Het VARA-programma Nieuwslicht heeft in februari al gedemonstreerd hoe de beveiliging op het biometrische paspoort, dat Nederland vanaf augustus wil gaan invoeren, relatief eenvoudig is te kraken. De bewuste uitzending is aanvankelijk compleet aan ons voorbij gegaan, maar plots schrikt ook de buitenlandse pers wakker: de kraak trekt internationale belangstelling omdat ook veel andere overheden met biometrische paspoorten van start gaan.
Belangrijk bij de kraak, die werd uitgevoerd door beveiligingsbedrijf Riscure, is het Basic Access Control (BAC). Deze sleutel die bij het uitlezen van de pas wordt gebruikt, zal op het Nederlandse paspoort gegenereerd worden op basis van de geboortedatum van de bezitter, het paspoortsnummer en de vervaldatum.
Uit die gegevens rolt een versleuteling van hooguit 56 bit - wat verbijsterend laag is: de gemiddelde internettransactie wordt met 128 tot 256 bit sleutels gecodeerd. Riscure stelt bovendien dat de Nederlandse overheid de passen in oplopende sequentie wil gaan uitgeven, wat de veiligheid niet ten goede komt.
Kwaadwillenden zouden samenhang tussen vervaldatum en pasnummers relatief kunnen uitdokteren, waardoor de hoeveelheid bits in de sleutel nog verder terugloopt. Riscure denkt dat de effectieve sleutelsterkte mogelijk terugvalt tot 35 bit. Een simpele pc heeft enkele uren nodig om alle mogelijke combinaties van een dergelijk zwakke sleutel uit te proberen.
De Nederlandse overheid zou er goed aan doen de passen automatisch gegenereerde nummers te geven en alle beschikbare cijferruimte in de pasnummers te benutten, stelt Riscure-woordvoeder Harko Robroch naar aanleiding van vragen van het Duitse c''t. Duitse paspoorten krijgen al van oudsher geen oplopende nummering mee.
Dankzij de radio-chip die in alle biometrische paspoorten wordt verwerkt, kunnen kwaadwillenden de gegevensstroom meelezen en ontsleutelen. Actief uitlezen van rfid-chip zou niet mogelijk zijn, omdat er pas een verbinding mogelijk is als de verbindingssleutel bekend is.
Tientallen landen zijn ook van plan om rfid-paspoorten op basis van BAC in te voeren, wat de internationale belangstelling verklaart. Een officiële verklaring van het Ministerie van Binnenlandse Zaken is voorlopig uitgebleven. Het ontwikkelingsproces van het nieuwe Nederlandse paspoort is nog in volle gang, dus wijzigingen zijn nog mogelijk.
https://cgi.omroep.nl/cgi-bin/streams?/tv/vara/nieuwslicht/bb.20060127.asf" target="_blank">De uitzending vind je hier
