Die Chipkarte kommt! Einführung des elektronischen Studierendenausweis

1. Die Chipkarte kommt!Einführung des elektronischen Studierendenausweis Hochschule für Angewandte Wissenschaften Hamburg Hamburg, HAW Standort Saarlandstraße, 25.06.2008 Bernd Klöver, Kanzler HAW HamburgThorsten Ebert IT Beratung

2. Hintergrund der Einführung Warum wird an der HAW Hamburg ein elektronischer Studierendenausweis eingeführt? • Verbesserung der Serviceleistungen für Studierende • Einsatz eines fälschungssicheren Studierendenausweis • effizientere Abwicklung von Geschäftsprozessen • Rückmeldung • Semesterticket • Bezahlung in der Mensa • Rechtliche Grundlage der Einführung • Änderung der Immatrikulationsordnung der Hochschule für Angewandte Wissenschaften vom 24. Januar 2008 Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung 25.06.2008

3. Sicherheitskritische Betrachtungen Betrachtung der RFID-Technologie • RFID = Radio FrequencyIDentifikation • Die zwei Komponenten eines RFID-Systems • Transponder (Datenträger, Radiofrequenzmodul sendet und empfängt Daten) • Lesegerät (Schreib- / Leseeinheit, Antenne; kommuniziert mit Transponder) • Transponder • aktive / passive Transponder • Technik des Studierendenausweises • MIFARE DESFire-Chip • simultane Verwendung von bis zu 28 Applikationen (bis zu 16 Files pro Applikation) • 3 DES Verschlüsselung (dreifache Verschlüsselung mit mind. 3 unterschiedlichen Schlüsseln) • passiver Transponder • Funkfrequenz • 13,56 MHZ • Funkreichweite • 10 cm (abhängig von der verwendeten MIFARE Antenne) Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

4. Sicherheitskritische Betrachtungen Betrachtung der RFID-Technologie • Sicherheitslücken des MIFARE classic Chips • Die „Digital Security group“ der Universität in Nimwegen behauptet eine MIFARE Classic Karte gehackt, geklont und in einem bestehenden Chipkartensystem missbräuchlich eingesetzt zu haben (Quelle: Presseerklärung der „Digital Security group“, 12.03.2008) • Der verwendete Verschlüsselungs-Algorithmus „Crypto 1“ wurde gehackt (Quelle: ct, Ausgabe 8, 31.03.2008) • NXP (Hersteller des Chips) bezieht bis jetzt (23.06.08) keine Stellung zu den Informationen (es besteht seit einigen Wochen Mail- und Telefonkontakt zu NXP) • Entscheidung der Projektverantwortlichen der HAW Hamburg • Nach einem Gespräch mit dem Geschäftsführer der ausführenden Firma InterCard AG Kartensysteme unter Teilnahme des ASTA am 07. April, entschieden sich die Projektverantwortlichen am 28. April gegen den MIFARE classic Chip • Statt des gehackten Chips wird nun der sichere MIFARE DESFire Chip für den Studierenden- und Dienstausweis der HAW Hamburg eingesetzt (der MIFARE DESFire Chip wird beispielsweise auch von der NASA in der Zugangskarte ihrer Mitarbeiter verwendet) Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

5. Sicherheitskritische Betrachtungen Untersuchung der Bedrohungslage • Überwachung / Ortung der Karteninhaber • Einschätzung: limitiert durch Funkreichweite, Aufwand / Benefit • Abhören der Kommunikation zwischen Studierendenausweis und Chipkartenleser • Einschätzung: wenn überhaupt können nur verschlüsselte Daten abgehört werden (Schlüssellänge 168 Bit), limitiert durch Funkreichweite, Aufwand / Benefit • nicht autorisiertes Auslesen von Daten • Einschätzung: nicht möglich, da jeder Zugriff einem Schlüssel der zugehörigen Applikation zugeordnet ist, ohne Kenntnis des in der File-Struktur des Chips vorhandenen Schlüssels können keine Daten ausgelesen werden • nicht autorisiertes Verändern von Daten • Einschätzung: siehe oben • Cloning / Emulation von Originaldaten (Vortäuschung eines Studierendenausweises) • Einschätzung: nicht möglich, da ein Auslesen der Daten unmöglich ist und jeder MIFARE DESFire Chip eine unveränderbare eindeutige Chipnummer aufweist • Ablösung RFID-Chips (Tags) von der Karte für Reverse Engineering • Einschätzung: Durch Aceton oder Salpetersäure möglich, allerdings ist dies für ein Angriffsszenario nicht hilfreich, da mit bekannten Standardverschlüsselungsverfahren gearbeitet wird Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

6. Sicherheitskritische Betrachtungen Daten die auf dem Studierendenausweis gespeichert werden sollen • optisch: Passfoto, Name und Vorname (Namenszusätze), Matrikelnummer, Kartenseriennummer, Bibliothekskonto, Barcode • elektronisch: • Matrikelnummer • Preiskennzahl Mensa (0 = Studierende) • Kartenseriennummer (von InterCard vergebene eindeutige Nummer) • Kartenfolgenummer (0 = 1. Generation, 1 = 2. Generation, etc.) • Datum der Kartenpersonalisierung • Datum des Endes der Kartengültigkeit • Firmennummer Zutritt (eindeutige Projektnummer von Primion) • Zutrittsnummer (fortlaufend von der HAW vergebene Nummer) • Kontonummer Bibliothek • Systemnummer Mensa (eindeutige Systemnummer von Telos) • Geldbörse Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

7. Sicherheitskritische Betrachtungen Datenprotokollierung Zutritt / Mensa • Art der protokollierten Daten • Zutrittskontrolle: • Zutrittsnummer • Datum • Uhrzeit • Komponenten-Nummer • Mensa: • Kartenseriennummer • Preiskennzahl • Beträge (Aufwertung, Abwertung, neue Saldi) • Artikelnummern (Speisen und Getränke) • Gerätenummer • Datum • Uhrzeit Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

8. Sicherheitskritische Betrachtungen Untersuchung der Bedrohungslage • Zutritt • Automatische Protokollierung und automatische Löschung der Protokolldaten • Rahmenbedingungen Einsichtnahme von Protokolldaten (AStA) • Dringender Tatverdacht für Straftat muss vorliegen • Vier-Augen-Prinzip: Anwesenheit PR • Doppel-Passwort • noch abzustimmen: Bei Auswertung von Protokolldaten wird auf der HAW-Website veröffentlicht , wo ausgelesen wurde • noch abzustimmen: Information der Studierenden, deren Protokolldaten ausgelesen wurden • Vorgehen Wartungsarbeiten • Zugriff Managementbereich • Zugriff Zutrittsprofile (Vereinbarung über Wahrung des Datengeheimnisses) • Mensa • ausschließliche Verwendung von pseudonymen Daten (Kartenseriennummer) Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

9. Funktionen des Studierendenausweises Überblick über die Funktionen • optische Funktionen • Blickausweis / Studierendenausweis • Bibliotheksausweis • HVV-Semesterticket • Internationaler Studentenausweis • elektronische Funktionen • elektronischer Schlüssel • Bibliotheksausweis (zukünftig: Medien-Ausleihe / bargeldose Bezahlung Mahngebühren) • Zahlungsmittel Mensa • Zahlungsmittel Kopierer Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

10. Optische Funktionen – Vorderseite Layout der Chipkarten-Vorderseite Individuelle Steuerung des „TRW-Drucks“ (z.B. Härtefälle) Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

11. Optische Funktionen – Rückseite Layout der Chipkarten-Rückseite Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

12. Elektronische Funktionen ZUTRITTSKONTROLLE BIBLIOTHEK Medien-Ausleihe Bargeldlose Bezahlung von Mahngebühren KOPIERENBargeldlose Bezahlung von Kopien MENSEN / CAFETERIEN Bargeldlose Bezahlung von Speisen und Getränken Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung

13. Abschluss • Kommunikation mit den Studierenden erfolgt über das HELIOS-Postfach: Bitte regelmäßig das Postfach leeren! • Offene Fragen Die Chipkarte kommt! - Info-Veranstaltung für Studierende der HAW Hamburg Thorsten Ebert IT Beratung