Aktivierung von Smartcards durch Biometrie

Passwörter und PINs werden häufig vergessen, verloren, kopiert oder gestohlen. Kurze PINs oder "schlechte" Passwörter können Angreifer mit intelligenten Programmen knacken oder einfach erraten. 30 bis 40 Prozent aller Helpdesk-Calls in einer Organisation fallen durch vergessene Passwörter an, die Kosten pro User liegen in der Regel zwischen 100 und 200 US-Dollar im Jahr (laut Morgan Keegan & Co., Gartner Group).

Trotz allem ist die Eingabe von Passwörtern per Tastatur noch immer das gebräuchlichste Verfahren zur Authentifizierung von Personen. Es hält sich hartnäckig gegenüber längst verfügbaren weit sichereren Methoden, die über das Prinzip Wissen (Passwort) hinausgehen. Passwortattacken gehören zu den häufigsten Angriffen auf die Informationssicherheit und zu den einfachsten. Schon nach wenigen Minuten finden gute Cracker-Programme die Passworteinträge einer Windows Registry. Sniffer scannen den Netzverkehr nach typischen Strings, die Passwörter enthalten. Und ganz ohne zusätzlichen Aufwand lassen sich viele Kennworte einfach und schnell nach der Methode "Trial and Error" erraten. Ist diese Schranke erst genommen, steht dem Angreifer die ganze digitale Welt des Passwortbesitzers offen.

Nach den Erkenntnissen der KES/Utimaco-Sicherheitsstudie 2000 nutzt nur etwa jedes fünfte befragte Unternehmen Hardwaretoken (16 %) oder Smartcards (6 %) – allerdings haben 20 Prozent im letzten Jahr bereits den Einsatz von Smartcards für PCs geplant (Hardwaretoken: 3 %). Die Plastikausweise im Scheckkartenformat speichern Passwörter oder kryptographische Schlüssel in einem sicheren "Tresor". Gehen sie verloren, sind sie ähnlich wie eine EC-Karte für den Finder völlig wertlos, weil sie ihre geheimen Informationen nur nach Eingabe einer PIN preisgeben. Es ergibt sich eine Zwei-Faktor-Methode: Zur Authentifizierung sind sowohl Besitz (Smartcard) als auch Wissen (PIN) notwendig.

Smartcards können aber noch viel mehr: Viele gängige Modelle haben bereits heute einen integrierten Krypto-Prozessor und können damit selbstständig digitale Signaturen berechnen. Der geheime Signaturschlüssel des Besitzers verlässt dann niemals die sichere Umgebung des Smartcard-Chips. Wer sich für solche Chipkarten entscheidet, ist bestens gerüstet für die Anforderungen des Signaturgesetzes an qualifizierte digitale Signaturen, die in Bälde die gleiche Rechtsverbindlichkeit wie eine handschriftliche Unterschrift garantieren.

----------Anfang Textkasten----------

Biometrische Verfahren

Biometrie ist die Identifikation oder Verifikation von Menschen mittels biologischer Charakteristika. Biometrie benutzt personengebundene physiologische oder verhaltenstypische Merkmale zur Authentifizierung. Solche Merkmale haben den Vorteil, dass sie nicht gestohlen und im Allgemeinen nur schwer kopiert werden können.

Biometrische Merkmale können auf viele Arten erfasst werden: Unterschiedliche Verfahren messen das Tippverhalten auf Tastaturen, die Fingergeometrie, das Fingerlängenverhältnis oder die Handgeometrie. Weitere Möglichkeiten sind Stimmanalyse, Gesichtserkennung, Unterschriftendynamik, Erfassung des Netzhaut- oder Irismusters oder des genetischen Codes (DNS-Analyse) sowie die Fingerabdruckerfassung. Alle diese Möglichkeiten tauchen auch in unterschiedlichen Kombinationen auf. In der Praxis unterscheidet man biometrische Merkmale in passive und aktive Merkmale:

Passive Merkmale sind zum Beispiel: Gesicht, Retina, Iris, Fingerabdruck, Daktylogramm, Ohr, Handgeometrie, Venenmuster auf dem Handrücken und Geruch.
Aktive Merkmale sind zum Beispiel: Unterschrift, Schreibverhalten, Stimme/Sprechverhalten, Tippverhalten an der Tastatur und Gestik/Mimik beim Sprechen.

Eine typische Merkmalskombination ist zum Beispiel die Erfassung des Gesichts und der Gesichtsdynamik beim Sprechen kombiniert mit der Stimmerkennung.

Ein Merkmal muss bestimmte Eigenschaften besitzen, damit es für ein biometrisches Verfahren verwendet werden kann:

Eindeutigkeit: Das Merkmal muss einzigartig in dem Sinne sein, dass es bei verschiedenen Menschen hinreichend verschieden ist.
Konstanz: Das Merkmal sollte sich im Laufe der Zeit möglichst wenig ändern. Kleinere Veränderungen können adaptive biometrische Verfahren allerdings ausgleichen. Besteht die Gefahr des Verlustes oder der Unverwendbarkeit des Merkmals, sollte ein Ersatzsystem vorgesehen werden.
Merkmalsverbreitung: Ein Merkmal sollte bei möglichst allen potenziellen Nutzern vorhanden sein. Es gibt jedoch kleine Bevölkerungsgruppen, die gewisse Merkmale nicht aufweisen. So besitzen zum Beispiel sehr wenige Menschen keine ausgeprägten Fingerabdrucksstrukturen. Ferner ist die Verwendung mancher Merkmale für bestimmte Gruppen, zum Beispiel für Blinde oder Stumme, nicht geeignet. In diesem Fall muss ein alternatives Verfahren zur Verfügung stehen.

Willentliche Beeinflussbarkeit

Einige biometrische Merkmale bieten die Möglichkeit, neben dem Hauptmerkmal eine zusätzliche Information des Merkmalsträgers abzugeben. So besteht beim Fingerabdruckverfahren die Möglichkeit, mehrere Finger zu registrieren und je nach Wahl des entsprechenden Fingers dem System eine Zusatzinformation zu geben. Bei der Stimmerkennung, die typischerweise mit einem festen, frei wählbaren Schlüsselwort kombiniert ist, besteht ebenfalls die Möglichkeit, durch Anlernen und Speichern verschiedener Schlüsselwörter eine Steuerinformation an das System zu geben. Diese Eigenschaft gewinnt besondere Bedeutung in Anwendungsszenarien, in denen mit einer Erpressung des Merkmalsträgers gerechnet werden muss. Der erpresste Merkmalsträger kann auf diese Weise einen stillen Alarm abgeben, ohne dass der Erpresser dies erkennt.

Benutzerakzeptanz

Ein weiterer wichtiger Punkt bei der Verwendung biometrischer Verfahren ist die Akzeptanz durch die Benutzer. Die folgenden Aspekte sind hier entscheidend:

Komfort: Hier spielen der Zeitaufwand im Normal- und Sonderfall (False Rejection), die einfache Handhabung, der Zeitaufwand bei der Registrierung/Referenzdatenerfassung, die Häufigkeit der notwendigen Aktualisierung des Musters, die Möglichkeiten einer zeitweiligen Ersatzlösung und deren Aufwand eine wichtige Rolle.
Vertrautheit/Transparenz: Der Benutzer muss die Zusammenhänge und Abläufe verstehen, um Kooperationsbereitschaft zu zeigen. Von Vorteil ist es, wenn das Verfahren bereits bekannten und etablierten Vorgängen ähnelt.
Belästigung: Hygienebedenken und das Eindringen in die persönliche Schutzsphäre des Benutzers können die Akzeptanz senken.
Vorurteile und Ängste: Vorurteile gegen die Registrierung oder Benutzung, die Angst vor Missbrauch und die Frage, ob die Methode auch erkennungsdienstlich verwendet wird, sind bedeutende Faktoren. Beispielsweise könnten Benutzer bei Netzhaut-Scans Angst vor Verletzungen haben.

Fehlerquellen

Die größten Fehler bei biometrischen Verfahren sind die Falschakzeptanz und die Falschrückweisung: Falschakzeptanz (False Acceptance Rate, FAR) nennt man die Wahrscheinlichkeit, dass eine nicht berechtigte Person aufgrund ähnlicher biometrischer Charakteristika akzeptiert wird. Falschrückweisung (False Rejectance Rate, FRR) ist die Wahrscheinlichkeit, einer berechtigten Person den Zugang zu verweigern, weil die Übereinstimmungserfordernisse biometrischer Charakteristika zu rigide gehandhabt werden.

Wahrscheinlichkeit der Falschakzeptanz und Falschrückweisung in Abhängigkeit von den Toleranzwerten bei der Merkmalsprüfung

Die Wahrscheinlichkeit der Falschakzeptanz und der Falschrückweisung müssen in eine akzeptable Relation zum Sicherheitslevel gebracht werden. Mit zunehmden Anforderungen an die Übereinstimmung von gemessenem Merkmal und Referenzmuster nimmt die Falschakzeptanz ab und die Falschrückweisung zu – hier gilt es, die "goldene Mitte", einen sinnvollen Arbeitspunkt zu finden.

Vergleich biometrischer Verfahren

Auch die dargestellten Kriterien der Benutzerakzeptanz, der Einzigartigkeit, Konstanz und Verbreitung des Merkmals sowie der technischen und finanziellen Aufwendungen müssen in Relation zur Sicherheit der Identifizierung gesetzt werden. Die folgende Tabelle ist einem Bericht von Morgan Keegan & Co (Januar 2001) über biometrische Verfahren entnommen.

Wertung	Sicherheit	Bequemlichkeit	Kosten
1	DNS	Stimme	Stimme
2	Iris	Gesicht	Unterschrift
3	Retina	Unterschrift	Fingerabdruck
4	Fingerabdruck	Fingerabdruck	Gesicht
5	Gesicht	Iris	Iris
6	Unterschrift	Retina	Retina
7	Stimme	DNS	DNS

Das sicherste Merkmal ist der genetische Fingerabdruck, die DNS. Allerdings ist ein ausschlaggebender Nachteil die Nicht-Akzeptabilität: Für die tägliche Arbeit oder häufige Anwendung ist dieses Verfahren nicht geeignet, es findet allenthalben in der Kriminalistik Anwendung (Fahndung nach Schwerverbrechern/Sexualtätern).

Die Iriserkennung bietet einen hohen Sicherheitslevel, erfordert allerdings ebenso hohen technischen Aufwand und wird daher üblicherweise nur für Hochsicherheitsanwendungen eingesetzt. Das Gleiche gilt für die Retina.

Für die alltäglichen Sicherheitsanforderungen im Business-Bereich ist das Fingerabdruckverfahren der beste Kompromiss aus Sicherheit, Bequemlichkeit und Kosten.

----------Ende Textkasten----------

Kombination von Smartcard und Fingerprint

Die bisherige Verordnung zum Signaturgesetz sieht eine PIN zur Authentifizierung gegenüber der Smartcard vor. Aber: Eine PIN kann weitergegeben oder "ausgeliehen" werden, sie ist wie eine Vollmacht übertragbar. PINs sind leicht zu kopieren und erzeugen keine Bindung an die Person. Die biometrische Authentifizierung bietet eine wesentlich höhere Sicherheit, dass tatsächlich der Schlüsselinhaber mit der Smartcard interagiert und im Sinne der elektronischen Signatur seine digitale Willenserklärung abgegeben hat.

Wenn eine Smartcard biometrisch, beispielsweise mit dem Fingerabdruck des Benutzers, aktiviert wird, so ist das Prinzip des Wissens (einer PIN) durch einen unveräußerlichen Besitz, quasi ein "genetisches Wissen" ersetzt, das nicht verloren gehen oder vergessen werden kann und das sich auch nicht absichtlich an andere weitergeben lässt. Der geheime Schlüssel des Benutzers, der direkt auf dem Sicherheitssystem Smartcard gespeichert ist, kann nur durch die unverwechselbare und unmittelbare biometrische Identifizierung des authentischen Nutzers aktiviert werden.

Neben dieser zusätzlichen Authentizität hat die Biometrie noch weitere Vorteile, die gleichermaßen Sicherheitsanforderungen und die Bequemlichkeit der Anwender befriedigen und damit auch die Akzeptanz von Sicherheitsmaßnahmen erhöhen können:

Dabei kommt die Biometrie aber nicht ohne Kryptographie aus, sondern kann nur als Hilfswissenschaft zum PIN-/Passwort-Ersatz dienen. Denn aus biometrischen Merkmalen kann man keinen kryptographischen Schlüssel für digitale Signaturen ableiten, der eine genaue mathematische Berechnung enthält, die keine Schwankungen zulässt. Die Übereinstimmungserfordernisse bei biometrischen Merkmalen müssen aber immer einen gewissen Spielraum offen halten: Ein Fingerabdruck zum Beispiel kann durch äußere oder physiologische Temperaturschwankungen oder unterschiedliche Stimmungen der Person (Schwitzen, Aufregung) geringfügige Abweichungen zeigen, die bei der Prüfung einkalkuliert sein müssen. Auch Rückstände von Staub, Schmutz oder Fett auf der Haut führen zu Störungen.

Und eine unmittelbare Authentifizierung durch "biometrischen Besitz" ist nur so lange sicher, wie sie nicht verbreitet im Einsatz ist: Zur Identifikation oder Verifikation einer Person ist immer ein Vergleichsdatensatz notwendig, der – ohne Einsatz weiterer Besitz-Faktoren oder kryptographischer Schlüssel – bei der Akzeptanzstelle (Bank, Computersystem des Arbeitgebers, Schließanlage im Wohnblock, Finanzamt usw.) hinterlegt sein muss. Dann könnte aber jede Stelle, die ein Referenzmuster besitzt, diese Daten eventuell missbrauchen, um gegenüber anderen Stellen, die dasselbe biometrische Merkmal nutzen, als die entsprechende Person aufzutreten.

Angriffspunkte

Der einfachste und auch universellste Weg, Biometrie und digitale Signatur zu verbinden, ist sicherlich der folgende Ablauf: Ein Benutzer identifiziert sich gegenüber einem Zielsystem (meist einer PC-Applikation) mittels seines biometrischen Merkmals. Die Applikation vergleicht den gemessenen Wert mit dem Referenzwert (Template) des Benutzers, der in einer Datenbank gespeichert ist. Stimmen die beiden Werte genügend stark überein, wird eine dem Template zugeordnete gespeicherte PIN aus der Datenbank freigegeben (diese kann freilich länger und komplexer sein als eine, die sich ein Anwender merken können muss). Diese PIN dient zur eigentlichen Anmeldung am Signatur-Device (Smartcard oder Schlüsseldatei) des Benutzers. Obwohl dieser Vorgang für den Benutzer so aussieht, als hätte er sich biometrisch – zum Beispiel mit seinem Fingerabdruck – an seinem Signatur-Device angemeldet, so erfolgte dies in Wahrheit weiterhin über den Umweg einer PIN. Dies hat eine Reihe von Vor- und Nachteilen:

Vorteile der Passwort-/PIN-Datenbank

Nachteile der Passwort-/PIN-Datenbank

Match on Card

Das relativ neue Match-on-Card-Verfahren (MOC) vermeidet solche Nachteile: Anstatt einer PIN wird das biometrische Template des rechtmäßigen Benutzers auf der Karte (nicht rücklesbar) hinterlegt. Um sich gegenüber der Smartcard zu authentifizieren und die Signaturfunktionen zu aktivieren, sendet der Benutzer keine PIN an die Karte, sondern einen aktuellen Scan seines biometrischen Merkmals. Anstatt eine PIN Zeichen für Zeichen zu vergleichen, vergleicht der Prozessor der Chipkarte den aktuellen Scan mit dem gespeicherten Template mittels eines biometrischen Vergleichsalgorithmus (daher der Name "Match on Card"). Abgesehen von einer höheren Komplexität des Vergleichsalgorithmus ist dieser Vorgang nahezu identisch mit dem Logon mittels PIN.

[Grafik: Elemente im Smartcard-Chip: CPU, I/O, RAM, ROM (OS, MOC-Funktion), EEPROM (Schlüssel, Fingerabdrücke, Zertifikate, SSO-Daten), sonstiges (PK-Algorithmen)]

Smartcard-Speicher fassen heute problemlos Public-Key-(PK-)Algorithmen, Match-on-Card-Funktion sowie Referenzdaten und Zertifikate.

Smartcards mit solchen Fähigkeiten sind seit Ende 2000 erhältlich. Erste Anwendungen dieser Technologie sind seit dem zweiten Quartal 2001 verfügbar. Als biometrisches Merkmal wird derzeit der Fingerabdruck favorisiert (vgl. Kasten). Obwohl diese Methode relativ gut geeignet ist, Biometrie und Kryptographie zu vereinen, gibt es auch hier spezifische Vor- und Nachteile:

Vorteile des Match on Card

Nachteile des Match on Card

----------Anfang Textkasten----------

Zukunftsaussichten

Eine einzige multifunktionale Smartcard für alle Anwendungen statt unzähliger Karten im Portmonee: Scheckkarte, Geldkarte, Rabattkarte, Mitgliedsausweise, Krankenkassenkarte, Bahncard, Magnetkarte für die Tiefgarage, Mitarbeiterausweis, ...
Eingebauter Fingerprint-Sensor auf der Chipkarte selbst macht Fingerprint-Lesegerät überflüssig und schließt Angriffe des biometrischen Datenstroms aus
Integration in verbreitete Anwendungen (z. B. SAP) und interoperable Public-Key-Infrastrukturen für sicheren elektronischen Geschäftsverkehr
Sekundenschnelles Desktop-Switching mit Smartcard und Fingerprint in großen Unternehmen und Institutionen wie Krankenhäusern, in denen verschiedene Personen am gleichen PC arbeiten
Zeit- und Kostenersparnis durch Single-Sign-on-Prinzip mit biometrischem Sensor auf der Chipkarte selbst

----------Ende Textkasten----------

Fazit

Viele Unternehmen wollen eine höhere Sicherheit für ihre Geschäftsprozesse als Passwortverfahren bieten können. Das Einleiten einer Aktion mit drastischen Konsequenzen muss eindeutig und beweisbar einem Berechtigten zugeordnet sein, damit auch kritische Geschäftsprozesse per E-Business vollzogen werden können.

Benutzerkomfort und Bequemlichkeit in Verbindung mit Sicherheitsfunktionen ist für deren Verwendung ein wichtiger Erfolgsfaktor. Mit einem biometriefähigen Chipkartenterminal kann man nicht nur den Komfort der Anwendung erhöhen, sondern gleichzeitig ein wesentlich höheres Maß an Sicherheit erreichen und die Administrationskosten senken. Als lästig empfundene und häufig umgangene Passwortregeln können entfallen.

Dipl.-Ing. Norbert Pohlmann ist Vorstandsmitglied der Utimaco Safeware AG und Vorstandsvorsitzender des TeleTrusT e. V.

Systeme und ihr Umfeld

Chipkarten