6. Angriffsszenario
(Zusammenfassung)
● Bedingungen:
● Rechner des Opfers ist infiziert
● Basislesegerät ohne Tastatur wird eingesetzt
● Ausweis liegt auf dem Lesegerät
● Angreifer spioniert die PIN des Opfers aus
● Angreifer steuert Rechner des Opfers fern
● Macht Anfrage (z.B. an Bank: Konto eröffnen)
● Benutzt Lesegerät und Ausweis des Opfers, um
sich als es auszugeben
7. Das Problem
Es gelten dieselben Sorgfaltspflichten, die bereits
heute bei Internetanwendungen - etwa beim
Online-Banking - zum Tragen kommen. Dazu
gehört eine sichere Computerumgebung.
Cornelia Rogall-Grothe,
IT-Beauftragte der Bundesregierung [3]
Zur Zeit ist die Haftung sehr unzureichend
geregelt. Sie ist im Wesentlichen zu Ungunsten
des Verbrauchers geregelt. Das heißt, wenn es
Missbräuche gibt […], hat der Verbraucher nicht
nur den Schaden, sondern er muss im Zweifel
auch noch beweisen, dass er es nicht war.
Michael Bobrowski,
Verbraucherzentrale Bundesverband [2]
8. Das Problem
● Der Angriff hat gezeigt:
● Die Ausweisung per eID darf nicht als sichere
Ausweisung betrachtet werden
● Jedoch ist genau dies vorgesehen
● Die Verantwortung wird auf den Verbraucher
abgewälzt
● Dieser ist jedoch i.d.R. nicht in der Lage,
angemessene Sicherheitsvorkehrungen zu treffen
9. Gegenmaßnahmen
● Heutiges Online-Banking:
● mTAN: Einmalige Transaktionsnummer aufs Handy
● Paypal: Gerät, dass einmalige
Transaktionsnummern generiert
● Allgemein: Transaktionsverifizierung durch
Verwendung eines unabhängigen Kanals
● Beim nPA nicht vorgesehen
10. Vermischtes
● Speicherung biometrischer Daten
● Einsetzbarkeit und Sicherheitsgewinn: fraglich
● AusweisApp
● Sicherheitslücke innerhalb von 2 Tagen nach
Veröffentlichung
● Noch nicht verfügbar: Signaturfunktion
● Erhebliche Mängel bei ähnlicher Funktion der
Schweizer SuisseID
● Man darf gespannt sein
11. Fazit
● Nutzung der elektronischen Funktionen des
nPA kann nicht empfohlen werden
● Sie sind nicht sicherer als bisherige Verfahren,
da diese bei Bedarf zusätzliche
Verifikationswege einsetzen
„Das bisher hohe Niveau bei der Fälschungssicherheit des
deutschen Personalausweises wird durch die übereilte
Einführung eines sowohl konzeptionell schwachen als auch
technisch fragwürdigen Großprojekts ohne Not
unterminiert.“
Dirk Engling, CCC-Sprecher [1]
13. Quellen
● Zitierte Quellen:
● [1] Praktische Demonstration erheblicher Sicherheitsprobleme bei Schweizer SuisseID und deutschem
elektronischen Personalausweis
https://www.ccc.de/de/updates/2010/sicherheitsprobleme-bei-suisseid-und-epa
● [2] plusminus vom 24.08.2010: Neuer Personalausweis: Höhere Gebühr – mehr Sicherheit?
https://mediathek.daserste.de/daserste/servlet/content/5249848
● [3] „Sicherste Technik, die es gibt“ – Interview mit Cornelia Rogall-Grothe
https://www.faz.net/-01jfes
● Weitere Informationen:
● [4] Zu den Aussagen von Frau Rogall-Grothe: Wer hat eigentlich eine Juristin zur "Bundes-CIO"
gemacht?
https://blog.andreas.org/display?id=8
● [5] Zu Biometrie: ePass und ePA – Fingerzeig auf Unsicherheiten in Prozeß und Hardware
https://media.ccc.de/browse/conferences/sigint09/SIGINT09_3139_de_epass_und_epa.html
● [6] Zur AusweisApp: AusweisApp gehackt (Malware über Autoupdate)
https://janschejbal.wordpress.com/2010/11/09/ausweisapp-gehackt-malware-uber-autoupdate/