Präsentation für die Sitzung der Jusos Tübingen am 2.12.2010

1. Kritik am
neuen Personalausweis
Sebastian Beschke
Diskussionsbeitrag für die Sitzung
der Jusos Tübingen am 2.12.2010

2. Übersicht
● Angriffsszenario
● Das Problem
● Gegenmaßnahmen
● Vermischtes
● Fazit

3. Angriffsszenario
Verwenden der eID-Funktion: Online-Identitätsnachweis
Daten
(verschlüsselt
352318 Identität OK!
für Anbieter)
Internet
PIN Daten
Anbieter
Bürger
Näheres zum Angriff: Siehe [1], [2]

4. Angriffsszenario
Identität OK!
Daten
(verschlüsselt)
352318
Internet
PIN
PIN Daten Anbieter
352318
Angreifer
Bürger

5. Angriffsszenario
Identität OK!
Daten
(verschlüsselt)
Internet
Anbieter
PIN Daten PIN
352318
Angreifer
Bürger

6. Angriffsszenario
(Zusammenfassung)
● Bedingungen:
● Rechner des Opfers ist infiziert
● Basislesegerät ohne Tastatur wird eingesetzt
● Ausweis liegt auf dem Lesegerät
● Angreifer spioniert die PIN des Opfers aus
● Angreifer steuert Rechner des Opfers fern
● Macht Anfrage (z.B. an Bank: Konto eröffnen)
● Benutzt Lesegerät und Ausweis des Opfers, um
sich als es auszugeben

7. Das Problem
Es gelten dieselben Sorgfaltspflichten, die bereits
heute bei Internetanwendungen - etwa beim
Online-Banking - zum Tragen kommen. Dazu
gehört eine sichere Computerumgebung.
Cornelia Rogall-Grothe,
IT-Beauftragte der Bundesregierung [3]
Zur Zeit ist die Haftung sehr unzureichend
geregelt. Sie ist im Wesentlichen zu Ungunsten
des Verbrauchers geregelt. Das heißt, wenn es
Missbräuche gibt […], hat der Verbraucher nicht
nur den Schaden, sondern er muss im Zweifel
auch noch beweisen, dass er es nicht war.
Michael Bobrowski,
Verbraucherzentrale Bundesverband [2]

8. Das Problem
● Der Angriff hat gezeigt:
● Die Ausweisung per eID darf nicht als sichere
Ausweisung betrachtet werden
● Jedoch ist genau dies vorgesehen
● Die Verantwortung wird auf den Verbraucher
abgewälzt
● Dieser ist jedoch i.d.R. nicht in der Lage,
angemessene Sicherheitsvorkehrungen zu treffen

9. Gegenmaßnahmen
● Heutiges Online-Banking:
● mTAN: Einmalige Transaktionsnummer aufs Handy
● Paypal: Gerät, dass einmalige
Transaktionsnummern generiert
● Allgemein: Transaktionsverifizierung durch
Verwendung eines unabhängigen Kanals
● Beim nPA nicht vorgesehen

10. Vermischtes
● Speicherung biometrischer Daten
● Einsetzbarkeit und Sicherheitsgewinn: fraglich
● AusweisApp
● Sicherheitslücke innerhalb von 2 Tagen nach
Veröffentlichung
● Noch nicht verfügbar: Signaturfunktion
● Erhebliche Mängel bei ähnlicher Funktion der
Schweizer SuisseID
● Man darf gespannt sein

11. Fazit
● Nutzung der elektronischen Funktionen des
nPA kann nicht empfohlen werden
● Sie sind nicht sicherer als bisherige Verfahren,
da diese bei Bedarf zusätzliche
Verifikationswege einsetzen
„Das bisher hohe Niveau bei der Fälschungssicherheit des
deutschen Personalausweises wird durch die übereilte
Einführung eines sowohl konzeptionell schwachen als auch
technisch fragwürdigen Großprojekts ohne Not
unterminiert.“
Dirk Engling, CCC-Sprecher [1]

12. Fragen?

13. Quellen
● Zitierte Quellen:
● [1] Praktische Demonstration erheblicher Sicherheitsprobleme bei Schweizer SuisseID und deutschem
elektronischen Personalausweis
https://www.ccc.de/de/updates/2010/sicherheitsprobleme-bei-suisseid-und-epa
● [2] plusminus vom 24.08.2010: Neuer Personalausweis: Höhere Gebühr – mehr Sicherheit?
https://mediathek.daserste.de/daserste/servlet/content/5249848
● [3] „Sicherste Technik, die es gibt“ – Interview mit Cornelia Rogall-Grothe
https://www.faz.net/-01jfes
● Weitere Informationen:
● [4] Zu den Aussagen von Frau Rogall-Grothe: Wer hat eigentlich eine Juristin zur "Bundes-CIO"
gemacht?
https://blog.andreas.org/display?id=8
● [5] Zu Biometrie: ePass und ePA – Fingerzeig auf Unsicherheiten in Prozeß und Hardware
https://media.ccc.de/browse/conferences/sigint09/SIGINT09_3139_de_epass_und_epa.html
● [6] Zur AusweisApp: AusweisApp gehackt (Malware über Autoupdate)
https://janschejbal.wordpress.com/2010/11/09/ausweisapp-gehackt-malware-uber-autoupdate/