[Belgische eID] DIY?

[Carharttguy]

Hoi iedereen

We gebruiken nu al een tijdje een eID in België, en ik stel me toch enkele vragen ivm de achterliggende technologie. Ik heb cybercrime gestudeerd en zou eens willen kijken wat er mogelijk is met dat eID. Ik wil me vooral bezig houden met het stuk dat voor de PIN komt, dit is al interessant genoeg. Daar zit namelijk een foto, algemene gegevens en adresgegevens van de eigenaar van een eID. Deze zijn uitleesbaar zonder enige authorisatie en toch gebruiken veel dagelijkse applicaties alleen deze gegevens.

Waar ik naartoe wil: Een eID middleware laten denken dat die een echte eID leest, dus foto + adresgegevens + algemene gegevens.

Eerst heb ik wat opzoekwerk gedaan. Wat ik denk te weten:

De Belgische eID is een Cryptoflex JavaCard 32K van het huidige Gemalto.
Het 'onbeveiligde deel' is zo opgebouwd:



De crux zit hem dus in de volgende zaken:

-Correcte opmaak van de bestanden (PKCS #15 file structuur)
-Correcte aanmaak van NRN signature files (hier tast ik volledig in het duister)
-Zorgen dat de middleware niet vastloopt op het ontbreken van het authentication deel. (ziet er zo uit: http://imgur.com/00LR9F2)

I'm just scratching the surface here. Ik zal bevindingen, interessante informatie hier nog verder posten.
Als er mensen zijn die kennis over het onderwerp hebben, delen is leuk!

Ik probeer later deze week al zoveel mogelijk raw data van m'n eID te scrapen.

Dankje

[Orion84]

De reden dat hier verder geen access control op zit (dus gewoon door eenieder te lezen) is waarschijnlijk omdat diezelfde gegevens ook gewoon op fysieke het pasje zelf geprint staan?

Ik neem aan dat de eID middleware aan de hand van die signatures checkt of de data daadwerkelijk authentieke eID data is en niet fake. Aangezien jij niet beschikt over de private key van de overheid waarmee die eID signatures worden gemaakt ga je dat niet kunnen faken.

[Carharttguy]

Ik dacht ook dat het zo zou kunnen werken.

Maar dan zie ik wel een groot gat: Clone kaart en foto vervangen, nieuwe identiteit?

[Orion84]

"clone kaart" is wellicht makkelijker gezegd dan gedaan, dat durf ik niet te zeggen. En het is me uit dat plaatje niet helemaal duidelijk in hoeverre de foto ook wordt meegenomen in de signature.

Je hebt deze info zo te zien uit deze presentatie:
https://www.owasp.org/ima...D_hacker_vs_developer.pdf

Daar staat het volgende:

Server-side verification of the NRN signatures over the identity, photo and address files by the eID Applet Service

Dus blijkbaar is ook de foto gesigneerd.

[Carharttguy]

Orion84 schreef op woensdag 17 mei 2017 @ 17:40:
"clone kaart" is wellicht makkelijker gezegd dan gedaan, dat durf ik niet te zeggen. En het is me uit dat plaatje niet helemaal duidelijk in hoeverre de foto ook wordt meegenomen in de signature.

Je hebt deze info zo te zien uit deze presentatie:
https://www.owasp.org/ima...D_hacker_vs_developer.pdf

Daar staat het volgende:

[...]

Dus blijkbaar is ook de foto gesigneerd.

Ja maar server-side verification kan toch alleen als we over een webapplicatie spreken? De middleware werkt ook disconnected van het internet.

Dank voor het meedenken alvast! Elk denkwerk is erg waardevol!

[Orion84]

Validatie van de signatures kan ook offline. Minder grondig, maar het kan prima.

[Marzman]

Het is inderdaad dat, dezelfde gegevens kun je ook met je ogen aflezen op het kaartje. Het is vooral voor instanties dat ze gemakkelijk je gegevens hebben en geen typefouten kunnen maken.

Bij mijn eerste kaart zat ook een brief (bij mijn laatste niet trouwens) waarop staat welke gegevens dit zijn. Omdat ik een Nederlander in Belgie ben gaat het bij mij om een E en nu E+ kaart, maar ik denk dat dit verder hetzelfde werkt.

[ Voor 17% gewijzigd door Marzman op 18-05-2017 10:50 ]