Báo cáo " Xác thực hộ chiếu sinh trắc với cơ chế PACE và EAC "

Chia sẻ: Nguyen Nhi | Ngày: | Loại File: PDF | Số trang:15

Thêm vào BST

Báo xấu

80
lượt xem 13
download

Download Vui lòng tải xuống để xem tài liệu đầy đủ

Xác thực hộ chiếu sinh trắc với cơ chế PACE và EAC . Hộ chiếu sinh trắc đã trải qua ba thế hệ phát triển, từ ban đầu chỉ chú trọng lưu ảnh mặt người trên chip, kết hợp thêm một số nhân tố sinh trắc và cơ chế kiểm soát truy cập mở rộng EAC và ... Hộ chiếu sinh trắc đã trải qua ba thế hệ phát triển, từ ban đầu chỉ chú trọng lưu ảnh mặt người trên chip, kết hợp thêm một số nhân tố sinh trắc và cơ chế kiểm soát truy cập mở rộng...

Chủ đề:

Bình luận(0) Đăng nhập để gửi bình luận!

Lưu

Nội dung Text: Báo cáo " Xác thực hộ chiếu sinh trắc với cơ chế PACE và EAC "

Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 Xác th c h chi u sinh tr c v i cơ ch PACE và EAC Vũ Th Hà Minh, Nguy n Ng c Hoá* Trư ng ð i h c Công ngh , ð i h c Qu c gia Hà N i, 144 Xuan Th y, Hà N i, Vi t Nam Nh n ngày 18 tháng 3 năm 2011 Tóm t t. H chi u sinh tr c ñã tr i qua ba th h phát tri n, t ban ñ u ch chú tr ng lưu nh m t ngư i trên chip, k t h p thêm m t s nhân t sinh tr c và cơ ch ki m soát truy c p m r n g EAC và b xung cơ ch thi t l p k t n i có xác th c m t kh u PACE. Trong bài báo này, chúng tôi trình bày v mô hình xác th c h chi u sinh tr c d a trên hai cơ ch PACE và EAC và ti n hành th nghi m các bư c quan tr ng trong mô hình này. M t s ñánh giá v hi u năng cũng như tính an ninh/an toàn c a mô hình cũng ñư c phân tích trong bài báo này T khoá: xác th c sinh tr c h c, h chi u sinh tr c, ki m soát truy c p m r n g, ki m soát truy c p cơ b n, RFID, PKI. gi h chi u,..; còn hai y u t sau cho phép 1. Gi i thi u∗ nâng cao hi u qu quá trình xác th c công dân H chi u sinh tr c (biometric passport - mang h chi u sinh tr c [2]. HCST), hay còn g i là h chi u ñi n t HCST ñã ñư c nghiên c u và ñưa vào tri n (ePassport) là m t gi y căn cư c cung c p khai, ng d ng th c t m t s q u c gia phát thông tin theo th i k ỳ (kho ng 10 năm, tu ỳ theo tri n trên th gi i như: M , Châu Âu… [3] G n m i nư c quy ñ nh) v m t công dân, dùng ñ ñây chính ph Vi t Nam cũng ñ ã phê duy t ñ thay th cho h chi u truy n th ng. M c tiêu án qu c gia “S n xu t và phát hành h chi u chính c a HCST là nâng cao an ninh/an toàn ñi n t Vi t Nam” v i kỳ v ng b t ñ u t nă m trong quá trình c p phát/ki m duy t/xác th c h 2011 có th xây d ng th nghi m HCST [4]. chi u [1]. V i m c tiêu ñó, h chi u sinh tr c Hi n nay trên th gi i, HCST ñã tr i qua ba ñư c phát tri n d a trên nh ng chu n v h th h p hát tri n: t vi c m i ch s d ng nh chi u thông thư ng, k t h p cùng v i (i) các k m t ngư i s hoá lưu trên m t chip RFID (th thu t ñ m b o an ninh/an toàn thông tin, (ii) h th nh t) [1], k t h p thêm m t s nhân t công ngh ñ nh danh d a trên t n s radio sinh tr c và cơ ch ki m soát truy c p m r ng (Radio Frequency Identification- RFID) và (iii) (Extended Access Control – EAC; th h th công ngh xác th c d a trên nh ng nhân t sinh hai) [2] và b xung cơ ch thi t l p k t n i có tr c h c như nh m t ngư i, vân tay, m ng xác th c m t kh u (Password Authenticated m t… Hai y u t ñ u cho phép nâng cao vi c Connection Establishment – PACE; th h th ch ng ñánh c p thông tin cá nhân, ch ng làm 3, b t ñ u t cu i năm 2009) [5]. T i Vi t Nam, _______ m i ch có m t s d án nghiên c u, tìm hi u ∗ Tác gi liên h . ð T: 84-4-37547813. liên quan ñ n mô hình c p phát, qu n lý, ki m E-mail: hoa.nguyen@vnu.edu.vn 37
38 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 duy t HCST [6]. Các nghiên c u này bư c ñ u a) ð nh danh s d ng t n s vô tuy n ñã nghiên c u các cơ ch b o m t s d ng RFID là công ngh nh n d ng ñ i t ư ng trong HCST, ñ ng th i ñ xu t ra mô hình b ng sóng vô tuy n. Công ngh này cho phép HCST s d ng t i Vi t Nam. Tuy nhiên vi c nh n bi t các ñ i tư ng thông qua h th ng thu nghiên c u trên m i d ng mô hình phát tri n phát sóng vô tuy n, t ñó có th giám sát, qu n th h th hai. lý ho c l ưu v t t ng ñ i tư ng. Trong bài báo này, chúng tôi t p trung H th ng RFID bao g m thi t b ñơn gi n nghiên c u, tìm hi u quy trình xác th c HCST (g i là th , ñ lưu d li u, ñ nh danh) nh g n theo chu n c a t ch c ICAO (International và r , và thi t b ph c t p (g i là ñ u ñ c). Th Civil Aviation Orgnization) th h th ba, thư ng ñ ư c s n xu t v i s lư ng l n và ñính v i ñ nh hư ng ñ c bi t chú tr ng ñ n cơ ch vào các ñ i tư ng c n qu n lý, ñi u hành t PACE và EAC nh m tăng cư ng an ninh/an ñ ng. ð u ñ c có nhi u tính năng hơn và toàn trong quá trình xác th c HCST. Trên th c thư ng k t n i v i máy tính ho c m ng máy t mô hình này chưa ñư c áp d ng b t k ỳ tính. Quá trình truy n thông (ñ c/ghi d li u) nư c nào trên th gi i, m i d ng ph m vi gi a th và ñ u ñ c ñ u s d ng sóng vô tuy n nghiên c u. V i vi c nghiên c u, tìm hi u q uy v i gi i t n 100 kHz ñ n 10 GHz. trình xác th c s d ng cơ ch PACE và EAC, Nhìn chung, HCST ñ u s d ng chip RFID t ñó ti n hành th c nghi m mô hình xác th c lo i th ñ ng, không c n ngu n nuôi, v i ñ c t nói trên, chúng tôi k ỳ v ng có th ti p c n ñư c tuân theo chu n ISO 14443 và ñư c t ch c nh ng nghiên c u m i nh t v HCST trên th ICAO miêu t chi ti t trong [7]. gi i, t ñó có th cung c p, xây d ng ph n nào b) Cơ s h t ng khoá công khai nh ng cơ s n n t ng v HCST t i Vi t Nam. PKI có th ñư c xem như cơ ch cho phép Các ph n còn l i c a bài báo ñư c t ch c bên th ba (thư ng là nhà cung c p ch ng ch như sau: ph n 2 trình bày t ng quan v các s ) cung c p và xác th c ñ nh danh c a hai bên công ngh liên quan và t ch c c a HCST; tham gia vào quá trình trao ñ i t hông tin. PKI ph n 3 ñánh giá các th h c a HCST t ñó ñưa khi tri n khai ph i ñáp ng ñ ư c các quá trình ra mô hình xác th c HCST s d ng cơ ch dư i ñây ñư c an ninh/an toàn: PACE và EAC ph n 4; ph n th nghi m và ♦ Quá trình ñ u ñ c th m ñ nh d li u ñư c ñánh giá ñư c trình bày hai ph n k ti p. lưu trong HCST là xác th c hay không. Ph n cu i cùng là nh ng ñánh giá k t lu n và m t s hư ng phát tri n k ti p. ♦ Quá trình ki m tra li u d li u trong HCST b thay ñ i hay nhân b n hay không. Quá trình ki m tra li u ñ u ñ c có ñư c ♦ 2. Lý thuy t liên quan phép truy c p d li u trong chip RFID hay không. 2.1. Các công ngh trong HCST Như v y, m i HCST cũng như các h th ng c p phát/th m ñ nh HCST cũng ñ u ph i có HCST ñư c xây d ng k t h p ch y u ba ch ng ch s . Vi c trao ñ i ch ng ch c a cơ công ngh chính: ñ nh danh s d ng t n s vô quan c p h chi u gi a các qu c gia s ñư c tuy n (RFID), cơ s h t ng khoá công khai th c hi n b ng ñ ư ng công hàm và thông qua (Public Key Infrastructures – PKI) và xác th c danh m c khoá công khai c a ICAO [8]. sinh tr c h c.
39 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 (KPrDV) ñư c dùng ñ ký m i ch ng ch ñ u Các thành ph n trong PKI cho HCST g m: ñ c (CIS) và SOD trong m i HCST mà nó phát ♦ CSCA (Country Verifying Certificate hành. ð chia s các ch ng ch DV (CDV) gi a Authorities) cùng v i CVCA (Country các qu c gia, ICAO cung c p m t danh m c Verifying Certificate Authority): là CA khoá công khai PKD (Public Key Directory). (Cerfiticate Authority) c p qu c gia. PKD ch lưu tr các ch ng ch c a DV (CDV) ñã DV (Document Verifier): Cơ quan ki m ñư c ký, chính vì v y nó còn ñư c g i là kho ♦ tra h chi u. ch a các ch ng ch . Kho ch a này có s n m i qu c gia và ñư c c p quy n b o v c m ñ c. ♦ IS (Inspection System): H th ng th m tra. Danh sách thu h i ch ng ch CRL (Certificate H t ng khoá công khai có c u trúc t ng. Revocation List) cũng có th ñ ư c lưu tr trong T ng cao nh t tương ng v i m i q u c gia cùng danh m c khoá công khai PKD. M i qu c ñư c g i l à CSCA. CSCA sinh và lưu gi c p gia có trách nhi m c p nh t thư ng xuyên các khoá (KPuCSCA, KPrCSCA). Khoá bí m t c a ch ng ch và CRL b ng cách l y chúng t CSCA (KPrCSCA) ñư c dùng ñ ký m i ch ng PKD. M i l n làm như v y, m i qu c gia phân ch Document Verifier (CDV) do qu c gia ñó ph i thông tin m i l y ñư c ñ n cho m i DV và hay qu c gia khác qu n lý. Trong m i qu c gia IS trong th m q uy n c a nó [9]. có nhi u DV. M i DV sinh và lưu tr m t c p khoá (KPuDV, KPrDV). Khoá bí m t c a DV Hình 1. Mô hình PKI cho HCST. Trong HCST, ICAO ñã ñưa ra ba ñ c trưng c) Xác th c sinh tr c h c sinh tr c có th s d ng là nh khuôn m t, nh Nói ñ n sinh tr c h c là nói ñ n nh n d ng vân tay và nh m ng m t c a ngư i mang h và ki m tra s gi ng nhau c a con ngư i d a chi u [6]. trên ñ c ñi m sinh lý nào ñó. Các ñ c ñi m sinh tr c h c thư ng s d ng bao g m: vân tay, 2.2. C u trúc và t ch c HCST khuôn m t, m ng m t, gi ng nói, ch vi t tay, hình bàn tay… N n t ng c a lĩnh v c xác th c Nhìn chung, HCST có c u trúc gi ng h sinh tr c h c chính là tính duy nh t (ho c có ñ chi u thông thư ng, ngo i tr vi c b xung ñ ng nh t vô cùng th p) c a m t s ñ c trưng thêm chip RFID ñ lưu d li u b xung. sinh tr c mà chúng ta có.
40 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 Hình 2. C u trúc h chi u sinh tr c. D li u ñ ư c lưu trong chip RFID ph i tuân 3.1. HCST th h th nh t theo chu n ñư c ICAO khuy n ngh ñưa ra [7]. Trong th h ñ u tiên, v n ñ an ninh/an Hi n nay, c u trúc d li u logic (Logical Data toàn trong quá trình c p phát/ki m tra HCST Structure - LDS) c a chip này bao g m 16 ñư c ICAO ñ c t q ua ba bư c sau [7]: xác nhóm, ñư c gán nhãn t DG1 ñ n DG16. Trong th c th ñ ng (Passive Authentication - PA), tương lai, n u dung lư ng chip RFID ñư c tăng ki m soát truy c p cơ s (Basic Access Control lên, ba nhóm n a có th s d ng (DG17-19) - BAC), và xác th c ch ñ ng (Active ph c v lưu v t HCST và d li u visa. Authentication - AA) [6]: Các nhóm d li u này s ñư c lưu tr trên - Xác th c b ñ ng PA là cơ ch cho phép các vùng d li u c a chip RFID. V i các thành ñ u ñ c th m ñ nh li u d li u c a HCST là xác ph n d li u trong m i nhóm (trư ng thông th c hay không. Trong cơ ch này, th không tin), ñ u ñ c s nh n di n s t n t i c a chúng ph i th c hi n m t x lý nào, t ñó PA ch cho thông qua b n ñ hi n th ph n t d li u (Data phét phát hi n ñư c d li u là ñúng, còn d li u Element Presence Maps), và v trí lưu tr d ñó có ph i do sao chép, nhân b n hay không thì li u thông qua các th [10]. s không phát hi n ra. - Xác th c ch ñ ng AA là cơ ch tuỳ ch n trong th h này, ph c v vi c p hát hi n HCST 3. Các phiên b n HCST nhân b n. Yêu c u này ñư c th c hi n v i k thu t Thách ñ - Tr l i (Challenge - Quá trình ti n tri n c a HCST, cho ñ n nay, Response). N u HCST s d ng AA, chip s lưu có th chia thành ba th h tương ng v i mô hình ba phiên b n ñư c li t kê bên dư i. tr m t khoá công khai KPuAA trong DG15 và
41 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 giá tr băm c a nó trong SOD. Khoá bí m t 3.3. HCST th h th ba tương ng (KPrAA) ñư c lưu tr trong vùng nh Năm 2008, t ch c F ederal Office for bí m t c a chip. Vùng d li u này không cho Information Security (BSI-Germany) ñ ưa ra phép ñ c b i các ñ u ñ c, ch ñư c chip RFID m t tài li u miêu t các cơ ch b o m t m i cho dùng ñ ký thách ñ t ñ u ñ c. HCST [12]. Các tài li u này ñ ư c xem như cơ - Ki m soát truy c p cơ s BAC cũng là cơ s ñ phát tri n HCST th h th ba. ch t uỳ ch n, ñ m b o kênh truy n gi a ñ u Ngoài CA và TA có s t hay ñ i so v i mô ñ c và HCST ñư c an toàn. Khi ñ u ñ c truy hình trư c, th h này còn có thêm cơ ch c p vào HCST, nó cung c p khoá phiên sinh t PACE (Password Authenticated Connection t d li u trên vùng MRZ. Establishment). Chúng tôi s gi i thi u chi ti t mô hình th h này ñây: 3.2. HCST th h th hai i. PACE ñư c dùng ñ thay th BAC, cho phép chip RFID th m ñ nh ñ u ñ c có quy n Năm 2006 m t t p các chu n cho HCST truy c p vào HCST hay không. Th và ñ u ñ c ñư c ñ ưa ra b i C ng ñ ng Châu Âu (EU), g i s d ng m t m t kh u chung (π) k t h p v i là ki m soát truy c p m r ng (Extended Acess giao th c tho thu n khoá Diffie-Hellman ñ Control - EAC), và ñã ñư c công nh n b i New ñưa ra m t khoá phiên m nh. Technologies Working Group (NTWG) [11,12]. M c ñích chính c a EAC là ñ m b o Toàn b q uá trình ñư c miêu t : xác th c c chip RFID và ñ u ñ c, k t h p s 1. Chip RFID mã hoá m t s ng u nhiên nonce1 d ng các ñ c trưng sinh tr c m r ng ñ nâng (s) s d ng khoá Kπ. V i Kπ = SHA-1(π||3) cao an ninh/an toàn. Hai cơ ch xác th c chip 2. Chip RFID g i nonce(s) ñ ã mã hoá và các (Chip Authentication - CA) và xác th c ñ u ñ c tham s tĩnh trên mi n D trong giao th c tho (Terminal Authentication - TA) ñã ñ ư c b thu n khoá Diffie-Hellman (DH) ñ n cho IS. xung trong mô hình th h này cùng v i PA, 3. IS s d ng (π) ñ khôi ph c l i chu i ñã mã BAC (thay th AA th h t h nh t). hoá (s). i. Xác th c chip CA là cơ ch b t bu c, 4. RFID và IS tính các tham s mi n DH (D’) d a trên D và s. ñư c dùng ñ thay th AA. N u CA th c hi n thành công, nó s thi t l p m t c p khoá mã hoá 5. RFID sinh ra m t c p khoá (PACEKPrT, PACEKPuT) và g i cho IS khoá PACEKPuT. m i và khoá MAC ñ thay th khoá phiên sinh trong BAC. Quá trình này s d ng giao th c 6. IS sinh ra c p khoá (PACEKPrR, PACEKPu R) và g i ñ n RFID khoá PACEKPu R. tho thu n khoá Diffie-Hellman tĩnh. Khoá công khai TKPuCA dùng cho CA ñư c lưu trong 7. RFID và IS ñã có ñ thông tin chia s ñ sinh ra khoá Kseed. DG14 còn khoá bí m t TKPrCA trong vùng nh bí m t c a chip. 8. RFID và IS tính toán các khoá phiên KENC và KMAC. ii. Xác th c ñ u cu i TA là cơ ch ñư c 9. IS tính: TR = MAC(KM, (PACEPuT, D’)) và th c hi n khi mu n truy c p vào vùng d li u g i nó ñ n cho RFID th m ñ nh sinh tr c (nh y c m) c a chip RFID. ð u ñ c s 10. RFID tính: TT = MAC(KM, (PACEPuR, D’)) ch ng minh quy n truy xu t ñ n chip RFID và g i nó ñ n cho IS th m ñ nh b ng cách s d ng các ch ng ch s . [13] _______ 1 nonce = number used once
42 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 4. RFID và IS có ñ thông tin chia s ñ tính T ñó, PACE cho phép t o khoá phiên ñ c khoá Kseed. l p so v i ñ dài m t kh u và m t kh u này có 5. RFID sinh ra chu i ng u nhiên (R). Các khoá th s d ng s lư ng ký t v a ph i (ch ng h n phiên ñư c tính: KMAC = SHA-1(Kseed||R||2) 6 ký t ). và KENC = SHA-1(Kseed||R||1). ii. Xác th c ñ u ñ c TA, trong các ñ c t 6. RFID tính: TT = MAC (KMAC, (RPuKTA,D)). m i c a th h này, ph i ñ ư c th c hi n trư c 7. RFID g i R và TT ñ n cho IS. CA ñ cho phép RFID th m ñ nh li u IS có quy n truy c p ñ n các thông tin sinh tr c nh y 8. IS s d ng R ñ tính các khoá phiên t Kseed. Sau ñó nó th m ñ nh th bài xác th c TT. c m hay không. Vi c xác th c này ñ ư c ti n hành v i vi c s d ng ch ng ch s như sau: 3.4. ðánh giá, so sánh các mô hình 1. IS g i cho RFID m t chu i ch n g ch g m ch ng ch DV (CDV), và ch n g ch IS (CIS). ð ñánh giá, so sánh các th h trên, chúng ta hãy xem xét các nguy cơ x y ra v i HCST. 2. RFID xác th c các ch n g ch này s d ng khoá công khai CVCA. ð i v i th h ñ u tiên: ♦ 3. RFID l y khoá công khai c a ñ u ñ c - BAC và AA là hai cơ ch tuỳ ch n: N u (RPuK). hai cơ ch này không ñư c s d ng thì d li u 4. IS sinh ra c p khoá DH ng n h n trên mi n b ñ c tr m, chip b làm nhái là r t d x y ra. D: (RPrKTA, RPuKTA). - Khoá truy c p BAC còn y u: BAC ch là 5. IS nén khoá công khai Comp(RPuKTA) và g i m t giao th c nh m b o v HCST kh i b ñ c khoá này cùng d li u b tr thêm ATA ñ n tr m và nghe tr m. Nhưng tính b o m t c a cho RFID. toàn b giao th c l i d a trên chi u dài 6. RFID g i thách ñ ng u nhiên R ñ n IS. (entropy) c a hai khoá truy c p ñư c tính t các 7. IS s d ng khoá bí m t RPrK kí chu i thông tin trên MRZ. Chi u dài các khoá truy (IDTA||R||Comp(RPuKTA)||ATA) (v i IDTA là c p t i ña là 56 bits, như v y s r t d ñ oán. ñ nh danh c a chip RFID) và g i nó ñ n M t khi k t hù l y ñ ư c nh ng khoá này, chúng RFID. có th d dàng ñ c và l n t heo v t c a chip 8. RFID th m ñ nh tính ñúng ñ n c a ch ký và RFID trong su t th i gian s ng c a HCST. chu i s d ng khoá công khai RPuK và các tham s ñã bi t khác. - Chưa có các quy t c truy c p: Các ñ c t mà ICAO ñưa ra chưa bao g m các nguyên t c iii. Xác th c chip CA ch ñư c th c hi n cho vi c truy c p vào vùng d li u sinh tr c sau khi TA do CA c n c p khoá DH ng n h n nh y c m (vân tay, m ng m t, ..). ði u ñó d n (RPrKTA, RPuKTA) ñ ư c sinh ra trong quá trình ñ n nguy cơ t n công truy c p và l y các thông TA. Các bư c th c hi n trong CA như sau: tin r t riêng tư c a ngư i mang h chi u 1. RFID g i cho IS khoá công khai c a nó i v i th h th hai: ♦ð (TPuK). - Còn ph thu c vào BAC: EAC v n s 2. IS g i khoá công khai ng n h n R PuKTA ñã d ng BAC ñ b o v d li u sinh tr c. Như ñã ñư c sinh ra trong quá trình TA ñ n cho nói trên, các thông tin sinh tr c v n có th d RFID. dàng b t n công. 3. RFID tính Comp(RPuKTA) và d li u ATA. Nó - Nguy cơ t n công ng u nhiên b i các ñ u s so sánh giá tr Comp này v i giá tr nó ñ c: chip RFID c a HCST là lo i chip th nh n ñư c t quá trình TA.
43 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 ñ ng, do ñó không có ñ ng h . Chúng thi t l p B2: Ki m tra các ñ c tính b o m t trên th i gian hi n t i ch d a trên thông tin nh n trang h chi u gi y t hông qua các ñ c ñi m an ñư c t ñ u ñ c cu i cùng kích ho t chúng. ninh truy n th ng ñã bi t: thu n, d i quang h c, l p b o v nh… Như th thì ñ u ñ c v i ch ng ch ñã h t h n v n có th ñ c ñ ư c n i dung c a chip RFID B3: IS và RFID th c hi n quá trình PACE. (g m các thông tin sinh tr c nh y c m) n u th i Sau khi PACE thành công, IS có th ñ c các gian trên HCST chưa ñư c c p nh t trong th i thông tin trong chip ngo i tr DG3, DG4 ( nh gian dài. vân tay và m ng m t), m i thông tin trao ñ i - Nguy cơ t n công DoS: khi TA ch ñư c gi a ñ u ñ c và chip ñư c truy n thông báo b o th c hi n sau CA, r t có kh năng m t ñ u ñ c m t, mã hoá sau ñó là xác th c theo c p khoá (KENC, KMAC) có ñư c t quá trình PACE. v i ñ ng cơ nào ñó s làm tràn RFID b i các ch ng ch không h p l . Khi ñó b nh c a B4: Ti n hành quá trình TA ñ ch ng mình RFID b h n ch , nó s d ng th c hi n các ch c quy n truy c p c a ñ u ñ c ñ n ph n d li u năng ñã ñư c yêu c u. DG3, DG4. i v i mô hình HCST th h th ba: ♦ð B5: Th c hi n PA ñ ki m tra tính xác th c Th h HCST th ba ra ñ i kh c ph c ñư c và toàn v n c a các thông tin lưu trong chip h u h t các nguy cơ an ninh có th x y ra trong thông qua ki m tra ch ký trong SOD b ng khoá các th h HCST trư c ñó. Tuy nhiên v n còn công khai c a cơ quan c p h chi u. Vi c trao m t v n ñ n a xu t hi n trong mô hình này, ñó ñ i khoá thông qua ch ng ch s theo mô hình là nguy cơ t n công ng u nhiên b i các ñ u ñ c. khuy n cáo c a ICAO. B6: Ti n hành CA ñ ch ng minh ñư c tính nguyên g c c a chip ñ ng th i cung c p khoá 4. Mô hình xác th c HCST th nghi m ng phiên m nh cho truy n thông báo b o m t. d ng cơ ch PACE và EAC B7: IS ñ i sánh d li u sinh tr c thu nh n D a trên mô hình HCST th h th ba, ñư c tr c ti p t ngư i xu t trình h chi u v i chúng tôi ñã ti n hành xây d ng mô hình xác d li u sinh tr c lưu trong chip. N u quá trình th c HCST tích h p c hai cơ ch PACE và ñ i sánh thành công và k t h p v i các ch ng EAC. Mô hình này bao g m các b ư c chính th c trên, cơ q uan ki m tra h chi u có ñ ñi u sau: ki n ñ tin tư ng h chi u là xác th c và ngư i mang h chi u ñúng là con ngư i mô t trong B1: Ngư i mang h chi u xu t trình h h chi u. N u cơ quan ki m tra h chi u không chi u cho cơ quan ki m tra, cơ q uan ti n hành tri n khai EAC thì IS ñó không có quy n truy thu nh n các ñ c tính sinh tr c h c t ngư i xu t trình h chi u. c p DG3 và DG4. Thông tin sinh tr c h c duy nh t dùng ñ ñ i sánh ch là nh khuôn m t.
44 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 Hình 3. Mô hình xác th c H chi u sinh tr c.
45 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 2. IS khôi ph c l i b n rõ s = D(Kπ, z) s d n g 4.1. Ki m tra an ninh m t kh u chung π. 3. C RFID và IS cùng th c hi n các bư c sau: Công dân mang HCST xu t trình h chi u cho h th ng ki m duy t (IS). Trư c tiên HCST - Tính các tham s mi n tĩnh D’ d a trên D và s: c n ph i tr i qua m t s b ư c ki m tra an ninh D’ = Map(D,s) nghi p v truy n th ng t i các ñi m xu t/nh p - Th c hi n giao th c tho thu n khoá Diffie- c nh như dùng l p kim lo i b o v ñ t o hi u Hellman d a trên D’ và khoá chia s . ng l ng Faraday nh m ch ng kh năng ñ c K=KA(PACEKPrT,PACEKPuR,D’)= thông tin trong chip RFID ngoài ý mu n c a KA(PACEKPrR,, PACEKPuT, D’ ) ngư i mang h chi u hay dùng th y n ñ b o Trong su t quá trình tho thu n khoá DH, v b ooklet… m i b ên ph i ki m tra r ng hai khoá công khai PACEKPuR và PACEKPuT là khác nhau. 4.2. PACE T ñó c hai bên tính cá khoá phiên KMAC và PACE thi t l p các thông báo b o m t gi a KENC. chip RFID và IS, s d ng m t kh u ñơn gi n, RFID tính th xác th c TT = MAC(KM, theo các bư c như lư c ñ sau: (PACEPuR, D’)) và g i ñ n cho IS th m ñ nh. 1. Chip RFID sinh ra ng u nhiên s, mã hoá s s IS tính th xác th c TR = MAC(KM, d ng Kπ : z = E(Kπ, s) v i Kπ = SHA-1(π||3) (PACEPuT, D’)) và g i ñ n cho RFID th m và g i b n mã z cùng các tham s mi n tĩnh ñ nh. D ñ n cho IS. Hình 4. Lư c ñ PACE.
46 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 1. IS g i chu i ch ng ch ñ n chip g m CIS và 4.3. ð c vùng d li u DG1 CDV. Sau khi PACE thành công, h th ng xác 2. RFID ki m ch n g các ch n g ch này s d n g th c HCST s ti n hành ñ c vùng d li u DG1 PKCVCA và trích khoá công khai c a ñ u ñ c trong chip RFID c a HCST và so sánh v i RPuK. nh ng d li u h th ng ñã ñ c ñư c t vùng 3. IS sinh ra c p khoá DH ng n h n trên mi n MRZ. N u d li u trùng nhau thì chuy n sang D: RPrKTA, RPuKTA. Sau nó g i Comp(RPuKTA) và d li u ATA ñ n cho RFID bư c 4, n u không thì chuy n q ua b ư c ki m tra ñ c bi t. 4. RFID g i thách ñ ng u nhiên rRFID ñ n IS. 5. IS tr li b ng ch ký sIS=Sign(RPuK,IDTA||r||Comp(RPuKTA)||ATA) 4.4. Xác th c ñ u ñ c 6. Chip ki m tra ch ký nh n ñ ư c t IS b ng TA cho phép chip RFID th m ñ nh li u ñ u khoá RPuKTA ñ c có ñư c quy n truy c p vào vùng d li u Verify(RPuKTA, sIS, IDRFID || rRFID || nh y c m hay không ( nh vân tay, nh m n g Comp(RPuKTA)||ATA)) m t, …). Các bư c trong TA như sau [12]. Hình 5. Lư c ñ TA.
47 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 3) Ki m tra DV-Cert t khóa công khai 4.5. Xác th c th ñ ng PKCVCA có ñư c t PKD ho c t cơ s d li u Quá trình PA cho phép ki m tra tính xác ñư c trao ñ i tr c ti p gi a các qu c gia thông th c và toàn v n thông tin lưu trong chip RFID qua ñư ng công hàm. thông qua vi c ki m tra ch ký l ưu trong SOD 4) Ki m tra ch ký s SOD.signature s b ng khóa công khai c a cơ q uan c p h chi u. d ng khóa bí m t KPuDS c a DV. Bư c này Vi c trao ñ i khóa công khai thông qua ch ng nh m kh ng ñ nh thông tin SOLDS ñúng là ñư c ch s ñ ư c th c hi n theo mô hình khuy n cáo t o ra b i cơ quan c p h chi u và SOLDS không c a ICAO. Th c hi n thành công quá trình PA b thay ñ i. cùng v i CA trong cơ ch EAC thì có th kh ng 5) ð c các thông tin c n thi t t LDS. ñ nh ch c ch n chip trong h chi u là nguyên g c [12]. 6) Tính hàm băm cho các thông tin bư c 4, sau ñó so sánh v i SOLDS. Qua b ư c này m i 1) ð c SOD t chip RFID. kh ng ñ nh ñư c nhóm d li u là xác th c và 2) L y ch ng ch DV-Cert t SOD v a ñ c toàn v n. trên. Hình 6. Lư c ñ PA. 4) RFID và IS có ñ thông tin chia s ñ 4.6. Xác th c chip tính khoá Kseed. CA thi t l p thông báo b o m t gi a chip 5) RFID sinh ra chu i ng u nhiên (R). Các MRTD và IS d a trên c p khoá tĩnh ñ ư c lưu khoá phiên ñư c tính: KMAC = SHA- tr trên chip. CA thay th cơ ch AA mà ICAO 1(Kseed||R||2) và KENC = SHA-1(Kseed||R||1). ñã ñưa ra và cung c p các khoá phiên m nh 6) RFID tính: TT = (KMAC, MAC [12]. Các bư c ti n hành trong CA như sau: (RPuKTA,D)). 1) RFID g i cho IS khoá công khai (TPuK). RFID g i R và TT ñ n cho IS. 2) IS g i khoá công khai ng n h n RPuKTA 7) IS s d ng R ñ tính các khoá phiên t ñã ñư c sinh ra trong TA ñ n cho RFID. Kseed. Sau ñó nó th m ñ nh th bài xác th c TT. 3) RFID tính Comp(RPuKTA) và d li u ATA. Nó s so sánh giá tr Comp này v i giá tr nó nh n ñư c t TA.
48 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 Hình 7. Lư c ñ CA. 5. Th c nghi m 4.7. ð i sánh ñ c trưng sinh tr c Do ñi u ki n có h n v cơ s v t ch t, H th ng ki m duy t có quy n truy c p vào chúng tôi ñã ti n hành th nghi m mô hình trên các vùng d li u DG2, DG3, DG4 và ti n hành theo hư ng ki m th quy trình xác th c v i d ñ c các d li u sinh tr c c a ngư i s h u h li u mô ph ng. Các ph n liên quan ñ n nh ng chi u ( nh khuôn m t, d u vân tay, m ng m t) bư c c n x lý trên chip RFID s ñư c th ñư c lưu trong chip RFID. Cùng lúc ñó, b ng nghi m trong th i gian t i. các thi t b chuyên d ng, cơ quan ki m tra s Chương trình th nghi m chúng tôi phát ti n hành thu nh n các ñ c tính sinh tr c h c tri n s t p chung vào các ch c năng sau: như nh khuôn m t, vân tay, m ng m t… t công dân. Sau ñó, h th ng s th c hi n quá Phân tích vùng MRZ trên HCST. trình trích ch n ñ c trưng c a các ñ c tính sinh ð c vùng DG1 lưu trên chip và so kh p tr c, ti n hành ñ i chi u và ñ ưa ra k t q u . N u v i vùng MRZ v a ñ c trên. c ba d li u sinh tr c thu ñ ư c tr c ti p t Mô ph ng quá trình xác th c v i cơ ch ngư i dùng kh p v i d li u thu ñư c t chip PACE và EAC (bao g m c xác th c ñ u RFID thì cơ quan ki m tra xác th c có ñ ñi u ñ c và xác th c chip). ki n ñ tin tư ng h chi u ñi n t ñó là ñúng D a trên s thư vi n mã hoá như ñ n và ngư i mang h chi u là h p l [6,14]. Org.BouncyCastle, CryptoSys PKI [15], chúng tôi ñã ti n hành xây d ng chương trình cung c p các ch c năng nêu trên, ph c v quá trình ki m th mô hình xác th c.
49 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 Hình 8. Chương trình th nghi m PACE và EAC. Chương trình th nghi m thu ñư c ñã có Trong quá trình CA c n thi t có trao ñ i kh năng ti n hành các bư c ñ ã nêu trong mô ch ng ch tuy nhiên, các công vi c x lý liên hình xác th c nêu trên. C th : quan ñ n phân ph i ch ng ch do CVCA, DV và các IS th c hi n nên kh i lư ng tính toán x - Phân tích và hi n th thông tin trong vùng lý c a chip ñư c h n ch ñ n m c t i ña và có MRZ th tri n khai th c hi n ñ ư c trong th c t . - Ti n hành PACE, lưu v t k t qu . N u Ngoài ra, v i vi c s d ng h m t d a trên thành công, ti n hành ti p bư c sau. ñư ng cong Elliptic (ECC) - h m t ñư c ñánh - ð c DG1 và so kh p v i thông tin MRZ giá có ñ an toàn cao trong khi kích thư c khoá như trong mô hình ñã nêu. nh , th i gian tính toán nhanh và r t p hù h p ñ - Ti n hành xác th c ñ u ñ c và lưu/hi n th tri n khai trên các thi t b tính toán có năng l c toàn b v t các bư c ñã th c ti n trong quá x lý y u [16]. ðây là ñi u ki n tiên quy t ñ m trình này. b o hi u năng c a mô hình xác th c. - Th c hi n xác th c chip v i 7 bư c và Ngoài ra, mô hình nêu trên hoàn toàn ñáp lưu/hi n t h các v t th c hi n. ñây, quá trình ng ñư c nh ng yêu c u ñ t ra ñ i v i HCST PA t m th i chưa tích h p vào h th ng vì lý do như: ñ m b o tính chân th c (quy trình rõ thi u h t ng khoá công khai PKI. rang); tính không th nhân b n (s d ng CA và PA); tính nguyên v n và xác th c (PA và PKI), tính liên k t công dân-HCST (s d ng ba ñ c 6. ðánh giá mô hình trưng sinh tr c có ñ xác th c cao nh t); ki m Quá trình CA s d ng lư c ñ trao ñ i khoá soát ñư c truy c p (PACE và EAC) phiên ng n h n theo Diffie-Hellman và theo M c dù mô hình xác th c HCST này, ñư c gi i t hu t t a Elgamal, ph n tính toán trên chip xây d ng d a trên nh ng ñ c t trong phiên b n cũng không nhi u. Theo mô hình, chip ch c n th h th ba, kh c ph c h u h t các nguy cơ lưu tr c p khoá xác th c Deffie-Hellman tĩnh kém an toàn c a HCST th h th nh t và th nên không c n t hi t ph i trao ñ i khoá trư c ñó hai, tuy nhiên nó v n t n t i như c ñi m liên gi a IS và RFID. ðây cũng là y u t góp ph n quan ñ n v n ñ h t h n c a ñ u ñ c. ñ m b o hi u năng chung c a mô hình.
50 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 Financial Cryptography 2008, LNCS.Springer- 7. K t lu n Verlag, 2008. [2] Moses, T.: The Evolution of E-Passports: Vi c s d ng HCST ñã minh ch ng ñư c Extended Access Control - Protecting Biometric nh ng tính ưu vi t trong vi c nâng cao quá Data with Extended Access Control. Entrust. trình c p phát và ki m soát h chi u. V i nh ng (August 2008) nghiên c u và phân tích nh ng th h ñã có c a [3] Wikipedia, “Biometric Passport ”, http://en.wikipedia.org/wiki/Biometric_passport, HCST, chúng ta có th n m b t t t hơn truy c p ngày 16/12/2010 ưu/như c c a t ng th h , t ñó có ñư c nh ng [4] “Năm 2011 b t ñ u phát hành h chi u ñi n gi i p háp phù h p v i t ng lo i h chi u. M c t ”, truy c p 24/11/2010, tham kh o t i dù HCST th h th nh t v n còn ñ ư c m t s http://vneconomy.vn/20101124070255463P0C16/n am-2011-bat-dau-phat-hanh-ho-chieu-dien-tu.htm nư c s d ng, nhưng nh ng ưu ñi m n i tr i v [5] BSI, Advanced Security Mechanism for Machine an ninh/an toàn c a th h th ba cho phép Readable Travel Documents Extended Access kh ng ñ nh ñ ư c ti m năng ng d ng th c t Control (EAC). Technical Report (BSI-TR- c a mô hình này. Tuy nhiên, v n ñ v h t h n 03110) Version 2.02 Release Candidate, Bundesamt fuer Sicherheit in der c a ñ u ñ c trong th h th ba này v n còn t n Informationstechnik (BSI), 2008. t i. [6] P.T. Long, N.N. Hoa, “Mô hình xác th c h V i vi c th nghi m m t s ch c năng chi u ñi n t ”, t i H i th o Qu c gia “M t s v n ñ ch n l c trong CNTT, 06/2008, Hu , Vi t trong mô hình ñ xu t, chúng tôi hy v ng Nam. nh ng k t q u này s là ti n ñ cho nh ng [7] ICAO, Machine Readable Travel Documents: nghiên c u/ñ u tư chuyên sâu hơn, t ñó có th Document 9303, Part 1, Volumes 1 and 2, 6th xây d ng và s n xu t ñ ư c HCST cho công dân edition, 2006. Vi t Nam mà không c n ph i s d ng l i nh ng [8] ICAO, Machine Readable Travel Documents: s n ph m nư c ngoài. PKI for Machine Readable Travel Documents offering ICC Read-Only Access. Version 1.1. Trong th i gian t i, chúng tôi s tích h p 2004. v i nh ng modules xác th c các nhân t sinh http://www.icao.int/mrtd/download/technical.cfm [9] R. Nithyanand. A survey on the evolution of tr c và thi t b th c. Ngoài ra, nh ng v n ñ epassports. cryptographic protocols in như c p/qu n lý ch ng ch s ; q u n lý cơ s d Cryptology ePrint Archive, Report 2009/200, li u công dân có kèm theo nh ng ñ c trưng sinh 2009. tr c, cũng s ñư c chú tr ng trong nh ng hư ng [10] ICAO, Machine Readable Travel Documents: phát tri n ti p theo c a bài báo này. Development of a Logical Data Structure – LDS for Optional Capacity Expansion Technology, Technical report of International Civil Aviation Organization, Revision 1.7, United States, 2004. L i c m ơn [11] Federal Office for Information Security, Advanced Security Mechanisms for Machine Công trình này ñ ư c tài tr m t p h n t ñ Readable Travel Documents, Extended Access tài nghiên c u mã s QG.09.28, c p ð i h c Control (EAC), version 1.01, Technical Qu c gia Hà N i. Guideline TR-03110, BSI, Bonn, Germany, 2006. [12] Federal Office for Information Security, Advanced Security Mechanisms for Machine References Readable Travel Documents, Extended Access Control (EAC), version 2.01, Technical [1] Gildas Avoine, Kassem Kalach, and Jean- Guideline TR-03110, BSI, Bonn, Germany, Jacques Quisquater. ePassport: Securing 2009. international contacts with contactless chips. In
51 V.T.H. Minh, N.N. Hóa / Tạp chí Khoa học ĐHQGHN, Khoa học Tự nhiên và Công nghệ 27 (2011) 37-51 [13] Dagdelen and Marc Fischlin. Security analysis of [15] M t s thư vi n ñư c s d ng trong ng d n g th nghi m: BouncyCastle - the extended access control protocol for machine readable travel documents. In http://www.bouncycastle.org/csharp/ và CryptoSys Proceedings of the 13th international conference PKI - http://www.cryptosys.net/pki/pkidotnet.html on Information security (ISC'10), Mike [16] D.T. Hien, et al., “Mutual Authentication for Burmester, Gene Tsudik, Spyros Magliveras, RFID tag-reader by using the elliptic curve and Ivana Ili (Eds.). Springer-Verlag, Berlin, cryptography”, VNU Journal of Science, Natural Heidelberg, 54-68, 2010. Sciences and Technology 24 (2008) 36. [14] D.P Hanh et al, H chi u ñi n t và mô hình ñ xu t t i Vi t Nam, T p chí Khoa h c ðHQGHN, Khoa h c T nhiên và Công ngh 24 (2008) 28. Using PACE and EAC for biometric passport authentication Vu Thi Ha Minh, Nguyen Ngoc Hoa University of Engineering and Technology, VNU, 144 Xuan Thuy, Hanoi, Vietnam This paper investigates three different generations of biometric passport in order to make advantages of its security/safety. Beginning with the ICAO standards for first biometric passports (2004, used mainly the Basic Access Control - BAC), some European countries additionally used the mechanism EAC (Extended Access Control, 2006) to provide more comprehensive Tag and Reader authentication protocol. Currently, based on the EAC, the PACE (Password Authenticated Connenction Establishment, 2009) mechanism is introduced as a replacement to the Basic Access Control. By using the third generation approach, we propose a model of biometric passport authentication based on PACE and EAC. An experiment is also presented in this paper for validating this model. Keywords: biometric passport, Extended Access Control, Password Authenticated Connenction Establishment, RFID, PKI.