-government. Workshop - normy pro identifikaci osob 38
- 39. Dotazy a odpovědi Ivo Rosol ředitel vývojové divize OKsystem s.r.o. www.oksystem.cz rosol@oksystem.cz Workshop - normy pro identifikaci osob 39