USA: Forscher kritisieren Sicherheitsmängel bei elektronischen Ausweisdokumenten

Wie in Deutschland und anderen europäischen Ländern sind RFID-Chips, insbesondere solche mit Anwendungsgebiet in Ausweisen, auch in den USA momentan ein wichtiges Thema. Bei einigen der dort gebräuchlichen Systeme wurden in letzter Zeit eklatante Sicherheitsmängel aufgedeckt. Der Einsatz dieser Systeme wird trotzdem weiter vorangetrieben.

Einige US-Bundesstaaten führen momentan Führerscheine oder andere ID-Dokumente ein, in denen RFID-Chips Verwendung finden. Diese jedoch zeigen sich sehr häufig verwundbar gegenüber den Angriffen technisch versierter Krimineller oder Hacker.

Eine interessante Untersuchung führte nun eine Gruppe von Sicherheitsanalysten von der University of Washington und RSA Labs durch: Sie testeten sowohl den US-amerikanischen elektronischen Reisepass in Kartenform ("Passport Card") als auch die in einigen Bundesstaaten ausgegebenen mit RFID versehenen Führerscheine (Enhanced Driver's License) auf Sicherheit.

Beide Dokumente sind für die Reise über die US-Grenze ausreichend, sofern diese auf dem Land- oder Seeweg erfolgt. Im Luftverkehr wird ein sogenanntes "Passport Book" benötigt. Dieses ist aber für die Bürger teurer und mit mehr Verwaltungsaufwand verbunden, weswegen die neuen, RFID-basierten Ausweise zunehmend als Alternative angepriesen werden.

Das Zeam der University of Washington testete, wie einfach es ist, die beiden Formen von Ausweis zu "klonen", also zu duplizieren, die maximale Entfernung, auf der die auf dem Chip gespeicherten Daten ausgelesen werden können, und die Effektivität der empfohlenen Schutzhüllen. Die Ergebnisse der beiden Karten unterschieden sich (der ePass erzielte das ingesamt bessere Ergebnis) aber keine der beiden wurde von den Forschern als wirklich sicher eingestuft.

Nach Berichten der Forscher nutzt keine der beiden Karten Verschlüsselung oder eine Authentifizierung (beispielsweise in Form einer PIN oder eines Passworts). Auch das Klonen funktionierte in beiden Fällen. Auch von den empfohlenen Schutzhüllen, die die RFIDs abschirmen und so vor unbefugtem Auslesen schützen sollen, waren die Forscher wenig begeistert. Sie bemängelten, dass bereits leichte Gebrauchsspuren die Effektivität der Schutzhüllen stark beeinträchtigen. So erhöhte sich beim Führerschein des Staates Washington die maximale Reichweite, auf die der Chip durch die Hülle ausgelesen werden konnte, von 27 cm auf 57 cm, also gut das doppelte, sobald die Hülle Gebrauchsspuren aufwies, also verknittert war. Das aber kann leicht passieren, wenn man den Ausweis beispielsweise in der Hosentasche trägt. Ein klarer Fall von Fehlkonstruktion also, die aber offenbar in keinem Praxistest aufgefallen ist, bevor man die Führerscheine in dieser Form flächendeckend einführte. Die Praxistauglichkeit des Systems wird also von den Forschern als verbesserungswürdig eingestuft, denn im Alltag wird es wohl bei weitem nicht jedem Führerschein-Besitzer gelingen, die zum Ausweis gehörige Schutzhülle in tadellosem Zustand zu halten.

Mehr Sorgen als diese Probleme bereiten den Forschern aber "systemische Schwächen" im zugrunde liegenden Standard. Aus Kostengründen wurde auf die Verwendung starker Sicherheitsmechanismen (die rein technisch machbar wären) verzichtet. So könnten Angreifer den mit RFID versehenen Ausweisdokumenten durchaus stark zusetzen, was die Vorteile der neuen Technologie schnell negiert. Die Sicherheitsexperten fordern, dass sich jemand um diese Probleme kümmert, bevor es einen Skandal gibt. Ob darauf jemand bei der Regierung hört, ist aber eher zweifelhaft. (Annika Kremer)

(via Ars Technica, thx)

News Redaktion am Montag, 27.10.2008 09:02 Uhr

tags Tags: controller rfid usa epass bürger enhanced driver's license passport card passport book sicherheitsanalysten authentifizierung ausweis

Weitere interessante News

4 Reaktionen zu dieser Nachricht

mendevil am 27.10.2008 22:09:27

also ich weiß ja nicht ob das nur mir so geht aber ich finde das ziemlich beunruhigend, vorallem das auf verschlüsselungen verzichtet worden ist was ich allerdings nicht so ganz glaube die leute die so etwas beschließen haben meistens weniger ahnung als ein bäcker vom schreinern ( naja gut das w ...
BluePeer am 27.10.2008 17:18:21

Wir solten uns immer vor augen halten das die leute die über sowas und deren umsetzung entscheiden zwichen 55-75 sind ^^ das diese (wenn sie überhaupt etwas neues sehen) das erst ganz wiederwillig in einer schlechten form verbreiten um dann sagen zu können seht ihr das taugt nichts ist doch nich ...
HardDisk am 27.10.2008 14:58:25

Hatten wir nicht so ungefähr dasselbe (Klonen von RFID-Zeugs) auch in Little Brother?! So langsam glaube ich, das Buch ist von der Realität nicht mehr weit entfernt bzw. es stellt schon die Realität dar. Erschreckend. the|m. ...
KidZler am 27.10.2008 10:11:40

Die Sicherheitsexperten fordern, dass sich jemand um diese Probleme kümmert, bevor es einen Skandal gibt. Ob darauf jemand bei der Regierung hört, ist aber eher zweifelhaft. Wenn interesiert das ? Skandale Jucken die schon lange nicht mehr ... Um Ihre Ziele zu ereichen ist ihnen ...
gullinews am 27.10.2008 09:02:42

Wie in Deutschland und anderen europäischen Ländern sind RFID-Chips, insbesondere solche mit Anwendungsgebiet in Ausweisen, auch in den USA momentan ein wichtiges Thema. Bei einigen der dort gebräuchlichen Systeme wurden in letzter Zeit eklatante Sicherheitsmängel aufgedeckt. Der Einsatz dies ...

weitere Kommentare lesen Nachricht kommentieren

Fotostrecke

News [Interviews]

ACTA: Viel Geschrei um nichts? Jurist Jens Ferner im Interview

Lars Sobiraj am 04.02.2012, 11:32 Uhr

Während Die Linke zur Teilnahme an einem europaweiten Aktionstag gegen ACTA aufruft und Justizministerin Leutheusser-Schnarrenberger die Kritik am internationalen Handelsabkommen zurückweist, führte der Jurist Jens Ferner eine ausführliche Analyse jedes einzelnen Artikels durch. Wir fragten ihn, wie gefährlich ACTA tatsächlich ist. In welchem Rahmen bedroht dieses Abkommen unser aller Freiheit?

mehr mehr lesen...

News [Kurioses]

Überwachung mal anders: Polizist in Zivil jagte sich 20 Minuten selbst

Lars Sobiraj am 09.02.2012, 11:40 Uhr

In der südenglischen Grafschaft Sussex ereignete sich letzten Monat ein Fauxpas der besonderen Art. Statt einen Einbrecher zu fassen, jagte ein Polizist mit Hilfe von Kameras für etwa 20 Minuten sich selbst. Sein Kollege an den Monitoren hatte ihn nicht erkannt und fand sein Verhalten sehr auffällig. Der beobachtete Mann habe auf heißen Kohlen gesessen, weswegen er dringend tatverdächtig sei.

mehr mehr lesen...

Browsergames