Institut für Internet-Sicherheit – if(is)

Der neue elektronische Personalausweis (nPA)

Nach Einführung des elektronischen Reisepasses (ePass) im Jahr 2005 plant die Bundesregierung die Einführung des neuen, elektronischen Personalausweises (kurz nPA). Der neue, elektronische Personalausweis (bis Ende 2009 teilweise auch als ePA bezeichnet) wird voraussichtlich ab dem 1.November 2010 eingeführt und soll ein Chip mit SmartCard-Funktionalität im Scheckkartenformat (Formfaktor ID-1) sein. Er wird – genau wie der bestehende nicht-elektronische Personalausweis – ein sichtbares Lichtbild sowie aufgedruckte personenbezogene Angaben enthalten und kommuniziert über Funk (RF) nach ISO 14443 mit einem RF-Lesegerät, das der Anwender an seinen PC anschließen muss.

Darüber hinaus wird der nPA kryptografische Funktionalität bereitstellen, mit Hilfe derer eine elektronische Authentikation anhand bestimmter Attribute beispielsweise über das Internet möglich sein wird. Die Besonderheit liegt darin, dass der Inhaber die Kontrolle über die Freigabe der Attribute behält. Der Inhaber kann selbst entscheiden, ob und wenn ja, wem er Zugriff auf bestimmte Attribute gewährt. Derzeit findet ein Anwendungstest der Online-Authentisierung mit mehr als 30 Unternehmen statt.
Ein besonderes Verfahren des Zugriffsschutzes beim elektronischen Auslesen des Chips ist das sog. Extended Access Control (EAC). Hierbei findet – ähnlich wie bei Transport Layer Security (TLS, früher SSL) – eine gegenseitige Authentikation zwischen dem Ausweis und dem Lesegerät statt. Ferner wird eine verschlüsselte Ende-zu-Ende-Verbindung aufgebaut, über die jegliche Kommunikation zwischen Lesegerät und Ausweis abgewickelt wird. Hierbei spielen die Protokolle PACE, Terminal Authentication und Chip Authentication eine wichtige Rolle.
Ein möglicher Aufbau für die Authentikation über das Internet könnten wie folgt aussehen:

Bürgerclient

Mit Hilfe des Bürgerclients wird die Online-Authentisierung durchgeführt. Die folgende Abbildung zeigt den Bürgerclient von OpenLimit, wie er im derzeit durchgeführten Anwendungstest zur Anwendung kommt.