Die Chipkarte kommt! Einführung des elektronischen Studierendenausweis

Präsentation zum Thema: "Die Chipkarte kommt! Einführung des elektronischen Studierendenausweis"—  Präsentation transkript:

1 Die Chipkarte kommt! Einführung des elektronischen Studierendenausweis
Hochschule für Angewandte Wissenschaften Hamburg Hamburg, HAW Standort Saarlandstraße, Bernd Klöver, Kanzler HAW Hamburg Thorsten Ebert IT Beratung

2 Hintergrund der Einführung
Warum wird an der HAW Hamburg ein elektronischer Studierendenausweis eingeführt? Verbesserung der Serviceleistungen für Studierende Einsatz eines fälschungssicheren Studierendenausweis effizientere Abwicklung von Geschäftsprozessen Rückmeldung Semesterticket Bezahlung in der Mensa Rechtliche Grundlage der Einführung Änderung der Immatrikulationsordnung der Hochschule für Angewandte Wissenschaften vom 24. Januar 2008 Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

3 Sicherheitskritische Betrachtungen
Betrachtung der RFID-Technologie RFID = Radio Frequency IDentifikation Die zwei Komponenten eines RFID-Systems Transponder (Datenträger, Radiofrequenzmodul sendet und empfängt Daten) Lesegerät (Schreib- / Leseeinheit, Antenne; kommuniziert mit Transponder) Transponder aktive / passive Transponder Technik des Studierendenausweises MIFARE DESFire-Chip simultane Verwendung von bis zu 28 Applikationen (bis zu 16 Files pro Applikation) 3 DES Verschlüsselung (dreifache Verschlüsselung mit mind. 3 unterschiedlichen Schlüsseln) passiver Transponder Funkfrequenz 13,56 MHZ Funkreichweite 10 cm (abhängig von der verwendeten MIFARE Antenne) Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

4 Sicherheitskritische Betrachtungen
Betrachtung der RFID-Technologie Sicherheitslücken des MIFARE classic Chips Die „Digital Security group“ der Universität in Nimwegen behauptet eine MIFARE Classic Karte gehackt, geklont und in einem bestehenden Chipkartensystem missbräuchlich eingesetzt zu haben (Quelle: Presseerklärung der „Digital Security group“, ) Der verwendete Verschlüsselungs-Algorithmus „Crypto 1“ wurde gehackt (Quelle: ct, Ausgabe 8, ) NXP (Hersteller des Chips) bezieht bis jetzt ( ) keine Stellung zu den Informationen (es besteht seit einigen Wochen Mail- und Telefonkontakt zu NXP) Entscheidung der Projektverantwortlichen der HAW Hamburg Nach einem Gespräch mit dem Geschäftsführer der ausführenden Firma InterCard AG Kartensysteme unter Teilnahme des ASTA am 07. April, entschieden sich die Projektverantwortlichen am 28. April gegen den MIFARE classic Chip Statt des gehackten Chips wird nun der sichere MIFARE DESFire Chip für den Studierenden- und Dienstausweis der HAW Hamburg eingesetzt (der MIFARE DESFire Chip wird beispielsweise auch von der NASA in der Zugangskarte ihrer Mitarbeiter verwendet) Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

5 Sicherheitskritische Betrachtungen
Untersuchung der Bedrohungslage Überwachung / Ortung der Karteninhaber Einschätzung: limitiert durch Funkreichweite, Aufwand / Benefit Abhören der Kommunikation zwischen Studierendenausweis und Chipkartenleser Einschätzung: wenn überhaupt können nur verschlüsselte Daten abgehört werden (Schlüssellänge 168 Bit), limitiert durch Funkreichweite, Aufwand / Benefit nicht autorisiertes Auslesen von Daten Einschätzung: nicht möglich, da jeder Zugriff einem Schlüssel der zugehörigen Applikation zugeordnet ist, ohne Kenntnis des in der File-Struktur des Chips vorhandenen Schlüssels können keine Daten ausgelesen werden nicht autorisiertes Verändern von Daten Einschätzung: siehe oben Cloning / Emulation von Originaldaten (Vortäuschung eines Studierendenausweises) Einschätzung: nicht möglich, da ein Auslesen der Daten unmöglich ist und jeder MIFARE DESFire Chip eine unveränderbare eindeutige Chipnummer aufweist Ablösung RFID-Chips (Tags) von der Karte für Reverse Engineering Einschätzung: Durch Aceton oder Salpetersäure möglich, allerdings ist dies für ein Angriffsszenario nicht hilfreich, da mit bekannten Standardverschlüsselungsverfahren gearbeitet wird Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

6 Sicherheitskritische Betrachtungen
Daten die auf dem Studierendenausweis gespeichert werden sollen optisch: Passfoto, Name und Vorname (Namenszusätze), Matrikelnummer, Kartenseriennummer, Bibliothekskonto, Barcode elektronisch: Matrikelnummer Preiskennzahl Mensa (0 = Studierende) Kartenseriennummer (von InterCard vergebene eindeutige Nummer) Kartenfolgenummer (0 = 1. Generation, 1 = 2. Generation, etc.) Datum der Kartenpersonalisierung Datum des Endes der Kartengültigkeit Firmennummer Zutritt (eindeutige Projektnummer von Primion) Zutrittsnummer (fortlaufend von der HAW vergebene Nummer) Kontonummer Bibliothek Systemnummer Mensa (eindeutige Systemnummer von Telos) Geldbörse Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

7 Sicherheitskritische Betrachtungen
Datenprotokollierung Zutritt / Mensa Art der protokollierten Daten Zutrittskontrolle: Zutrittsnummer Datum Uhrzeit Komponenten-Nummer Mensa: Kartenseriennummer Preiskennzahl Beträge (Aufwertung, Abwertung, neue Saldi) Artikelnummern (Speisen und Getränke) Gerätenummer Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

8 Sicherheitskritische Betrachtungen
Untersuchung der Bedrohungslage Zutritt Automatische Protokollierung und automatische Löschung der Protokolldaten Rahmenbedingungen Einsichtnahme von Protokolldaten (AStA) Dringender Tatverdacht für Straftat muss vorliegen Vier-Augen-Prinzip: Anwesenheit PR Doppel-Passwort noch abzustimmen: Bei Auswertung von Protokolldaten wird auf der HAW-Website veröffentlicht , wo ausgelesen wurde noch abzustimmen: Information der Studierenden, deren Protokolldaten ausgelesen wurden Vorgehen Wartungsarbeiten Zugriff Managementbereich Zugriff Zutrittsprofile (Vereinbarung über Wahrung des Datengeheimnisses) Mensa ausschließliche Verwendung von pseudonymen Daten (Kartenseriennummer) Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

9 Funktionen des Studierendenausweises
Überblick über die Funktionen optische Funktionen Blickausweis / Studierendenausweis Bibliotheksausweis HVV-Semesterticket Internationaler Studentenausweis elektronische Funktionen elektronischer Schlüssel Bibliotheksausweis (zukünftig: Medien-Ausleihe / bargeldose Bezahlung Mahngebühren) Zahlungsmittel Mensa Zahlungsmittel Kopierer Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

10 Optische Funktionen – Vorderseite
Layout der Chipkarten-Vorderseite Individuelle Steuerung des „TRW-Drucks“ (z.B. Härtefälle) Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

11 Optische Funktionen – Rückseite
Layout der Chipkarten-Rückseite Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

12 Elektronische Funktionen
ZUTRITTSKONTROLLE BIBLIOTHEK Medien-Ausleihe Bargeldlose Bezahlung von Mahngebühren KOPIEREN Bargeldlose Bezahlung von Kopien MENSEN / CAFETERIEN Bargeldlose Bezahlung von Speisen und Getränken Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

13 Abschluss Kommunikation mit den Studierenden erfolgt über das HELIOS-Postfach: Bitte regelmäßig das Postfach leeren! Offene Fragen Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung