Standort: futurezone.ORF.at / Meldung: "Äpfel, Birnen, Pässe und Bin Laden"

Äpfel, Birnen, Pässe und Bin Laden

07.08.2008|07:42

Berichte, dass die als unsicher bekannten britischen Chip-Pässe mit einem Konterfei von Osama bin Laden erfolgreich manipuliert wurden, erweisen sich zumindest als übertrieben. Die echten Herausforderungen lauern in der Infrastruktur, nämlich wie international die Schlüssel ausgetauscht werden.

Wenn immer er derartige Meldungen über geklonte Chips in Reisepässen gelesen habe - die neueste dazu brachte die Londoner "Times" am Mittwoch -, dann seien dabei "Äpfel und Birnen zusammengeschmissen" gewesen, sagte Wolfgang Rosenkranz von der österreichischen Staatsdruckerei zu ORF.at.

So auch in der "Times" und allen anderen Medien, die den Bericht inhaltlich im Wesentlichen übernommen hatten.

Bin Ladens Bild auf Chip

Das britische Blatt hatte am Mittwoch unter dem Titel "'Fälschungssicherer' E-Pass geklont" berichtet, wie ein holländischer Programmierer das Foto eines Kindes in einem britischen Chip-Pass durch eines von Bin Laden ersetzt hatte.

Sozusagen als Beweis dafür wurde der Umstand gewertet, dass der "Golden Reader" genannte Kartenleser den Pass akzeptiert hatte.

Diese Lesegeräte der internationalen Organisation für Zivilluftfahrt werden von Technikern der ausstellenden Behörden dazu benutzt, ihre Passchips auf Standardkonformität zu testen.

Die "Interoperabilität"

Da es sich um eine neue, gerade in Aufbau befindliche Technologie samt Infrastruktur handelt, sei nämlich die "Interoperabilität" das größte Problem, so Rosenkranz.

"Der 'Golden Reader' ist ein rein technisches Tool, um die Funktionsfähigkeit des Passes zu testen, und keine Sicherheitsüberprüfung." Dafür diene vielmehr das "Country Signer Certificate". Dabei handelt es sich um eine staatliche Signatur, mit der die Integrität der Daten auf dem Chip bestätigt werde.

Österreich und Transnistrien

Damit ist man bei der Kernfrage angelangt: Wie kann der britische Beamte am Zoll vor seinem Passlesegerät sichergehen, dass diese Signatur auf dem österreichischen Passchip tatsächlich von der Republik Österreich verfertigt wurde und nicht von der Republik Transnistrien?

Hier kommt die Public-Key-Infrastruktur ins Spiel. Kernelement des gesamten Kryptographie-Verfahrens ist ein elektronisches Schlüsselpaar, über das die Republik verfügt.

Wege des öffentlichen Schlüssels

Während der geheime Schlüsselteil dazu dient, die Pässe an einem ungenannten, hochsicheren Ort elektronisch zu signieren, reist der miterzeugte öffentliche Schlüssel in die weite Welt.

Mit dem lässt sich die zugehörige digitale Signatur in jedem Pass auf ihre Echtheit überprüfen, man muss allerdings sichergehen, dass der "Public Key" auf sicherem Weg übermittelt wurde, also tatsächlich aus Wien kam.

Eine zentrale Schlüsseldatenbank

Laut "Times" sei es das größte Problem, die Pässe derart zu überprüfen, da es an der Bereitschaft der meisten Staaten mangle, ihre "Country Signer Certificates" im "Public Key Directory" [PKD] abzulegen.

Diese Schlüsseldatenbank wird im Auftrag der Internationalen Organisation für Zivilluftfahrt [ICAO] von einer Firma namens Netrust in Singapur betrieben. Nur Australien, Neuseeland, Singapur, die USA und Japan machen derzeit schon operativ mit, Großbritannien stößt Ende des Jahres dazu.

Der Spin

Diese Darstellung ist glatter Spin, denn sie erwähnt nicht, dass die Schlüssel längst bilateral ausgetauscht werden, und zwar auf diplomatischem Weg, per Kurier.

So seien die österreichischen "Public Keys" bzw. die zugehörigen Zertifikate längst den britischen Behörden übermittelt worden, sagt Rosenkranz.

Auch für die Anmeldung bei der Schlüsseldatenbank PKD würden die Schlüssel auf physischer Ebene durch Angehörige des diplomatischen Dienstes abgeliefert.

"Nicht notwendig"

Eine solche zentrale Datenbank "macht sicher Sinn, ist aber nicht unbedingt notwendig", sagt Rosenkranz.

Das PKD solle es "nur erleichtern, zum Beispiel Folgezertifikate auszustellen. Man muss halt nur schauen, dass das wirklich sicher ist", sagte der Kryptographie-Experte der Staatsdruckerei abschließend.

Die Vorbehalte

Das deutsche Bundesamt für Sicherheit in der Informationstechnik hatte vor gut einem Jahr Vorbehalte gegen die Schlüsselablage in einer zentralen Datenbank angemeldet.

Mehrere andere Staaten schlossen sich dem an. Kern der Vorbehalte: Bei der über die Jahre zu erwartenden Menge an Schlüsseln und Folgezertifikaten könne man kaum sicherstellen, dass bei jedem einzelnen Schlüssel die Integrität garantiert sei.

Die "üblichen Verdächtigen"

Will heißen, dass sich unter allen als integer gehandelten Schlüsseln nicht einer befindet, der ein ganz anderes Land ausweist, aber jemandem in Transnistrien oder sonstwo gehört.

Und:

Gerade die "üblichen Verdächtigen", die das Projekt "PKD" antreiben, nämlich allen voran die USA und Großbritannien, sind notorisch bekannt für klaffende Lücken in den eigenen "Ketten der Sicherheit".

3.000 Blankopässe weg

In Großbritannien wurden nach dem Rekorddatendiebstahl des Frühjahrs - 25 Millionen ausführliche Datensätze der Sozialversicherung - gerade erst 3.000 Blankopässe gestohlen.

Der US-Behörde für Transportsicherheit kam vor Wochenfrist ein Laptop abhanden, der erst jetzt wieder aufgetaucht ist.

33.000 Datensätze, Iris und Fingerprint

Der Laptop enthielt 33.000 Datensätze von persönlichen Daten eines Programms für Vielflieger, das zumeist Geschäftsreisende nutzen.

Die üblichen langen Warteschlangen auf den US-Flughäfen lassen sich umgehen, so man sich einmal mit Fingerprint und Irisscan hat perlustrieren lassen.

Welche Datenfelder in der Datenbank des wieder aufgetauchten Laptops tatsächlich enthalten waren, gab die US-Transportbehörde nicht bekannt.

Fazit

Großbritannien hatte von Anfang an die technisch primitivste Variante für die Absicherung der Daten auf dem Passchip favorisiert, um möglichst bald mit dem "Roll-out" beginnen zu können.

Und was die Manipulation des Chips betrifft, so würde ein Blick des Zöllners auf das physisch im Pass vorhandene Foto genügen, um festzustellen, dass der vor ihm stehende Sprössling eines Redakteurs der "Times" nicht ident mit dem Foto aus dem Lesegerät ist, das unzweifelhaft Bin Laden darstellt.

Abgesehen davon wäre in jedem anderen europäischen Passlesegerät irgendeines Landes, das mit London bereits Schlüssel getauscht hat, jeder solcherart manipulierte Pass auch von der Maschine allein als "nicht gültig" eingestuft worden.

[futurezone | Erich Moechel]

E-Mail an die Redaktion

Die ORF.at-Foren sind allgemein zugängliche, offene und demokratische Diskursplattformen. Die Redaktion übernimmt keinerlei Verantwortung für den Inhalt der Beiträge. Wir behalten uns aber vor, Werbung, krass unsachliche, rechtswidrige oder beleidigende Beiträge zu löschen und nötigenfalls User aus der Debatte auszuschließen. Es gelten die Registrierungsbedingungen.

Forum

 

  • Offenbar gut recherchierter Artikel - ABER Fazit????

    openthought, vor 551 Tagen, 5 Stunden, 22 Minuten

    Also Fuzo Fazit "so würde ein Blick des Zöllners auf das physisch im Pass vorhandene Foto genügen, um festzustellen, dass der vor ihm stehende [...] nicht ident mit dem Foto aus dem Lesegerät ist, das unzweifelhaft Bin Laden darstellt."
    will mir nicht ganz einleuchten.

    Also für jemanden der einen der 3000 geklauten Blankopässe hat dürfte wohl das Einsetzen eines "physisch vorhandenen Fotos", das ident ist mit Foto das er auf dem (geklonten bzw. manipulierten) Chip gespeichert hat, die geringste Hürde darstellen ;-) - vorzugsweise wählt der Fälscher dann wohl ein Foto, das der Person ähnlich sieht die den Pass vorzeigt ... :-)
    Oder hab ich da was verpasst? ~:-)

    (Jaja - mal abgesehen von Public Key und Zertifikaten und dass wohl kaum jemand Osama Bin Laden als Passinhaber wählen wird)

  • unami, vor 551 Tagen, 7 Stunden, 26 Minuten

    ist's nicht ohnehin so, dass die pässe auch weiterhin ihre gültigkeit behalten, wenn der chip nicht funktioniert (weil ihn der besitzer z.b. mutwillig per emp zerstört wurde um nicht im vorbeigehen auslesbar zu sein)? d.h., im grunde ist's eh für die fisch', was auf dem chip nun d'rauf ist, oder?

    • Ein EMP Gerät

      ldir, vor 551 Tagen, 7 Stunden, 1 Minute

      ist mir leider etwas zu teuer. Es sollte schon ein Induktionsherd dafür genügen. Ausserdem möchte ich nicht mit dem EMP Generator meine Wertvolle Hardware beschädigen.

    • @Idir

      unami, vor 551 Tagen, 6 Stunden, 29 Minuten

      oder 'n alter foto-blitz mit 'ner spule statt der lampe.

    • Jein,

      euripides, vor 551 Tagen, 6 Stunden, 25 Minuten

      der Paß behält zwar seine Gültigkeit, allerdings steht es jedem Land frei, ob es Dich mit kaputtem Chip einreisen läßt oder nicht.

    • @euripides

      unami, vor 551 Tagen, 6 Stunden, 9 Minuten

      thx für die info.

      na, war eigentlich eh zu erwarten, dass man da besser die finger davon lässt. lieber den pass in 'ne metallhülle tun. bin ohnehin schon verunsichert, wenn mich die zöllner immer so zweifelnd anblicken, nachdem sie mein passfoto inspiziert haben.

  • also Wien ist der ungenannte Ort schoneinmal ;)

    elek, vor 551 Tagen, 8 Stunden, 48 Minuten

    ... die Pässe an einem ungenannten, hochsicheren Ort elektronisch zu signieren ...
    ... also tatsächlich aus Wien kam ...

    • Glaub' ich nicht.

      euripides, vor 551 Tagen, 8 Stunden, 18 Minuten

      Ich glaube, das sagen die nur, um die Leute in die Irre zu führen. In Wirklichkeit werden die Pässe im Bernsteinzimmer am Grunde des Toplitzsees signiert ;)

  • nice

    slartibartfasz, vor 551 Tagen, 9 Stunden, 16 Minuten

    Netter Artikel - kritisch, mit Hintergrundinfo ohne auszuufern, gut recherchiert - so liest man gerne FuZo :)

  • Vielen Dank an Tante Jutta,

    euripides, vor 551 Tagen, 10 Stunden, 3 Minuten

    daß die Meldung nicht einfach von den Agenturen übernommen wurde, sondern hinterfragt wurde, was da wirklich dran ist. Es gibt halt doch noch einige wenige Medien, die selber recherchieren, und die Tante ist ja schon als eifrige Leserin der ICAO-Standards positiv aufgefallen ;)

    • djfamc, vor 551 Tagen, 9 Stunden, 3 Minuten

      Ja, leider ist Eigenrecherche schon so selten geworden, dass man dafür schon Lob verteilen muss. Wenn ich mir die durchschnittliche ORF-Meldung ansehe, frage ich mich auch oft, wo da die journalistische Kompentenz über Copy&Paste hinausgehen soll. Bei der Futurezone, bei Ö1 und manchmal auch bei den anderen Sparten ist das zum Glück nicht so arg; manchmal sind sogar richtige Perlen dabei.

  • Apropos knacken

    pellegrino, vor 551 Tagen, 13 Stunden, 10 Minuten

    Ist das neue Premiere Verschlüsselungs-System schon geknackt ??

    • Glaub nicht..

      sapprogrammierer, vor 551 Tagen, 12 Stunden, 37 Minuten

      .... ist auch nicht so dringend, weil die alte Verschlüsselung noch bis 2011/12 parallel weiterläuft.

  • das das Public/Private Key System fehlerhaft im Design ist

    exthir, vor 551 Tagen, 13 Stunden, 12 Minuten

    ist wohl egal.....

    • kevinm, vor 551 Tagen, 12 Stunden, 56 Minuten

      Dann klär uns doch mal auf!

    • das hättest wohl gern :-)

      cyberhawk, vor 551 Tagen, 11 Stunden, 36 Minuten

      wohl zu faul zum googeln :-)
      steht eh alles in div. wikis

    • kevinm, vor 551 Tagen, 11 Stunden, 2 Minuten

      Google sagt, dass das System nicht fehlerhaft ist. :-)
      Natürlich kann es bei schlampigem Einsatz angreifbar sein.

    • Halbwissen...

      maxxmann, vor 551 Tagen, 9 Stunden, 57 Minuten

      ...findet man anscheinend nicht nur in der fuzo, sondern auch im internet, mal GAAAAAANNNNZZZZ was neues. mal ohne scherz, diese public/private key systeme sind sicher punkt. zu erklären warum das so ist würd zu lange dauern und ich weiss auch ned wie fit du in mathe bist:)
      allerdings ist es empfehlenswert lange schlüssel zu verwenden (wenn die amis behaupten 256bit schlüssel seien sicher, heisst das aber auch nur, dass sie die mit links knacken können)

    • euripides, vor 551 Tagen, 9 Stunden, 42 Minuten

      Also ich persönlich würde sagen, 3072 Bit RSA mit SHA-256 sollten eigentlich für die nächsten Jahre (genau: bis 12.9.2021) reichen.

      Wer sich selbst das österr. Zertifikat ansehen möchte, hat unter http://www.bmi.gv.at/csca/ die Gelegenheit dazu. Viel Spaß beim Versuch, es zu knacken!

  • "Sprößling eines Redakteurs der "London Times" nicht ident mit dem Foto"

    ljack, vor 551 Tagen, 13 Stunden, 44 Minuten

    Richtig. Allerdings wurde das elektronische Bild in den Pass gepackt, weil die analogen Bilder angeblich so leicht zu fälschen sind.
    P.S.: noch leichter ist es, die Bilder zu manipulieren, bevor sie in den Pass gelangen. Ein Freund von mir hat sein Passfoto selbst geschossen (entsprechend der Vorgaben selbstverständlich), dann digital manipuliert (z.B. unterschiedliche Augenfarbe, manipulierte Kopfform, etc.) und dann ausbelichtet. Mit dem solchermaßen veränderten Foto hat er sich einen Pass ausstellen lassen, was überhaupt kein Problem war, weil er der virtuellen Person am Foto auf den ersten Blick sehr ähnlich sah.

  • gattaca

    fenris79, vor 551 Tagen, 13 Stunden, 53 Minuten

    Warum noch auf ein Foto kucken wenn der Pass fälschungssicher ist?

    Ps.: kann denn Film nur empfehlen, dort sieht man "ansatzweise" (Möglichkeiten sind nicht absehbar) wohin die Reise geht.