E-Perso unsicher?

Auch letzten Monat wurde wieder eine Sau durch die IT-Security-Welt getrieben – diesmal ging es um die elektronische Identität beim E-Personalausweis. Ein Sicherheitsforscher hatte eine Lücke „entdeckt“, die letztlich 2010 auf dem 27C3 benannt und auch schon vorher eingehend diskutiert wurde. Grundsätzlich geht es darum, dass die Faktoren „Haben“ (Zugriff auf die eID-Komponente des E-Persos) und „Wissen“ (Kenntnis der PIN) in bestimmten Konfigurationen über den gleichen Angriffsweg kompromittierbar sind. Angeblich sollen einige Gründe dagegengesprochen haben, ein PIN-Eingabefeld direkt auf den E-Perso selbst zu montieren – und somit muss ein Kommunikationskanal zwischen einer solchen Tastatur und der eID-Komponente existieren, und zwar zusätzlich zu dem Kanal zwischen eID und Dienstleister. Auch an dieser Stelle wurde darauf verzichtet, den E-Perso direkt per eigener Richtfunkantenne mit dem Anbieter kommunizieren zu lassen.

Deshalb wird ein Kartenlesegerät benötigt, das sowohl die PIN-Eingabe als auch das Auslesen der Daten aus dem E-Perso übernimmt. Dieses kann ein dediziertes Gerät, ein Rechner mit eingebautem Smartcard-Reader oder auch ein NFC-fähiges Mobiltelefon sein. In allen Fällen ergibt sich aber das gleiche Problem: Gelingt einem Angreifer die Übernahme des Gerätes, das die PIN entgegennimmt und auf die eID Zugriff hat, kann er einen Relay-Angriff durchführen und sich als rechtmäßiger Nutzer ausgeben. Im Übrigen funktioniert dieser Angriff genauso für die immer so hochgepriesenen Sicherheitsschlüssel von Yubico, SoloKeys und Co!