Security analysis of the european citizen card (ecc)
1. ΛΟΤΚΑΪΣΖ ΒΑΗΛΔΗΟ
ΜΠΑΡΔΚΟ ΒΑΗΛΔΗΟ
ΣΟΛΖ ΓΖΜΖΣΡΗΟ
Σμήμα Μητανικών Πληρουοριακών
& Δπικοινωνιακών σστημάτων
Δπιβλέπων καθηγητής: ΡΗΕΟΜΤΛΗΩΣΖ ΠΑΝΑΓΗΩΣΖ
Department of Information &
Communication Systems Engineering
2. ε ακάγθε ακάπηολεξ ειεθηνμκηθχκ οπενεζηχκ,
ε θμηκή θαηαπμιέμεζε ηεξ απάηεξ ηαοηυηεηαξ,
ε ακάπηολε εζκηθχκ θαη πακεονςπασθχκ μέηνςκ θαηά ηεξ
ηνμμμθναηίαξ,
ε εμθάκηζε κέςκ „δηεονςπασθχκ‟ οπενεζηχκ πνμθεημέκμο κα
μεηςζμφκ μη δαπάκεξ,
είκαη μενηθμί απυ ημοξ βαζηθμφξ πανάγμκηεξ γηα ηεκ
οπμζηήνηλε μηαξ εζκηθήξ ειεθηνμκηθήξ ηαοηυηεηαξ.
Department of Information &
Communication Systems Engineering
3. Πνμθεημέκμο κα επηηεοπζμφκ μη ζηυπμη, με απυιοηε αζθάιεηα
θαη πνμζηαζία ηεξ ηδηςηηθυηεηαξ, ε ειεθηνμκηθή θάνηα
ηαοηυηεηαξ δεκ μπμνεί πανά κα είκαη μηα έλοπκε θάνηα.
Η έλοπκε θάνηα με ηεκ εκζςμάηςζε εκυξ αζθαιμφξ
μιμθιενςμέκμο θοθιχμαημξ ιεηημονγεί ςξ έκαξ πμιφ μηθνυξ
οπμιμγηζηήξ, με ημ ιεηημονγηθυ ζφζηεμα ηεξ κα ειέγπεη:
ηεκ εθηέιεζε ηςκ εθανμμγχκ,
ημοξ πενημνηζμμφξ πνυζβαζεξ θαη
ηεκ επηθμηκςκία με ημ ελςηενηθυ πενηβάιιμκ.
Ιδιαίσεπα εταίςθησα ςσοιφεία όπψρ οι ιδιόσησερ/φαπακσηπιςσικά σψν
φπηςσών ή σα κπτπσογπαυικά κλειδιά για σην επικύπψςή σοτρ δε
διαππέοτν (released) ποσέ εκσόρ κάπσαρ και όλερ οι διαδικαςίερ
διεκπεπαιώνονσαι από σο λεισοτπγικό ςύςσημα σηρ κάπσαρ.
Department of Information &
Communication Systems Engineering
9. Part 1: Physical, electrical and transport protocol characteristics
Part 2: Logical data structures and card services
Part 3: ECC interoperability using an application interface, (middleware)
Part 4: Recommendations for ECC issuance, operation and use, (μνγακςζηαθά)
14. Δτνασόσησα διαμόπυψςηρ
Στμβασόσησα με τπόλοιπα
Ανθεκσικόσησα ςσιρ
ακπαίερ θεπμοκπαςίαρ
τπόλοιπα τλικά
Στμβασόσησα με
Πεπιβαλλονσική
Διάπκεια ζψήρ
θεπμοκπαςίαρ
Ανθεκσικόσησα ςσιρ
διαμόπυψςηρ
ςτμβασόσησα
Ανακύκλψςη
Δτνασόσησα
Πεπιβαλλονσική
Διάπκεια ζψήρ
ςτμβασόσησα
ακπαίερ
Ανακύκλψςη
Κόςσορ
Άλλα
Κόςσορ
τλικά
Άλλα
Ετπύ υάςμα
ευαπμογών, εμπειπία
Γπήγοπη διά- από μακπό-φπονη
Πεπι- Επικίνδτνο Πεπι-
PVC Απκεσά καλή βπψςη άλλψν Πολύ υθηνό Δτνασή φπήςη, μικπή ανθεκσι-
οπιςμένη (σοξικό) οπιςμένη
τλικών κόσησα ςε φημικέρ
οτςίερ καιανθεκσι-
Χημική UV ακσινο-
κόσησα, βολία
πιο εύκαμπσο
PET Πολύ καλή Πολύ τχηλή Καλή Υχηλή Φθηνό και λιγόσεπο ετπαθέρ
ςσιρ γπα-σζοτνιέρ
από σο PC
Πεπι-οπιςμένη Πεπι- Χαμηλή ανσίςσαςη
ABS Πολύ καλή Υχηλή Κακή Φθηνό Δτνασή
με σο μελάνι οπιςμένη ςση διάβπψςη
Πολύ ςσαθεπό
Υχηλή έψρ ενάνσια ςσην κάμχη
Καλή αλλά
PC Πολύ τχηλή Όφι πολλέρ
ιδανική (για Επικίνδτνο Υχηλή Ακπιβό Δτνασή και ση UV ακσινο-
δύςκολη Απκεσά Δτςκο-λόσεπη επεξ-
PETG Καλή Πολύ τχηλή ςτμβασέρ
οπιςμένα) Απκεσά καλή Υχηλή Δτνασή βολία, εταιςθηςία
υθηνό επγαςία από σο PVC
οτςίερ ςσο γπα-σζούνιςμα
Department of Information &
Communication Systems Engineering
15. Υπογπαθή
Ονομαηεπώνςμο
Ημ/νία γέννηζηρ Ομάδα αίμαηορ
Τόπορ γέννηζηρ
Εθνικόηηηα
Απ. κάπηαρ
Ημ/νία έκδοζηρ Ημ/νία λήξηρ
Πποζδιοπιζμόρ απσήρ
Department of Information &
Communication Systems Engineering
16. Γπίπεδα επαιήζεοζεξ
Department of Information &
Communication Systems Engineering
17. Γθηύπςζε οπμβάζνμο θαη θεημέκμο
◦ Τμ οπυβαζνμ πνέπεη κα πενηέπεη ζφκζεηα ζπέδηα με
ημοιάπηζημκ δφμ εηδηθά πνχμαηα θαη κα πενηιαμβάκεη
μηκηεθηφπςζε θαη/ή μηθνμεθηφπςζε.
◦ Φνήζε ακάγιοθςκ δμμχκ μαδί με παναδμζηαθά
γναμμμθμζμήμαηα (υπςξ πανημκμμίζμαηα).
◦ Τέιμξ, ζοζηήκεηαη κα απμθεφγμκηαη ηα δεμυζηα δηαζέζημα
παθέηα ιμγηζμηθμφ γηα ηε γναθηθή ζπεδίαζε ή κα
πνεζημμπμημφκηαη μυκμ ζε ζοκδοαζμυ με εηδηθά ιμγηζμηθά
αζθαιμφξ ζπεδηαζμμφ.
Department of Information &
Communication Systems Engineering
27. Τμ απμηέιεζμα ημο βημμεηνηθμφ ειέγπμο
μεηαβάιιεη ηε θαηάζηαζε αζθάιεηαξ ICC θαη
IFD, αθμιμοζεί Secure Messaging επηθμηκςκία.
Department of Information &
Communication Systems Engineering
28. Οιιακδία PRIVIUM live ζάνςζε ίνηδαξ
ζφγθνηζε με Privium Card, πνυκμξ 10 –
15s.
Ηκ. Βαζίιεημ IRIS (Iris Recognition
Immigration System) ζφγθνηζε live
βημμεηνηθμφ με αζθαιή ΒΔ.
Πμνημγαιία RAPID ηεξ Vision-
Box, επηβεβαίςζε δεδμμέκςκ IC
δηαβαηενίμο, live ζάνςζε πνμζχπμο &
ζφγθνηζε με απμζεθεομέκε IC, πνυκμξ
20s.
29. Xαπακσήπερ
Ελέγφοτ
Σοζηάζεηξ ICAO 9303 P3V1 επιθεψπούνσαι
Πενηεπυμεκμ VIZ MRZ ατσόμασα από
αναγνώςσερ
Κςδηθυξ Γζκηθυηεηαξ ISO 3166-1 (GRC = Γιιάδα)
Eπχκομμ, υκμ
μα με
ιαηηκηθμφξ
παναθηήνεξ
μεηαγναθή, Γ
ΛΟΤ 743
(ακηίζημηπμ
ISO 843)
37. VERIFY CERTIFICATE (απμζημιή & επηβεβαίςζε ηεξ
γκεζηυηεηαξ εκυξ πηζημπμηεηηθμφ ζηεκ θάνηα)
VERIFY DIGITAL SIGNATURE
Γθανμμγή: Card-Verifiable Certificates,
Αζφμμεηνε Κνοπημγναθία
CEN 15480-3, ISO 7816-8
Department of Information &
Communication Systems Engineering
38. για τπογπαυή σψν
δεδομένψν κάπσαρ για οπιςμό δικαιψμάσψν
ατθενσικόσησα ππόςβαςηρ IS
έλεγφορ ππόςβαςηρ
Technical Guideline TR-03110
60. Υπάνπμοκ δφμ δηαθμνεηηθά πενηβάιιμκηα:
Έμπηζημ πενηβάιιμκ
Με έμπηζημ πενηβάιιμκ
Device
authentication
Secure
messaging
Department of Information &
Communication Systems Engineering
63. Σοκάνηεζε πνμ-
μμνθμπμίεζεξ ΓΝΣΟΛΓ
δεδμμέκςκ
PSO:COMPUTE DIGITAL
SIGNATURE
PSO:HASH
Μεπακηζμυ
Τμ παναγυμεκμ απμηέιεζμα DSI είκαη μηα μμνθμπμίεζεξ
ζομβμιμζεηνά, ε μπμία ζα μεηαηναπεί απυ ημκ (ζοκήζςξ
αιγυνηζμμ οπμγναθήξ padding)
Department of Information &
Communication Systems Engineering
64. ωτική ID
Υποχρε-
Υλοποιημένη Υποχρεωτική eID προγραμμα- Ψηφ. Υπο-
Χώρα ID κάρτα eID κόστος
eID eID τισμένο γραφή
Ναι
Αυστρία
Ισπανία Ναι Ναι
Όχι Ναι
Όχι -
€10 Υπάρχει ήδη Ναι
(από 2004)
2006)
Ναι
Ναι Όχι, υποχρεω-
Ιταλία Ναι Ναι Ναι €25 έως €45
Βέλγιο Ναι Ναι (από 2001) €10 έως €25 Υπάρχει ήδη
Υπάρχει ήδη Ναι
Ναι
(από 2004) τική από 2012
Ναι
Λιθουανία
Γαλλία Ναι
Ναι Ναι Όχι Ναι
- €23,17
- Υπάρχει ήδη
Ναι Ναι
-
(από 2009)
Ηλικία άνω των 24:
Ναι
Ολλανδία Ναι Ναι Ναι Ναι €28.80 Ηλικία έως 24:
€42.85 Υπάρχει ήδη Όχι
Γερμανία Ναι Ναι (από 2005) Όχι, από το 2012 Υπάρχει ήδη Ναι
(από Νοε 2010) €19.80 Ηλικίες 16-18:
Ναι, για άνω των Δωρεάν Ναι
Πολωνία Ναι Ναι Όχι - Ναι
Ναι 18 (από 2011)
Εσθονία Ναι Ναι Ναι €16 Υπάρχει ήδη Ναι
(από 2002)
Ναι
Πορτογαλία Ναι Ναι Ναι €12 Υπάρχει ήδη Ναι
Όχι (από 2006)
(από 2007)
Ναι, μερι- Όχι, καταργή-
Ην. Βασίλειο Όχι καταργή-θηκε
Ναι - Όχι -
Σουηδία κώς
Ναι Όχι θηκε
Όχι €42 Υπάρχει ήδη Ναι
2011
(από 2005)
Ναι, τραπεζικές
Ναι Ενήλικες: €51.47
Φιλανδία
Ισλανδία Ναι Όχι
Ναι κάρτες (από Όχι
- - Υπάρχει ήδη Ναι
(από 2003) παιδιά: €25.73
Ποιες είναι οι αρμόδιες αρχες: Που παρέχουν εγγυήσεις ότι οι πολίτες μπορούν να εμπιστεύονται ότι υπογεγραμμένα έγγραφα προέρχονται από αυθεντική πηγή? που εποπτεύουν τις αντίστοιχες διαδικασίες
Έχει επιβεβαιωτική λειτουργία: O παραλήπτης είναι βέβαιος ότι το μήνυμα που παραλαμβάνει ανήκει στον αποστολέα χωρίς αλλοιώσεις.Εμπιστευτική λειτουργία: Μόνο ο παραλήπτης μπορεί να διαβάσει το μήνυμα
Αποστολέας1. Δημιουργεί τη σύνοψη του μηνύματος (σύμφωνα με την οποία από κάθε μήνυμα και ανεξαρτήτως του μεγέθους του δημιουργείται μια σύνοψή του, που είναι μια σειρά από bits με συγκεκριμένο πλήθος, για παράδειγμα 128 bits.) που θέλει να στείλει χρησιμοποιώντας κάποιον αλγόριθμο κατακερματισμού (one way hash).2.Με το ιδιωτικό του κλειδί κρυπτογραφεί τη σύνοψη. Αυτό που παράγεται είναι η ψηφιακή υπογραφή3. Η κρυπτογραφημένη σύνοψη (ψηφιακή υπογραφή) προσαρτάται στο κείμενο και το μήνυμα με τη ψηφιακή υπογραφή μεταδίδονται μέσω του δικτύου
Ο παραλήπτης αποσπά από το μήνυμα την ψηφιακή υπογραφή (κρυπτογραφημένη -με το δημόσιο κλειδί του αποστολέα- σύνοψη).2. Εφαρμόζοντας στο μήνυμα που έλαβε τον ίδιο αλγόριθμο κατακερματισμού, ο παραλήπτης δημιουργεί τη σύνοψη του μηνύματος.3. Στη συνέχεια, αποκρυπτογραφεί με το δημόσιο κλειδί του αποστολέα, την κρυπτογραφημένη σύνοψη του μηνύματος (ψηφιακή υπογραφή).4. Συγκρίνονται οι δύο συνόψεις και, αν βρεθούν ίδιες, το μήνυμα που έλαβε ο παραλήπτης είναι ακέραιο. Αν το μήνυμα έχει μεταβληθεί, η σύνοψη που θα παράγει ο παραλήπτης θα είναι διαφορετική από τη σύνοψη που έχει κρυπτογραφηθεί.
Συμπερασματικά, η Οδηγίας είχε τρεις στόχους: (α) την τεχνολογική ουδετερότητα, (β) την αποφυγή κατακερματισμού της εσωτερικής αγοράς και (γ) τη νομική αναγνώριση των ηλεκτρονικών υπογραφών στο ευρωπαϊκό και εθνικό δίκαιο.Στην Ελλάδα όλοι οι ΠΥΠ ελέγχονται από την ΕΕΤΤ ή από οριζόμενους από αυτήν δημόσιους ή ιδιωτικούς φορείς.
ΠΥΠ: Παρόχων Υπηρεσιών Πιστοποίησης
ΠΥΠ: Παρόχων Υπηρεσιών Πιστοποίησης
Απαιτήσεις ασφάλειαςΠεριορίζεται η αποδεικτική ισχύς των άλλων δύο κατηγοριών υπογραφων
ΠΥΠ: Παρόχων Υπηρεσιών Πιστοποίησης
Επιλογή 2: Iδιότητες υπογραφής και άλλες πληροφορίες σχετικά με τη μορφή, συνήθως προστίθενται σε αυτό το βήμαΣύμφωνα με το αλγόριθμο υπογραφής που χρησιμοποιέιθηκε η έξοσος της συνάρτησης σύνοψης μορφοποιέιται από ένα μηχανισμό μορφοποίησης Πρότυπο_2. Συνήθως πρόκειται για ένα padding μηχανισμό.Εν μέρη: Το κείμενα σπάει σε δύο κομμάτια