The Cryptographic Security of the German Electronic Identity Card

In November 2010, the German government started to issue the new electronic identity card (eID) to its citizens. Besides its original utilization as a ’visual’ identification document, the eID card can be used by the cardholder to prove one’s identity at border control and to enhance security of authentication processes over the Internet, with the eID card serving as a token to reliably transmit personal data to service providers or terminals, respectively. To this end, the German Federal Office for Information Security (BSI) proposed several cryptographic protocols now deployed on the eID card.

The Password Authenticated Connection Establishment (PACE) protocol secures the wireless communication between the eID card and the user’s local card reader, based on a cryptographically weak password like the PIN chosen by the card owner. Subsequently, the Extended Access Control (EAC) protocol is executed by the chip and the service provider to mutually authenticate and agree on a shared secret session key. This key is then used in the secure channel protocol, called Secure Messaging (SM). Finally, an optional protocol, called Restricted Identification (RI), provides a method to use pseudonyms such that they can be linked by individual service providers, but not across different service providers (even not by malicious ones).

This thesis consists of two parts. First, we present the above protocols and provide a rigorous analysis on their security from a cryptographic point of view. We show that the Germen eID card provides reasonable security for authentication and exchange of sensitive information allaying concerns regarding its usage. In the second part of this thesis, we introduce two possible modifications to enhance the security of these protocols even further. Namely, we show how to (a) add to PACE an additional efficient chip authentication step, and (b) augment RI to allow also for signatures under pseudonyms.

In November 2010 wurde der neue elektronische Personalausweis (nPA) in Deutschland eingeführt. Neben der ursprünglichen Verwendung als ’optisches’ Identifikationsdokument, kann ein Ausweiseigentümer den nPA verwenden, um sich in Grenzkontrollen auszuweisen oder die Sicherheit bei dem Authentisierungsvorgängen im Internet zu verstärken. Der nPA wirkt hier als Mittel, um zuverlässig persönliche Daten zu einem Dienstanbieter oder dem Terminal zu transferrieren. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führte mehrere kryptograpische Protokolle ein, welche nun im nPA eingesetzt werden.

Das Password Authenticated Connection Establishment (PACE) Protokoll, welches auf kryptographisch schwachen Passwörtern basiert, wie die von Nutzern ausgewählten PIN, sichert die kabellose Kommunikation zwischen dem nPA und dem Lesegerät des Nutzers. Anschließend wird das Extended Access Control Protokol zwischen der Chipkarte und dem Diensteanbieter ausgeführt, um sich gegenseitig zu authentifizieren und sich auf einen gemeinsamen geheimen Sitzungsschlüssel zu einigen. Dieser Schlüssel wird dann in dem Protokoll für sichere Kanäle mit dem Namen Secure Messaging (SM) verwendet. Schlussendlich bietet ein optionales Protokoll namens Restricted Identification (RI) eine Methode an, Pseudonyme zu verwenden, welche innerhalb individuellen Diensteanbieter wiedererkennbar sind, allerdings anonym gegenüber anderen (selbst böswilligen) Diensteanbieter bleiben.

Diese Dissertation besteht aus zwei Teilen. Zum einen präsentieren wir die oben genannten Protokolle und liefern eine gründliche Sicherheitsanalyse aus kryptograpischen Gesichtspunkt. Wir zeigen, dass der nPA eine vernünftige Sicherheit für eine Authentifikation und den Austausch von sensiblen Daten bietet, welche jegliche Bedenken den neuen elektronischen Personalausweis aus Sicherheitsgründen nicht zu nutzen, ausräumen sollte. Im zweiten Teil dieser Dissertation führen wir zwei mögliche Änderungen ein, welche die Sicherheit der Protokolle noch weiter erhöhen könnten. Genauer: wir zeigen wie (a) dem PACE Protkoll eine zusätzliche Chip Authentifizierung hinzugefügt werden kann, und (b) das RI Protokoll so erweitert werden kann, dass Nutzer Signaturen unter ihren Pseudonymen erstellen können.