Die Chipkarte kommt! Einführung des elektronischen Studierendenausweis Hochschule für Angewandte Wissenschaften Hamburg Hamburg, HAW Standort Saarlandstraße, 25.06.2008 Bernd Klöver, Kanzler HAW Hamburg Thorsten Ebert IT Beratung

Hintergrund der Einführung Warum wird an der HAW Hamburg ein elektronischer Studierendenausweis eingeführt? Verbesserung der Serviceleistungen für Studierende Einsatz eines fälschungssicheren Studierendenausweis effizientere Abwicklung von Geschäftsprozessen Rückmeldung Semesterticket Bezahlung in der Mensa Rechtliche Grundlage der Einführung Änderung der Immatrikulationsordnung der Hochschule für Angewandte Wissenschaften vom 24. Januar 2008 Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung 25.06.2008

Sicherheitskritische Betrachtungen Betrachtung der RFID-Technologie RFID = Radio Frequency IDentifikation Die zwei Komponenten eines RFID-Systems Transponder (Datenträger, Radiofrequenzmodul sendet und empfängt Daten) Lesegerät (Schreib- / Leseeinheit, Antenne; kommuniziert mit Transponder) Transponder aktive / passive Transponder Technik des Studierendenausweises MIFARE DESFire-Chip simultane Verwendung von bis zu 28 Applikationen (bis zu 16 Files pro Applikation) 3 DES Verschlüsselung (dreifache Verschlüsselung mit mind. 3 unterschiedlichen Schlüsseln) passiver Transponder Funkfrequenz 13,56 MHZ Funkreichweite 10 cm (abhängig von der verwendeten MIFARE Antenne) 25.06.2008 Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

Sicherheitskritische Betrachtungen Betrachtung der RFID-Technologie Sicherheitslücken des MIFARE classic Chips Die „Digital Security group“ der Universität in Nimwegen behauptet eine MIFARE Classic Karte gehackt, geklont und in einem bestehenden Chipkartensystem missbräuchlich eingesetzt zu haben (Quelle: Presseerklärung der „Digital Security group“, 12.03.2008) Der verwendete Verschlüsselungs-Algorithmus „Crypto 1“ wurde gehackt (Quelle: ct, Ausgabe 8, 31.03.2008) NXP (Hersteller des Chips) bezieht bis jetzt (23.06.08) keine Stellung zu den Informationen (es besteht seit einigen Wochen Mail- und Telefonkontakt zu NXP) Entscheidung der Projektverantwortlichen der HAW Hamburg Nach einem Gespräch mit dem Geschäftsführer der ausführenden Firma InterCard AG Kartensysteme unter Teilnahme des ASTA am 07. April, entschieden sich die Projektverantwortlichen am 28. April gegen den MIFARE classic Chip Statt des gehackten Chips wird nun der sichere MIFARE DESFire Chip für den Studierenden- und Dienstausweis der HAW Hamburg eingesetzt (der MIFARE DESFire Chip wird beispielsweise auch von der NASA in der Zugangskarte ihrer Mitarbeiter verwendet) 25.06.2008 Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

Sicherheitskritische Betrachtungen Untersuchung der Bedrohungslage Überwachung / Ortung der Karteninhaber Einschätzung: limitiert durch Funkreichweite, Aufwand / Benefit Abhören der Kommunikation zwischen Studierendenausweis und Chipkartenleser Einschätzung: wenn überhaupt können nur verschlüsselte Daten abgehört werden (Schlüssellänge 168 Bit), limitiert durch Funkreichweite, Aufwand / Benefit nicht autorisiertes Auslesen von Daten Einschätzung: nicht möglich, da jeder Zugriff einem Schlüssel der zugehörigen Applikation zugeordnet ist, ohne Kenntnis des in der File-Struktur des Chips vorhandenen Schlüssels können keine Daten ausgelesen werden nicht autorisiertes Verändern von Daten Einschätzung: siehe oben Cloning / Emulation von Originaldaten (Vortäuschung eines Studierendenausweises) Einschätzung: nicht möglich, da ein Auslesen der Daten unmöglich ist und jeder MIFARE DESFire Chip eine unveränderbare eindeutige Chipnummer aufweist Ablösung RFID-Chips (Tags) von der Karte für Reverse Engineering Einschätzung: Durch Aceton oder Salpetersäure möglich, allerdings ist dies für ein Angriffsszenario nicht hilfreich, da mit bekannten Standardverschlüsselungsverfahren gearbeitet wird 25.06.2008 Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

Sicherheitskritische Betrachtungen Daten die auf dem Studierendenausweis gespeichert werden sollen optisch: Passfoto, Name und Vorname (Namenszusätze), Matrikelnummer, Kartenseriennummer, Bibliothekskonto, Barcode elektronisch: Matrikelnummer Preiskennzahl Mensa (0 = Studierende) Kartenseriennummer (von InterCard vergebene eindeutige Nummer) Kartenfolgenummer (0 = 1. Generation, 1 = 2. Generation, etc.) Datum der Kartenpersonalisierung Datum des Endes der Kartengültigkeit Firmennummer Zutritt (eindeutige Projektnummer von Primion) Zutrittsnummer (fortlaufend von der HAW vergebene Nummer) Kontonummer Bibliothek Systemnummer Mensa (eindeutige Systemnummer von Telos) Geldbörse Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung 25.06.2008

Sicherheitskritische Betrachtungen Datenprotokollierung Zutritt / Mensa Art der protokollierten Daten Zutrittskontrolle: Zutrittsnummer Datum Uhrzeit Komponenten-Nummer Mensa: Kartenseriennummer Preiskennzahl Beträge (Aufwertung, Abwertung, neue Saldi) Artikelnummern (Speisen und Getränke) Gerätenummer Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung 25.06.2008

Sicherheitskritische Betrachtungen Untersuchung der Bedrohungslage Zutritt Automatische Protokollierung und automatische Löschung der Protokolldaten Rahmenbedingungen Einsichtnahme von Protokolldaten (AStA) Dringender Tatverdacht für Straftat muss vorliegen Vier-Augen-Prinzip: Anwesenheit PR Doppel-Passwort noch abzustimmen: Bei Auswertung von Protokolldaten wird auf der HAW-Website veröffentlicht , wo ausgelesen wurde noch abzustimmen: Information der Studierenden, deren Protokolldaten ausgelesen wurden Vorgehen Wartungsarbeiten Zugriff Managementbereich Zugriff Zutrittsprofile (Vereinbarung über Wahrung des Datengeheimnisses) Mensa ausschließliche Verwendung von pseudonymen Daten (Kartenseriennummer) Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung 25.06.2008

Funktionen des Studierendenausweises Überblick über die Funktionen optische Funktionen Blickausweis / Studierendenausweis Bibliotheksausweis HVV-Semesterticket Internationaler Studentenausweis elektronische Funktionen elektronischer Schlüssel Bibliotheksausweis (zukünftig: Medien-Ausleihe / bargeldose Bezahlung Mahngebühren) Zahlungsmittel Mensa Zahlungsmittel Kopierer Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung 25.06.2008

Optische Funktionen – Vorderseite Layout der Chipkarten-Vorderseite Individuelle Steuerung des „TRW-Drucks“ (z.B. Härtefälle) Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung 25.06.2008

Optische Funktionen – Rückseite Layout der Chipkarten-Rückseite Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung 25.06.2008

Elektronische Funktionen ZUTRITTSKONTROLLE BIBLIOTHEK Medien-Ausleihe Bargeldlose Bezahlung von Mahngebühren KOPIEREN Bargeldlose Bezahlung von Kopien MENSEN / CAFETERIEN Bargeldlose Bezahlung von Speisen und Getränken Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung 25.06.2008

Abschluss Kommunikation mit den Studierenden erfolgt über das HELIOS-Postfach: Bitte regelmäßig das Postfach leeren! Offene Fragen Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung 25.06.2008