Tijdens twee presentaties op het hackers festival What the Hack zijn methoden gepresenteerd om biometrische gegevens uit het biometrisch paspoort te stelen of te vervalsen.

Marc Witteman van het Nederlandse bedrijf Riscure liet een methode zien waarmee de gegevens uit de chip in het biometrisch paspoort op afstand kunnen worden gekopieerd. De gelaatscan en personalia in het paspoort worden beveiligd met een vorm van toegangscontrole waarbij het noodzakelijk zou moeten zijn fysiek toegang te hebben tot het paspoort (Basic Access Control). Hierbij wordt de contactloze chip bevraagd met een een reeks cijfers die afgeleid wordt van data zoals naam en paspoort nummer. De machine leesbare strook van het paspoort moet daarvoor door een scanner gehaald worden. Skimming, het ongemerkt en niet-geautoriseerd lezen van de chip, zou daardoor moeilijk worden. Maar Witteman toonde in zijn presentatie aan dat het wel degelijk mogelijk was om binnen twee uur toegang te krijgen tot de chip, door de reeks getallen te raden. De aanval van Witteman vereist dat de geboortedatum van de paspoorthouder bekend is. De zwakke plek in de beveiliging wordt veroorzaakt door het feit dat paspoortnummers op volgorde worden uitgegeven en dus samenhangen met de geboortedatum van de houder.

Ton van der Putte van Atos Origin presenteerde een simpele methode om vingerafdrukken te vervalsen. Van der Putte laat al 15 jaar lang zien dat hij elke nieuwe generatie scanners voor vingerafdrukken om de tuin kan leiden. Met eenvoudige hulpmiddelen uit de doe-het-zelf winkel (kosten 10 euro) maakt Van der Putte binnen 10 minuten een kopie van een vingerafdruk. De kunststof kopie kan op een echte vinger worden geplakt. Met deze methode is het mogelijk om iemands biometrisch paspoort te stelen of te lenen en vervolgens met behulp van de kunststof kopie van de vingerafdruk te zorgen voor een succesvolle verificatie bij de grenscontrole. Om een kopie van de vingerafdruk te kunnen maken is geen medewerking van de eigenaar nodig; de afdruk kan van een glas worden gekopieerd. Met deze methode vervalt het argument van minister Remkes dat de invoering van het biometrisch paspoort de look-a-like fraude onmogelijk maakt.

Het nieuwe paspoort wordt naar verwachting in 2006 ingevoerd en bevat een chip met biometrische kenmerken. De contactloze chip zal eerst een digitale foto van het gezicht bevatten en op een later tijdstip ook twee digitale vingerafdrukken. Oorspronkelijk waren de biometrische gegevens in het paspoort uitsluitend bedoeld om te controleren of het paspoort en de drager ervan bij elkaar horen. In januari 2005 heeft minister Remkes van Binnenlandse Zaken aangekondigd dat het kabinet plannen ontwikkelt om de vingerafdrukken en foto’s uit het nieuwe biometrische paspoort centraal op te slaan. Centrale opslag van de gegevens is een ingrijpende verandering van het overheidsbeleid ten aanzien van biometrie en maakt het ook mogelijk personen te identificeren die geen paspoort bij zich dragen.

Tweede Kamer lid Smilde (CDA) heeft in het Algemeen Dagblad aangekondigd dat hij naar aanleiding van de presentaties in het najaar een hoorzitting met deskundigen in de Kamer wil. “Ik wil dan in een rondetafelgesprek van de deskundigen horen of het systeem wel betrouwbaar genoeg is”, zegt Smilde. Daarna wil Smilde pas beslissen of de invoering van het paspoort een goed idee is.

• Presentatie van Marc Witteman (28.07.2005) http://wiki.whatthehack.org/index.php/Attacks_on_Digital_Passports
• Presentatie van Ton van der Putte (30.07.2005) http://wiki.whatthehack.org/index.php/Spoofing_fingerprints_in_10_minutes
• Experts: Nieuw paspoort te kraken (28.07.2005) http://www.ad.nl/artikelen/Nieuws/1122526844878.html
• Algemeen Dagblad: CDA: hoorzitting over paspoorten (29.07.2005)

Dit artikel is automatisch geconverteerd uit het oude archief van nieuwsbrieven van Bits of Freedom.