Suchen

Security-Forscher bestätigen Sicherheit der PACE-Verschlüsselung Sichere Verschlüsselung für elektronischen Personalausweis und ePass

| Redakteur: Stephan Augsten

Ab November 2010 ist der elektronische Personalausweis erhältlich, dessen Daten sich per Funkverbindung auslesen lassen sollen. Um unberechtigte Zugriffe zu verhindern, muss die Kommunikation zwischen e-Perso und Lesegerät auf hohem Sicherheitsniveau verschlüsselt werden. Security-Experten favorisieren hierfür derzeit das Verfahren „Password-Authentication-Connection-Establishment“.

Firmen zum Thema

Die kontaktlose Übertragung der im e-Perso hinterlegten Daten erfordert eine sichere, verschlüsselte Kommunikation.
Die kontaktlose Übertragung der im e-Perso hinterlegten Daten erfordert eine sichere, verschlüsselte Kommunikation.
( Archiv: Vogel Business Media )

Das PasswordAuthentication Connection Establishment wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelt, um die verschlüsselte Kommunikation zwischen dem elektronische Peronalausweis und Lesegeräten möglichst sicher zu gestalten: Bevor Pass und Lesegerät einen kryptographischen Schlüssel aushandeln können, fordert PACE die Eingabe einer PIN, mit deren Hilfe die sichere Verbindung aufgebaut wird.

PACE benötigt im Gegensatz zu üblichen Verschlüsselungsverfahren kein vernetztes Computersystem zur Erstellung, Verteilung und Prüfung digitaler Schlüssel (Public-Key-Infrastruktur, PKI). Dadurch kann eine sichere kontaktlose Verbindung zwischen Chip und Lesegerät schnell und ohne Internet-Zugang aufgebaut werden.

Nun hat eine Forschergruppe von Marc Fischlin am Center for Advanced Security Research Darmstadt (CASED) in Zusammenarbeit mit den BSI-Experten Jens Bender und Dennis Kügler die Sicherheit des PACE-Verfahrens auf den Prüfstand gestellt. Den Ergebnissen zufolge sind die über PACE ausgehandelten Schlüssel absolut sicher, womit PACE aus kryptographischer Sicht das bestmögliche Sicherheitsniveau biete. Dies gelte selbst in Szenarien, bei denen ein Angreifer gleichzeitig mehrere Pässe und Lesegeräte anspricht.

„Ein vollständiger Sicherheitsbeweis für ein solches Verschlüsselungsverfahren ist sehr komplex und kann nur selten erbracht werden“, erklärt Fischlin. „Wir haben beispielsweise noch keinen vergleichbaren Beweis für das heutzutage oft eingesetzte SSL/TLS-Verfahren zur Absicherung von Online-Banking“, so der Kryptologe weiter.

Die Ergebnisse der Beweisführung werden im September bei der internationalen Information Security Conference 2009 in Pisa sowie im Springer-Verlag veröffentlicht.

(ID:2040704)