Neuer Personalausweis
-
earli schrieb:
Naja, leaken wird wohl nicht möglich sein, die Keys werden in irgendwelchen Security-Chips schlummern.
Das ist doch nichts. Es wurden schon in Hardware gegossene Codes gefunden indem entsprechende Chips Schicht für Schicht abgetragen wurden. Und dabei ging es bloß um irgendwelche Schwarzkopien (weiß nicht mehr wovon, erinnert mich mal wo das war), hier dürfte sich der Aufwand noch viel mehr lohnen.
-
SeppJ schrieb:
earli schrieb:
Naja, leaken wird wohl nicht möglich sein, die Keys werden in irgendwelchen Security-Chips schlummern.
Das ist doch nichts. Es wurden schon in Hardware gegossene Codes gefunden indem entsprechende Chips Schicht für Schicht abgetragen wurden. Und dabei ging es bloß um irgendwelche Schwarzkopien (weiß nicht mehr wovon, erinnert mich mal wo das war), hier dürfte sich der Aufwand noch viel mehr lohnen.
Nein. Die Chips sind so entworfen, dass das quasi unmöglich oder unbezahlbar ist. Chipkartenkryptographie ist doch ein alter Hut, jede SIM-Karte macht das.
Der Key ist nicht in den Chip gegossen. Der Chip generiert den Key. Wenn man etwas mit dem Key machen will, überträgt man die Daten an diesen Chip. Dieser Chip macht die ganze Kryptographie und gibt das Ergebnis zurück. Die geheimen Keys werden im Chip erzeugt und verlassen niemals den Chip. Selbst der legale Nutzer hat keine Chance, den Key zu extrahieren.
-
Weiß jemand, was für RFID-Chips da drin sind? Speziell Frequenz und Reichweite ...
-
Bashar schrieb:
Weiß jemand, was für RFID-Chips da drin sind? Speziell Frequenz und Reichweite ...
Spielt keine Rolle, solange Man-in-the-middle ausgeschlossen werden kann und Diffie-Hellman nicht geknackt ist.
-
Hab ich gesagt, dass ich das Ding knacken will?
-
Bashar schrieb:
Hab ich gesagt, dass ich das Ding knacken will?
Also zum normalen Gebrauch muss man das Ding auf das Lesegerät direkt drauflegen. Also wenige Zentimeter Reichweite.
Aber das bedeutet Sicherheitstechnisch nichts, denn ein Angreifer kann ja beliebig große Antennen und Sender haben.
-
Hat das Ding eine eindeutige Hardware-Adresse, die man lesen kann, ohne daß die Krypto-Sache Berechtigung bestätigt? Also kann ich per Hand meinen Kunden ihre HW-Adressen zuordnen und Bewegungsprofile machen, ohne überhaupt an die geschützten Daten kommen zu wollen?
-
volkard schrieb:
Hat das Ding eine eindeutige Hardware-Adresse, die man lesen kann, ohne daß die Krypto-Sache Berechtigung bestätigt? Also kann ich per Hand meinen Kunden ihre HW-Adressen zuordnen und Bewegungsprofile machen, ohne überhaupt an die geschützten Daten kommen zu wollen?
Tut es nicht. Der Chip vom ePA selbst ist ganz gut konzipiert. Wenn du etwas online einkaufst, muss der Händler nicht einmal deinen echten Namen erfahren. Er bekommt ein Pseudonym, und das bleibt jedesmal gleich. Ein anderer Händler bekommt aber ein anderes Pseudonym, so dass die Händler nicht untereinander Daten abgleichen können.
Sehr schlau haben sie auch die Alterskontrolle umgesetzt. Der Anbieter bekommt nicht dein Geburtsdatum, sondern es läuft anders herum: Wenn der Anbieter dein Alter kontrollieren will/muss, dann schickt er ein Datum an den Ausweis. Dann fragt der Ausweis nach der PIN. Wenn die PIN richtig ist, antwortet der Ausweis dem Anbieter "ja" oder "nein", ob du älter als dieses Datum bist. Eine weitere solche Frage würde eine weitere PIN-Eingabe erfordern.
Die Daten sind auch nicht signiert, so dass die Händler keine signierten Datensätze haben, mit denen sie Datenhandel betreiben könnten.
Jetzt hängt das aber auch wieder an einer Bedingung, damit der Nutzer wirklich was davon hat: Die Zertifikate, die Händler bekommen, enthalten auch die Information, welche Daten der Händler überhaupt abfragen darf. Es kann also ein Anbieter dich nicht nach Daten fragen, die die Zertifizierungsstelle diesem Anbieter nicht genehmigt hat. So kann die Zertifizierungsstelle jedem Anbieter nur das erlauben, was er wirklich benötigt. Eine Bank braucht wahrscheinlich Namen und Geburtsdatum. Amazon.de braucht nur eine Alterskontrolle und ein Pseudonym. Die Versandadresse muss ja nicht deine Meldeadresse sein.
Das ist schon alles gut konzeptioniert, die Frage ist, wie genau die Zertifizierungsstelle mit der Verteilung der Rechte umgeht.
-
earli schrieb:
volkard schrieb:
Hat das Ding eine eindeutige Hardware-Adresse, die man lesen kann, ohne daß die Krypto-Sache Berechtigung bestätigt? Also kann ich per Hand meinen Kunden ihre HW-Adressen zuordnen und Bewegungsprofile machen, ohne überhaupt an die geschützten Daten kommen zu wollen?
Tut es nicht. Der Chip vom ePA selbst ist ganz gut konzipiert. Wenn du etwas online einkaufst, muss der Händler nicht einmal deinen echten Namen erfahren. Er bekommt ein Pseudonym, und das bleibt jedesmal gleich. Ein anderer Händler bekommt aber ein anderes Pseudonym, so dass die Händler nicht untereinander Daten abgleichen können.
Ja, soweit klar.
Aber Funktechnisch müssen sich RFID-Transponder doch voneinander unterscheiden lassen, damit in der Flughafen-Leseschleife die einzelnen Ausweise nacheinander auslesen kann? So wie eine MAC-Adresse.
Was der da http://anb-networkz.de/2010/11/bsi-it-sicherheitskit-oder-kurz-lesegerat-fur-den-elektronischen-personalausweis/ auch annimmt.
-
Also eigentlich hatte ich mich ja auch den neuen Ausweis gefreut. Aber wenn die Software wirklich Ausweisapp heisst, dann will ich ihn nicht.
-
Gruum schrieb:
Also eigentlich hatte ich mich ja auch den neuen Ausweis gefreut. Aber wenn die Software wirklich Ausweisapp heisst, dann will ich ihn nicht.
bei all den Gründen, die dagegen sprechen können, ist das der lächerlichste
-
Der Vollständigkeit halber muß dann noch erwähnt werden, daß die Update-Funktion der AusweisApp auch gezielt (natürlich nur nach Richterlicher Anordnung) zum Bundestrojaner mutieren kann.
-
zwutz schrieb:
Gruum schrieb:
Also eigentlich hatte ich mich ja auch den neuen Ausweis gefreut. Aber wenn die Software wirklich Ausweisapp heisst, dann will ich ihn nicht.
bei all den Gründen, die dagegen sprechen können, ist das der lächerlichste
Naja, wenn so ein "Spitzenprodukt" ständig umbenannt wird, fängt man schon schnell an zu zweifeln.
früher: Bürgerclient
heute: AusweisAppfrüher: elektronischer Personalausweis
heute: neuer Personalausweis
-
earli schrieb:
neuer Personalausweis
Wer hat sich den Blödsinn eigentlich ausgedacht? Darüber reden wir in 40 Jahren nochmal.
-
SeppJ schrieb:
earli schrieb:
neuer Personalausweis
Wer hat sich den Blödsinn eigentlich ausgedacht? Darüber reden wir in 40 Jahren nochmal.
Der Witz ist, dass der Personalausweis vor 10 Jahren auch schon so hieß wegen des neuen Hologramms.
-
PersAuswG § 1 Ausweispflicht
(7) Die Muster der Ausweise bestimmt das Bundesministerium des Innern durch Rechtsverordnung, die der Zustimmung des Bundesrates bedarf. Der Personalausweis ist Eigentum der Bundesrepublik Deutschland.Wichtiger ist, wenn es ihr Ausweiß ist, sollen sie ihn auch bezahlen.
Und wenn der BRD der Staat ist, was ich jetzt garnicht so genau weiß?, dann gehören eure Ausweise genau so mir wie euch.Was ich sagen will: Mich interessiert nicht wie sicher die Software ist, weil ich ihn nicht an den PC anschließen werde!
Mich interessiert nicht ob man ihn auslesen kann, weil ich ihn nicht mit mir führen werde. Ein Führerschein ist auch ein anerkannter Ausweiß. Jedenfalls für meine Belange...
Die schei* datensammelei vom Staat für Pseudo-Sicherheit geht mir voll aufn Keks(6) Für die erstmalige Ausstellung des Personalausweises sowie für die Neuausstellung nach Ablauf der Gültigkeitsdauer ist eine Gebühr von acht Euro zu erheben. Die erstmalige Ausstellung des Personalausweises an Personen, die das 21. Lebensjahr noch nicht vollendet haben, ist gebührenfrei. Von der Erhebung einer Gebühr kann abgesehen werden, wenn der Gebührenpflichtige bedürftig ist.
Hier steht es kostet 8 Euro. Nun kostet es ca. 25. Der Auszug ist vom 25.03.2002. Gibt es da was neueres zum Kostenfreien einsehen?
Kann man die Umfrage eigentlich ändern? Gut wäre etwas ala:
"Wollt ihr den neuen Ausweiß nicht?"
-
Sqwan schrieb:
Hier steht es kostet 8 Euro. Nun kostet es ca. 25. Der Auszug ist vom 25.03.2002. Gibt es da was neueres zum Kostenfreien einsehen?
Das Gesetz ist schon geändert, der wird schon verteilt. Im Text, den ich letztens gelesen hatte, standen schon Dinge drin, die sich klar auf die elektronische Funktion bezogen.
-
2. Update: Derzeit (seit Mittwochnachmittag) ist ein Download der AusweisApp nicht mehr möglich. Eine Erklärung des BSI zu dem Fehler, zum Stopp des Downloads und dem weiteren Vorgehen steht aber weiterhin aus.
Das wird ja immer schlimmer ...
