電子護照安全機制及測試
加入技術(shù)交流群
911事件之后，以安全防偽、航空保安和出入境管制為目標的機讀旅行證件技術(shù)不斷發(fā)展，電子護照就是其中之一。目前已有安全措施覆蓋芯片制造、生產(chǎn)印刷和簽發(fā)使用。電子化在帶來(lái)便利的同時(shí)也帶來(lái)了安全防偽抗攻擊的新課題，作為標準化產(chǎn)品，改變安全配置項意味著(zhù)系統性升級改造。當前狀況適合采用哪種安全機制、如何驗證安全機制是否達到最初設計預期、如何兼容未來(lái)技術(shù)發(fā)展正成為焦點(diǎn)。本文結合電子護照的多種安全機制，分析其優(yōu)缺點(diǎn)，給出了系統安全測試驗證解決方案，為電子護照產(chǎn)品的測試驗收、逐代推出和升級改造提供參考依據。
本文引用地址：http://dyxdggzs.com/article/194957.htm
電子護照安全機制
在ICAO制訂的標準DOC9303中，定義了兩類(lèi)安全機制，即數據認證機制和訪(fǎng)問(wèn)控制機制。數據認證機制包括被動(dòng)認證（Passive Authentication，PA）和主動(dòng)認證（Active Authentication，AA）；訪(fǎng)問(wèn)控制機制包括基本訪(fǎng)問(wèn)控制（Basic Access Control，BAC）和擴展訪(fǎng)問(wèn)控制（Extended Access Control，EAC），最近又基于PACE（Password Authenticated Connection Establishment）協(xié)議，作為BAC的補充制定了SAC（Supplemental Access Control）規范。在ICAO標準中，對PA/AA/BAC/SAC有明確定義并制定了詳細的測試標準，在歐洲BSI標準中則制訂了EAC相關(guān)標準，分別為EAC v1.11和EAC v2.0，另外制定了針對v1.11的測試標準EAC v1.12，EAC作為可選安全選項在荷蘭、比利時(shí)、芬蘭等國已使用，美英日尚未使用，默認接受克隆欺詐。
基于以上安全機制，可將電子護照劃分為四代，第一代為明文，僅支持PA；第二代支持BAC/AA；第三代支持SAC；第四代支持EAC。其中第一代實(shí)現了電子化，但安全準確性由檢查系統（IS）來(lái)保證，明文通信易被偷聽(tīng)和克??；第二代加入了BAC或AA，BAC基于DES和Hash實(shí)現線(xiàn)路保護，AA則實(shí)現芯片真偽驗證，能防偷聽(tīng)克??；第三代引入SAC增強了BAC線(xiàn)路保護低熵特性，基于DH/ECDH算法建立了更強的線(xiàn)路保護；第四代為EAC，實(shí)現芯片身份真偽驗證并基于非對稱(chēng)算法對檢查系統身份真偽進(jìn)行驗證。目前實(shí)際發(fā)行國家多采用第二代BAC，而第四代EAC多在歐洲國家使用，第三代SAC剛出現不久，預計將會(huì )逐步取代第二代BAC。
電子護照安全機制的局限性
在安全防偽技術(shù)中，有三個(gè)要求：身份認證、數據保密性、數據完整性（見(jiàn)表1）。
BAC通過(guò)挑戰應答協(xié)議實(shí)現，即以MRZ的哈希值為種子進(jìn)行密鑰分散得到基本訪(fǎng)問(wèn)密鑰對（KENC，KMAC）， 然后通過(guò)GetChallenge和Mutual Authentication兩條指令實(shí)現挑戰應答協(xié)議，建立會(huì )話(huà)密鑰并結合包含隨機數的消息序列計數器進(jìn)行基于對稱(chēng)密鑰算法的線(xiàn)路保護。BAC的缺點(diǎn)是通過(guò)MRZ中的證件號、出生日期和有效期來(lái)生成共享密鑰，具有有限的隨機性且基于對稱(chēng)密鑰算法，改進(jìn)方法包括：MRZ要OCR讀二維條形碼而非目視；增加私鑰計算長(cháng)度。
評論