SuisseID und der deutsche elektronische Personalausweis

Unser Personalausweis geht ins Internet! Handlich, praktisch und
elektronisch soll das neue Personaldokument nun auch digital aus
dem Wohn- oder Schlafzimmer natürlich einhundertprozentig sicher
dem Gegenüber unsere Identität nachweisen können und dabei auch
gleich noch die persönliche, handgeschriebene Unterschrift unter
den wichtigsten Dokumenten ersetzen können. Zu sicher, um wahr zu
sein? Die Schweizer Bürger dürfen sich bereits sicher fühlen. Das
hiesige Pendant zum elektronischen Personalausweis, genannt
SuisseID, ist bereits weitverbreitet, jedoch noch nicht gesetzlich
vorgeschrieben. Was macht nun diese Identitätsdokumente so
unglaublich sicher, sicherer noch als herkömmliche und unhandliche
Ausweise? Sind es die von den Herstellern propagierten unhackbaren
Smartcard-Chips? Oder die Firewall auf Deinem asiatischen
DSL-Router? Deine breiten Schultern oder gar die Irrelevanz Deiner
digitalen Identität? Oder daß Du den Ausweis immer nur wenige
Sekunden am Rechner hast? Wir haben in den vergangenen Tagen
demonstriert, daß ein tiefes Wissen und hoher Aufwand keineswegs
notwendig ist, um eine solche Identität zu kapern. Laßt uns wissen,
ob wir etwas übersehen, vernachlässigt oder auch übertrieben haben
– ob ihr Betroffene oder betroffen Machende seid. Die SuisseID ist
eine Schweizer Lösung zur elektronischen Authentifizierung und
digitalen Signatur im Internet. Max Moser und Thorsten Schröder
kratzten bereits eifrig an der Oberfläche dieses offenbar brüchigen
Gebildes, als die ersten semi-offiziellen Meldungen die Runde
machten, der CCC würde den neuen, elektronischen Personalausweis in
Deutschland gehackt haben. Im Vorfeld des im September geplanten
Vortrages der beiden auf einer Züricher Sicherheitskonferenz ging
bei vielen beteiligten Institutionen bereits die Alarmsirene an:
Fortan sollte die Gerüchteküche brodeln, und alle spielten
verrückt. Mit einfachen Mitteln sollte das Konzept der SuisseID
auseinandergenommen werden – und zwar so, daß jedem
Marketingmenschen, der die Totale Sicherheit (tm) durch Smartcards
ausrief, jedes Argument aus den Händen geschlagen wird. Schnell
wurde klar, daß die gleichen Angriffe analog auch beim deutschen
ePA (neuerdings nPA) wirken, weswegen in diesem Zuge gleich noch
das deutsche Pendant zur Schweizer SuisseID mit den simpelsten
Mitteln zerlegt wurde. Die sehr einfachen Angriffe wurden in Text,
Ton und Bild festgehalten und detailliert dokumentiert. Letzten
Mittwoch machte die Kunde die Runde, und der Bundesinnenminister
Thomas de Maizière (CDU) sah sich genötigt, in die tagesschau zu
rufen: "Irgendwelche Hacker mögen immer irgendwas hacken können,
äh, aber, ähm, die [...] Sicherheit des neuen Personalausweises
steht nicht in Frage." Wir möchten mit Euch über die trivialen
Angriffsflächen diskutieren und herausfinden, ob Herrn de Maizière
Recht gegeben werden kann oder nicht. Die Reaktionen und Argumente,
die sich anschließend in der Diskussion nach der Veröffentlichung
entwickelten, werden ebenfalls diskutiert. Wir möchten von Euch
wissen: Versteht ihr den Impact dessen, was wir hier angerissen
haben, oder fehlen Euch noch Argumente, die bislang nicht den Weg
in die Öffentlichkeit fanden? Hörer, Politiker und Hersteller,
Befürworter und Gegner der (exemplarisch) thematisierten Techniken
sind aufgerufen, sich an dieser Diskussion zu beteiligen. Links: *
CCC: Praktische Demonstration erheblicher Sicherheitsprobleme bei
Schweizer SuisseID und deutschem elektronischen Personalausweis
http://ccc.de/de/updates/2010/sicherheitsprobleme-bei-suisseid-und-epa