Расширенный контроль доступа

Расширенный контроль доступа ( EAC ) — это набор расширенных функций безопасности для электронных паспортов , который защищает и ограничивает доступ к конфиденциальным личным данным, содержащимся в RFID- чипе. В отличие от обычных личных данных (таких как фотография владельца, имена, дата рождения и т. д.), которые могут быть защищены базовыми механизмами, более конфиденциальные данные (например, отпечатки пальцев или изображения радужной оболочки глаз ) должны быть защищены дополнительно для предотвращения несанкционированного доступа и просмотра. Чип, защищенный EAC, позволит считывать эти конфиденциальные данные (по зашифрованному каналу) только авторизованной системе проверки паспортов. ^[1]^[2]

EAC был введен ИКАО. ^[3]^[4] в качестве дополнительной функции безопасности (дополнительной к базовому контролю доступа ) для ограничения доступа к конфиденциальным биометрическим данным в электронном МСПД . Дается общая идея: чип должен содержать чип-индивидуальные ключи, должен иметь возможности обработки и потребуется дополнительное управление ключами. Однако ИКАО оставляет фактическое решение открытым для внедряющих государств.

Существует несколько различных предлагаемых реализаций этого механизма, каждая из которых должна сохранить обратную совместимость с устаревшим базовым контролем доступа (BAC), который является обязательным во всех ЕС странах . Европейская комиссия сообщила, что эта технология будет использоваться для защиты отпечатков пальцев в электронных паспортах государств-членов. Крайний срок для государств-членов, чтобы начать выдавать электронные паспорта с отпечатками пальцев, был установлен на 28 июня 2009 года. Спецификация, выбранная для электронных паспортов ЕС, была подготовлена Федеральным ведомством информационной безопасности Германии (BSI) в их техническом отчете TR-03110. . ^[5] Некоторые другие страны реализуют свои собственные EAC.

EAC согласно определению ЕС

EAC, как это определено ЕС, предъявляет два требования: аутентификация чипа и терминала. ^[6]

Аутентификация по чипу (для надежного шифрования сеанса)

Спецификация аутентификации чипа определяет портативное устройство (считыватель CAP) со слотом для смарт-карт, десятичной клавиатурой и дисплеем, способным отображать не менее 12 символов. Аутентификация чипа (CA) выполняет две функции:

Для аутентификации чипа и доказательства его подлинности. Только настоящий чип может обеспечить безопасную связь.
Установить надежно защищенный канал связи с использованием пары ключей для конкретного чипа с надежным шифрованием и защитой целостности.

Чиповая аутентификация имеет дополнительный базовый контроль доступа (BAC) с защитой от скимминга и подслушивания.

Аутентификация терминала (доступ ограничен авторизованными терминалами)

Аутентификация терминала (ТА) используется для определения того, разрешено ли системе проверки (ИС) считывать конфиденциальные данные из электронного паспорта. Механизм основан на цифровых сертификатах , которые имеют формат сертификатов, проверяемых картой .

Каждой системе проверки выдается сертификат, проверяемый картой (CVC), от проверяющего документы (DV). Сертификат системы проверки действителен только в течение короткого периода времени, обычно от 1 дня до 1 месяца.
В системе проверки в любой момент может быть установлено несколько CVC, по одному для каждой страны, что позволяет ей считывать конфиденциальные данные.
CVC позволяет системе проверки запрашивать один или несколько элементов конфиденциальных данных, таких как данные для радужной оболочки глаза или распознавания отпечатков пальцев . ^[7]

Сертификат проверки документа выдается органом сертификации страны (CVCA). Эти сертификаты могут быть для отечественных или зарубежных проверяющих документы. Сертификаты обычно выдаются на средний срок, от полумесяца до 3 месяцев. CVCA создается каждой страной и обычно действителен от 6 месяцев до 3 лет. ^[7]

Внешние ссылки

^ ГС Кс; П.А. Каргер (1 апреля 2005 г.). «Проблемы безопасности и конфиденциальности в машиносчитываемых проездных документах (МСПД)» (PDF) . РК 23575 (W0504-003) . ИБМ . Проверено 4 января 2012 г.
^ Хавьер Лопес; Пьерангела Самарати; Хосеп Л. Феррер (2007). Инфраструктура открытых ключей: 4-й Европейский семинар PKI: теория и практика, EuroPKI 2007 . Спрингер. п. 41. ИСБН 978-3-540-73407-9 .
^ «5.8 Безопасность дополнительной биометрии». ИКАО Doc 9303, Машиносчитываемые проездные документы, Часть 1. Машиносчитываемые паспорта, Том 2. Спецификации для паспортов с электронным управлением и возможностью биометрической идентификации (Шестое изд.). Международная организация гражданской авиации ( ИКАО ). 2006. с. 84.
^ «Temporat Secure Digital Identity» (PDF) . Расширенный контроль доступа EPassport . Белая книга. Архивировано из оригинала (PDF) 21 октября 2006 года . Проверено 19 июня 2013 г.
^ «Усовершенствованные механизмы безопасности машиносчитываемых проездных документов – расширенный контроль доступа (EAC)» (PDF) . БСИ . Проверено 26 ноября 2009 г.
^ Куглер, Деннис (1 июня 2006 г.). «Расширенный контроль доступа; инфраструктура и контроль» (PDF) . Проверено 19 июня 2013 г.
^ Jump up to: ^а ^б Кюглер, Деннис. «Расширенный контроль доступа: инфраструктура и протокол» (PDF) . Проверено 3 мая 2016 г. ^{[ постоянная мертвая ссылка ]}

Внешние ссылки

OpenSCDP.org — EAC-PKI с открытым исходным кодом для разработки и тестирования.
EJBCA.org – PKI с открытым исходным кодом (BAC и EAC)
Спецификации EAC от BSI. Архивировано 27 декабря 2021 г. на Wayback Machine.

[1] ГС Кс; П.А. Каргер (1 апреля 2005 г.). «Проблемы безопасности и конфиденциальности в машиносчитываемых проездных документах (МСПД)» (PDF) . РК 23575 (W0504-003) . ИБМ . Проверено 4 января 2012 г.

[2] Хавьер Лопес; Пьерангела Самарати; Хосеп Л. Феррер (2007). Инфраструктура открытых ключей: 4-й Европейский семинар PKI: теория и практика, EuroPKI 2007 . Спрингер. п. 41. ИСБН 978-3-540-73407-9 .

[3] «5.8 Безопасность дополнительной биометрии». ИКАО Doc 9303, Машиносчитываемые проездные документы, Часть 1. Машиносчитываемые паспорта, Том 2. Спецификации для паспортов с электронным управлением и возможностью биометрической идентификации (Шестое изд.). Международная организация гражданской авиации ( ИКАО ). 2006. с. 84.

[4] «Temporat Secure Digital Identity» (PDF) . Расширенный контроль доступа EPassport . Белая книга. Архивировано из оригинала (PDF) 21 октября 2006 года . Проверено 19 июня 2013 г.

[tr-03110-5] «Усовершенствованные механизмы безопасности машиносчитываемых проездных документов – расширенный контроль доступа (EAC)» (PDF) . БСИ . Проверено 26 ноября 2009 г.

[6] Куглер, Деннис (1 июня 2006 г.). «Расширенный контроль доступа; инфраструктура и контроль» (PDF) . Проверено 19 июня 2013 г.

[eac-protocol-7] Jump up to: ^а ^б Кюглер, Деннис. «Расширенный контроль доступа: инфраструктура и протокол» (PDF) . Проверено 3 мая 2016 г. ^{[ постоянная мертвая ссылка ]}

[1]

[2]

[3]

[4]

[5]

[6]

[7]