Public-Key-Infrastruktur

Zertifikatsmanagement für e-ID-Dokumente

Für verschiedene Aspekte der Sicherheit eines e-ID-Dokuments werden elektronische Signaturen und digitale Zertifikate benötigt. Die Public-Key-Infrastruktur (PKI) zum Verwalten dieser Zertifikate spielt daher eine zentrale Rolle im e-ID-Hintergrundsystem.

Dokumentenverifikation und die Country Signing CA

Um Fälschungen und die Modifikation der auf dem Chip eines e-ID-Dokuments gespeicherten Daten zu verhindern sind diese von einem Document Signer (DS) elektronisch signiert. Ein Inspektionssystem kann diese Signatur beim Auslesen verifizieren und die Authentizität und Integrität der Daten sicherstellen. Die Authentizität des Document Signers lässt wiederum anhand des DS-Zertifikats prüfen, dass von einer zentralen Root-Instanz, der sogenannten Country Signing Certification Authority (CSCA), ausgestellt wurde. Das DS-Zertifikat wird zumeist direkt vom inspizierten Dokument gelesen, das CSCA-Zertifikat wird entweder bilateral auf diplomatischem Weg ausgetauscht oder im ICAO Public Key Directory (PKD) veröffentlicht.

Zugriffskontrolle

Viele elektronische Reisepässe enthalten neben den allgemeinen Inhaberdaten auch sensible Informationen wie Fingerabdrücke oder Iris-Scans. Diese Informationen werden meist so geschützt, dass sie nur von autorisierten Inspektionssystemen gelesen werden können, nachdem sich diese gegenüber dem Dokument authentisiert haben – ein Prozess der Terminal Authentication (TA) genannt wird. Für diesen Zweck betreibt der Dokumentenherausgeber eine separate Country Verifying Certification Authority (CVCA). Diese CA stellt sogenannte Document Verifier (DV) Zertifikate für nationale oder sogar fremde Einrichtungen aus; in diese Zertifikate wird das Zugriffsrecht für das Auslesen von Fingerabdrücken oder Iris-Scans kodiert. Die Document Verifier stellen schließlich Inspection System (IS) Zertifikate aus, die das Leserecht aus dem DV-Zertifikat „erben“.

Während der Terminal-Authentisierung prüft das Dokument die gesamte Zertifikatskette aus CVCA – DV – IS und prüft, ob dem Inspektionssystem das Leserecht von einer vertrauenswürdigen Instanz übertragen wurde. Die CVCA-Infrastruktur stellt spezielle Card Verifiable (CV) Zertifikate aus, deren gegenüber gängigen X.509-Zertifikaten reduzierte Kodierung die Prüfung im Dokument erleichtert.

Die gleichen Mechanismen können auch auf andere e-ID-Dokumente erweitert werden, um sensible Daten zu schützen und verschiedenen Behörden oder privatwirtschaftlichen Unternehmen das Auslesen oder sogar Ändern von Informationen zu erlauben.