NPA: AusweisApp

Logo der AusweisApp

Die AusweisApp

Einleitung

Bei unserem Projektthema ging es um die Kommunikation der AusweisApp und eventuelle Sicherheitslücken. Um das Thema etwas genauer betrachten zu können, muss man erst einmal die Vorraussetzungen und die Funktionen dieser Software kennen um weitere Aussagen machen zu können.

Vorraussetzungen

Um die AusweisApp und die im späteren Verlauf noch genannten Funktionen des Personalausweises nutzen zu können wird folgende Hard- und Software benötigt:

1. Kartenlesegerät, das für Karten mit kontaktloser Schnittstelle ausgelegt ist(1)
2. Computer mit Internetanbindung
3. Betriebssystem auf dem die AusweisApp läuft (Windows 7, Ubuntu 10.04, Mac OS)
4. neuer Personalausweis

Funktionen

Mit dem neuen Personalausweis (nPA) und der neu erstelleten, bzw. noch im Aufbau befindlichen IT-Infrastruktur sollen folgende Funktionen möglich sein:

1. elektronischer Identitätsnachweises zum Online-Ausweisen
   1. Alterverifikation
   2. Online-Behördengänge
   3. Zugang mit Pseudonym
   4. Zutrittskontrollen
   5. etc.
2. elektronische Signatur von Dokumenten

Vorwort

Die Kommunikation der AusweisApp erfolgt in zwei Richtungen. Die erste ist die Kommunikation mit dem Lesegerät. Die zweite ist die Kommunikation mit dem Dienst und die Vermmitlung zum nPA. Uns stand zum Anfang des Seiminar ein Basislesegerät und ein nPA zur Verfügung. Im Laufe des Seminars erhielten wir dann einen Comfort-Reader und einen zweiten nPA.

Verwendete Software

Da wir die AusweisApp untersuchen brauchen wir natürlich diese. Hier gab es mehrere Versionnen, wir haben uns für die zur Zeit neuste Version 4.01 entschieden. Diese wollten wir einmal auf Windows 7 und auf Ubuntu 10.04 testen.

Für die Kommunikation mit dem Kartenlesegerät brauchten einen USB-Sniffer. Hierfür kamen folgende Programm in Frage:

1. Wireshark ( unter Linux kann er USB mithören )
2. Sniff USB ( nur für Windows XP )
3. USBSnoop ( Windows 7 )
4. USBTrace ( Windows 7, 14-Tage-Testversion, 256k Log beschränkung)
5. VMWare kann wohl mit bestimmten Parametern dazu gebracht werden den USB-Verkehr in der VM mitzusniffen, dies Information bekamen wir leider erst am Ende des Seminars und damit zu spät

Für die Kommunikation zum Dienst im Internet kam Wireshark zum Einsatz, da es unter Windows, wie Linux nutzbar ist.

Da beim Testen auch viel schief gehen kann wurde das Ubuntu in einer Virtuellen Maschine unter VirtualBox installiert. Hierfür gab es schon fertige Images, so das man das Ubuntu-System nicht neu aufsetzen musste, sondern sofort loslegen kann.

Probleme

Folgende Probleme traten bei der Einrichtung bzw. beim Testen der Kommunikation auf.

• Die AusweisApp ließ sich zwar wunderbar unter Ubuntu 10.04, dank eines Debianpaketes installieren, sie ließ sich aber nicht zur Kommunikation mit dem Lesegerät überzeugen.

Zuerst dachte ich das es ein Problem beim Treiber des Basislesegerätes ist und das dieses unter Linux nicht erkannt wird. Nach einigen Tests mit dem dazugehörigen Dämon ( pcscd, mit den Parametern -af gestartet ) und dem Testtool ( pcs_scan) kam heraus das es nicht am Treiber des Kartenleser lag. Mit Hilfe der beiden eben genannten Programm wurden der nPA und das Lesegerät auf der Commandozeile erkannt, nur leider erkannte die AusweisApp, weder den Leser noch die Karte. Da die Kommunikation des Kartenlesers und der AusweisApp essentiell zum testen ist mussten wir uns auf Winsdows 7 beschränken, da es hier weniger Probleme gab.

• Das Basislesegerät machte unter Windows 7 am Anfang kurze Probleme, da es zwar erkannt wurde, aber ein entsprechender Treiber nicht geladen werden konnte. Abhilfe schaffte der Treiberdownload von der Herstellerfirma SCM Microsystems

• USB-Sniffer: Durch den Wegfall der Testumgebung in Linux ( siehe oben) konnten wir Wireshark nicht als USB-Sniffer nehmen, da dies nur unter Linux möglich ist. Blieben noch zwei weitere Kandidaten. Der eine viel aus der er sich wie angegebn nicht auf Windows 7, installieren ließ. Kandidat nummer zwei USBSnoop wollte sich leider nicht überreden lassen die USB-Ports zu belauschen, also mussten wir uns nach einer dritten Variante umsehen. Diese fanden wir im Programm USBTrace. Da dieses Stück Software im Gegensatz zu den beiden erst genannten Programmen kommerziell ist, gab es nur eine 14-Tage Testversion mit der Einschränkung, das maximal 256k an Logfiles aufgezeichnet werden. Die 14-Tägige Einschränkung war für die Länge des Seminars optimal. Auf die Füße viel uns nachher beim Comfort-Reader die begrentzte Länge der Logifiles.

• Verschlüsselung der Kommunikation: Da die Kommunikation des nPA und des Dienste sowie die Kommunikation mit dem Lesegerät ( PACE-Protokoll) verschlüsselt ist müssen wir diese entschlüsseln, bzw. nach Mustern suchen die sich wiederholen