電子護照安全機制及測試

　　TA則用于認證外部終端并檢查權限是否可訪(fǎng)問(wèn)敏感數據，在認證外部終端時(shí)通過(guò)CVCA-》DV-》IS的證書(shū)鏈形式來(lái)認證（其中CVCA=國家檢查CA－》發(fā)布DV證書(shū)， DV=證件檢查機構－》發(fā)布IS證書(shū)，IS=自動(dòng)化邊防檢查系統－》讀取護照芯片資料并做通關(guān)），認證過(guò)程中可能會(huì )更新芯片中某些信息如最新日期、EF.CVCA中的信任點(diǎn)甚至切換使用算法類(lèi)型等，支持的算法有：RSA、RSA-PSS和ECDSA等。TA需要外部證書(shū)PKI系統甚至ICAO PKD的支持，該功能用于認證通關(guān)檢查系統或讀卡設備的合法性，實(shí)現了完整的雙向信任評價(jià)機制。

　　電子護照安全機制測試

　　目前電子護照認證測試仍依賴(lài)于國外第三方機構，且隨著(zhù)CPU技術(shù)發(fā)展，破解密鑰所需時(shí)間越來(lái)越短而護照有效期長(cháng)達5或10年，安全機制及測試仍需進(jìn)一步研究和升級。此外，各國部署后支持的特征不太一樣，有的僅支持第一代PA，有的則支持到第二代BAC甚至第四代EAC，這種差異性也造成了安全漏洞。

　　本文給出的測試系統由RFID電子護照識讀系統、測試平臺軟件、測試套件組成，具體見(jiàn)圖4。其中測試套件分為安全抗攻擊測試、一致性測試、兼容性測試。

　　安全抗攻擊測試包括：RFID技術(shù)導致的近場(chǎng)隱蔽掃描；RFID技術(shù)導致的隱蔽跟蹤；14443協(xié)議層面的抗攻擊測試；防克隆防略讀測試；防竊聽(tīng)測試；持有人生物特征數據泄漏導致的安全漏洞；安全算法本身脆弱性測試。

　　該部分測試在一致性測試套件中并不涉及，與芯片攻擊測試不同，該部分是基于安全機制和經(jīng)驗分享后的安全漏洞，是針對應用而言的，而芯片攻擊測試是基于硬件的，采用如SPA/DPA、SEMA/DEMA、DFA、時(shí)間分析攻擊/差分耗時(shí)攻擊等技術(shù)。

　　一致性測試即協(xié)議符合度測試，不同安全機制采用不同的安全測試標準。BAC一致性測試在ICAO測試規范中有詳細定義，主要包括：（1）Select和Read Binary兩條最小命令集指令（2）BAC保護模式和BAC未保護模式下使用這兩條指令分別讀16個(gè)LDS文件測試。在建立BAC會(huì )話(huà)密鑰中使用的另外兩條基本指令是Get Challenge和External Authentication。SAC尚未定義測試規范，可參照EAC中CA測試部分，下面重點(diǎn)介紹EAC測試。

　　如圖5所示，實(shí)現EAC由幾個(gè)部分組成：PKD、國家電子護照簽發(fā)機構、國家電子護照驗證機構、支持EAC功能的電子護照。EAC測試分為EAC一致性測試、EAC護照和IS兼容性測試、PKD互用性測試。EAC本身不能阻止精確拷貝和芯片替換，有非對稱(chēng)算法運算功能的芯片提供認證運算，而之外的所有設施均只為提供證書(shū)管理和使用，最高層證書(shū)是由國家簽發(fā)驗證機構簽發(fā)的自簽名證書(shū)且在接收國為信任起點(diǎn)或證書(shū)鏈最高端。

　　在PKD架構下實(shí)現的EAC一致性測試架構見(jiàn)圖5，實(shí)現了發(fā)證領(lǐng)證－》國內海關(guān)（出關(guān)）－》國外海關(guān)（入關(guān)）－》國外海關(guān)（出關(guān)）－》國內海關(guān)（入關(guān)）等操作的測試。國家B發(fā)行電子護照，該護照在本國的海關(guān)出關(guān)通過(guò)相應的IS檢查系統包含的證書(shū)鏈（CVCA（國家B）－》國內DV－》IS）驗證EAC，完成人臉指紋或虹膜的安全檢查，到國家A，則基于國家A的IS檢查系統的證書(shū)鏈（CVCA（國家B）－》國外DV－》IS）驗證EAC，完成人臉指紋或虹膜的安全檢查，返回國內則類(lèi)似操作。ICAO PKD起到存儲共享作用。

　　BSI給出的EAC一致性測試結合EAC子過(guò)程CA/TA、證書(shū)鏈、訪(fǎng)問(wèn)權限、日期信任點(diǎn)更新等測試點(diǎn)對安全機制進(jìn)行符合度測試，依據是測試標準EAC v1.12，主要包括了如下幾個(gè)部分（表2）。

　　測試系統從不同角度給出了安全機制的測試，兼容性測試關(guān)注的是卡機兼容問(wèn)題，安全抗攻擊測試關(guān)注的是安全漏洞，而一致性測試則致力于協(xié)議符合度。測試系統需要隨著(zhù)技術(shù)的不斷更新而不斷改進(jìn)，一個(gè)持續改進(jìn)的系統對產(chǎn)品的穩定性、安全性有積極意義。

　　本文小結

　　電子護照作為二代身 份證后的另一個(gè)重量級身份識別產(chǎn)品，必然要經(jīng)歷不同階段的演化，尤其是安全機制，基于第二代BAC已是成熟技術(shù)，新引進(jìn)的SAC作為第三代在實(shí)現上也已比較成熟，假以時(shí)日必能得到推廣，而歐洲標準EAC作為第四代和一種更為復雜的安全機制，必將引起重視并影響電子護照的發(fā)展和升級換代。