Zwitsers biometrisch paspoort door oog van de naald
Een ongekend krappe meerderheid van Zwitserse burgers heeft tijdens een referendum over de invoering van een biometrisch paspoort voor gestemd, het verschil met tegenstanders bedroeg slechts 5504 stemmen. Wat neerkomt op 50,14% tegenover 49,86%. Sinds 1848 was er niet zo'n klein verschil tijdens een stemming opgetreden. Er stond echter meer dan alleen een nieuw paspoort op het spel, ook het Zwitserse lidmaatschap van de Schengenzone was in het geding.
Alle Schengenlanden zijn verplicht om voor maart 2010 een biometrisch paspoort in te voeren. Het gaat dan om een pasfoto en later ook een vingerafdruk. Vanwege de krappe meerderheid zijn alle partijen van mening dat bescherming van de biometrische gegevens de hoogste prioriteit hoort te krijgen. Volgens de Zwitserse Federale politie zijn de gegevens in het paspoort niet te manipuleren en ook niet door derden zonder toestemming uit te lezen.
Er is al verschillende keren aangetoond dat de gegevens uit te lezen zijn. In Engeland heeft iemand zelfs paspoorten uitgelezen die verstuurd werden en dus nog in de verzend envelop zaten. Daarnaast heb ik persoonlijk gezien dat bepaalde gegevens gewijzigd werden. Die werden vervolgens op een lege chip gebrand (niet in het paspoort). Een velletje aluminiumfolie over de chip in het paspoort en de nieuwe chip (ingevoegd tussen de paginas) werd gelezen i.p.v. de oorspronkelijke chip.
Peter
Het paspoort bevat aan relevante data:
Generatie 1 (2005...27/06/2009):
DG1: persoonlijke data (naam, BSN, documentgegevens, etc.), BAC beveiligd
DG2: JPEG foto, BAC beveiligd
Generatie 2 (EU: vanaf 28/06/2009):
DG1: zie generatie 1, backward compatible, BAC beveiligd
DG2: zie generatie 1, backward compatible, BAC beveiligd
DG3: twee vingerafdrukken, EAC beveiligd
Voor beide generaties geldt dat je - ook zonder toestemming - DG1 en DG2 kunt lezen als je in het bezit bent van het documentnummer, vervaldatum en de geboortedatum van de houder (= de BAC-sleutel). Door gebrekkige entropie kun je online brute-forcen (aangetoond in het VK) of een meegeluisterde sessie offline kraken.
De vingerafdrukken kun je alleen uitlezen als je een geldige 'private key' van het uitgevende land bezit: hiermee toont het inspectiesysteem aan dat het je vingerafdrukken mag ophalen. Het is echter een kwestie van tijd voor de eerste sleutels (met of zonder inspectie systeem) in verkeerde handen vallen. Revocation-procedures zijn vervolgens niet waterdicht met als mogelijk resultaat dat je vingerafdrukken ook gestolen worden...
Manipuleren kan (vooralsnog?) inderdaad niet met de originele chips: ze zijn 'read only gemaakt na personalisatie'. Er zijn echter in wederom het VK ongeveer 3000 documenten gestolen w.o. documenten met blanco chips in 'transport mode'. Daarnaast kun je een chip-emulator (http://www.dexlab.nl) gebruiken om de data in op te slaan. Generatie 1-chips zijn hiermee te klonen. En die zijn in veel langen tot 27/06/2019 geldig.
Zie http://www.blackhat.com/presentations/bh-europe-09/VanBeek/BlackHat-Europe-2009-VanBeek-ePassports-Mobile-slides.pdf voor een recente Black Hat Briefings-presentatie met meer details en aanvallen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
