Original-URL des Artikels: https://www.golem.de/1009/78145.html    Veröffentlicht: 22.09.2010 09:06    Kurz-URL: https://glm.io/78145

Elektronischer Personalausweis

CCC demonstriert weitere Sicherheitsprobleme

Tüftler und Kriminelle können den elektronischen Personalausweis und auch die Schweizer SuisseID mit einfachen Mitteln fernsteuern und so auch ohne direkten Zugriff auf die Dokumente die Identität des Ausweisinhabers missbrauchen. Darauf weist der Chaos Computer Club (CCC) hin.

Der CCC hat in Zusammenarbeit mit Schweizer Sicherheitsexperten Schwachstellen im neuen elektronischen Personalausweis (ePA) und der in der Schweiz bereits im Einsatz befindlichen SuisseID praktisch demonstriert. Die Sicherheitsexperten Max Moser und Thorsten Schröder konnten zeigen, dass sich mit einfacher, für jedermann problemlos im Netz erhältlicher Software sowohl die SuisseID als auch der ePA ferngesteuert benutzen lassen.

Der neue elektronische biometrische Ausweis soll am 1. November 2010 in Deutschland eingeführt werden. Die Technik weise große Parallelen zur SuisseID auf, die in der Schweiz bereits im Umlauf ist.

Sie verwenden dabei Schadsoftware, um die Tastatureingaben zu belauschen und so an die PIN des Nutzers zu gelangen: "Es geht hier nicht um theoretische Schwachstellen, es geht um praxisrelevantes systemisches Versagen", kommentiert CCC-Sprecher Dirk Engling. "Gerade die Sicherheit gegen Alltagsrisiken, wie Schadsoftware auf dem heimischen PC, muss bei so massenhaft eingesetzten Systemen wie der SuisseID und dem ePA im Vordergrund stehen."

Es sei leider traurige Realität, dass viele aktuelle Computer nicht zu jedem Zeitpunkt allein unter der Kontrolle ihrer Besitzer stehen. Doch dieser Gefahr werde beim ePA nicht ausreichend Rechnung getragen und die Verwendung einfacher Smartcard-Leser erlaubt und sogar gefördert: "Verwendet der Ausweisbenutzer eines der billigen Lesegeräte, ist er gezwungen, seine geheime PIN über die Tastatur seines Rechners einzugeben", womit einem auf dem PC lauernden Trojaner das Mitlesen möglich sei, so der CCC.

Angreifer können den elektronischen Personalausweis aus der Ferne nutzen

Mit dem Wissen um die PIN könne ein Angreifer dann den Ausweis nach Belieben benutzen, solange dieser auf einem Lesegerät liegt. Versteckt im Hintergrund kann er sich so online als Besitzer des Ausweises ausgeben, ohne dabei auf die übertragenen Daten Zugriff zu nehmen. Zudem könne der Angreifer die PIN des Ausweises ändern, womit der rechtmäßige Besitzer diesen selbst nicht mehr entsprechend nutzen kann.

"Das bisher hohe Niveau bei der Fälschungssicherheit des deutschen Personalausweises wird durch die übereilte Einführung eines sowohl konzeptionell schwachen als auch technisch fragwürdigen Großprojekts ohne Not unterminiert. Mit dem ePA ist der Diebstahl des zukünftig wichtigsten Dokuments eines jeden Bürgers vom Kinderzimmer-Computer aus möglich", sagt CCC-Sprecher Dirk Engling.

Das Bundesinnenministerium hat im Rahmen des Großprojekts die einfachen Basislesegeräte ohne eigene Tastatur erworben, die per Schadsoftware ausgeschnüffelt werden können, wie der CCC zeigt. Eine Million dieser Geräte sollen in einem "Starterkit" an Ausweisbesitzer vergeben werden. Damit wird "Betroffenen eine potenzielle Sicherheitslücke untergejubelt", kritisieren die Hacker und merken an, dass dadurch sozial schwache Nutzer des ePA besonders benachteiligt werden. Denn diese würden sich die sicherere Variante der Lesegeräte nur schwerlich leisten können und werden zudem über die potenziellen Risiken gar nicht aufgeklärt.

Nach Ansicht der Hacker bieten aber auch die teureren Lesegeräte mit eigener PIN-Tastatur nur begrenzten Schutz. Sie verweisen dabei auf "Man-In-The-Browser", wie sie aus dem Onlinebanking bekannt sind. Dabei wird der Inhalt von Transaktionen modifiziert, ohne dass der Benutzer dies bemerkt. Daher würden bei den meisten Online-Banking-Applikationen zusätzlich die eigentlichen Transaktionen signiert. Beim ePA sei das nicht der Fall.

PDFs bergen weitere Risiken

Ein weiteres Problem stellt die Verwendung komplexer Dokumentenformate dar: So könne nicht davon ausgegangen werden, dass ein Dokument innerhalb unterschiedlicher Signierapplikationen identisch aussieht. Es gibt weder klare Richtlinien noch Empfehlungen, kritisiert der CCC.

So sei es möglich gewesen, innerhalb des Programms "SwissSigner" eine PDF-Datei mit aktiven Javascript-Inhalten zu signieren, ohne dass die Applikation selbst dieses Dokument korrekt darstellen kann. Innerhalb einer anderen Applikation, beispielsweise dem weit verbreiteten Acrobat Reader der Firma Adobe, sieht das Dokument anders aus und unter gewissen Bedingungen werde sogar die rechtsgültige Unterschrift weiter als qualifiziert und intakt dargestellt.

Daher sei es "grundsätzlich eine schlechte Idee, komplexe Dokumentenformate wie PDF für solche Signaturen zu verwenden", sagt Thorsten Schröder.

"Die an der Einführung und am Betrieb der Systeme beteiligten Unternehmen und staatlichen Stellen können nicht oft genug an ihre Pflicht zur wahrheitsgemäßen Aufklärung erinnert werden", sagt Schröder. "Wenn schon alle Verantwortlichen behaupten, es ginge gar nicht darum, ein hundertprozentig sicheres System zu schaffen, dann ist es auch ihre verdammte Pflicht, die Bürger im Vorfeld zu informieren und zu sensibilisieren. Die bestehenden Gefahren dürfen nicht hinter Marketinggeschwätz verschwinden und verschwiegen werden. Zu behaupten, man müsse für einen Missbrauch im physikalischen Besitz der Smartcard sein, grenzt an Fahrlässigkeit."

CCC rät zu Lesegeräten der Klasse 2

Der CCC rät allen zukünftigen Ausweisbesitzern, höherwertige Lesegeräte mindestens der Klasse 2 mit PIN-Tastatur zu verwenden. Damit sei es zumindest möglich, sich vor den simplen Angriffen mittels leicht verfügbarer Spionagesoftware zu schützen.

Die Beteuerungen des Bundesamtes für Sicherheit in der Informationstechnik (BSI), der "Spagat zwischen Datenschutz und Bedienungskomfort" sei bei ePA gelungen, kommentiert CCC-Sprecher Engling trocken: "Was die da rauchen, hätten wir auch gern mal."  (ji)


Verwandte Artikel:
25C3: ePass-Konzept wird an der Umsetzung scheitern   
(30.12.2008, https://glm.io/64338 )
Google News nun auch mit europäischen Agenturen   
(17.03.2009, https://glm.io/65948 )
BSI: Missbrauch der elektronischen Ausweisfunktion nicht möglich   
(25.08.2010, https://glm.io/77473 )
TNS-Infratest-Datenleck größer als gedacht   
(14.07.2008, https://glm.io/61031 )
Bundesrechtsanwaltskammer: Anwälte sollen BeA sofort deinstallieren   
(26.01.2018, https://glm.io/132421 )

© 1997–2020 Golem.de, https://www.golem.de/