De eID

De eID
24-02-2012
ON5UK
24-02-2012
[email protected]
1
Ontstaan van de eID
Fedict: promotie e-gov
+
Binnenlandse Zaken: veiligheid Identiteitskaart
=
2003: eerste eID in 11 pilootgemeenten
Eind 2004: nationale uitrol
Eind 2009: elke Belg heeft zijn eID
24-02-2012
[email protected]
2
Waartoe dient de eID?
1)
2)
3)
4)
5)
Visuele identificatie
Digitale identificatie: uitlezen van de
gegevens in de chip
Uw identiteit bewijzen (authenticatie)
Digitaal tekenen van documenten
Reisdocument
24-02-2012
[email protected]
3
Beveiliging met symmetrische sleutels
ON4BOB
ON7ALICE
DL1HELGA
F2LOUISE
- Op basis van een gedeeld geheim
- Aantal sleutels=n(n-1)/2
- Elk lid houdt (n-1) sleutels bij
24-02-2012
[email protected]
4
PKI
-
(Public Key Infrastructure)
Elk lid ontvangt een sleutelpaar: 1 publieke + 1 geheime sleutel. De ene kan niet uit
de andere afgeleid worden.
Aantal sleutels=2n
Elk lid houdt 1 sleutel bij
Wie verzekert mij dat de publieke sleutel die van ON7ALICE is? 
certifiëringsorganisme (CA)
24-02-2012
[email protected]
5
Productie van de eID (1)
5
4
10a
6
Rijksregister
7
8
9
3
10b PIN+PUK2
Gemeente
0
1
2
11
12
24-02-2012
[email protected]
6
Productie van de eID (2)
0) Burger ontvangt uitnodiging of neemt initiatief
1) Burger naar gemeentehuis met foto.
2) “Face to face” identificatie. Plaatsen handtekeningen op
basisdocument.
3,4) Zetes ontvangt aanvraag aanmaak eID via RR. Zetes ontvangt
basisdocument via G4.
5) Zetes start productie kaart
6) Zetes stuurt PUK1 naar RR
7) Zetes vraagt 2 certificaten aan Certipost
8) Certipost maakt certificaten voor Zetes en doet een update van de CRL
9) Zetes zet certificaten op de kaart
10a) Zetes zet alle andere info op de kaart, deactiveert de kaart en stuurt
ze naar gemeentehuis (G4)
10b) Zetes stuurt PIN + PUK2 naar burger
11) Burger ontvangt uitnodiging om kaart op te halen
12) Ambtenaar start activatieprocedure: aanmaak private sleutels, update
CRL door CA
24-02-2012
[email protected]
7
Het uiterlijke van de eID (1)
Naam, voornamen, geboorteplaats en –datum,
geslacht, kaartnr., geldigheid, handtekening
houder, foto
24-02-2012
[email protected]
8
Het uiterlijke van de eID (2)
Rijkregisternr., plaats van afgifte, handtekening van de
gemachtigde ambtenaar, MRZ (Machine Readable Zone)
NIET: adres, beroep, burgerlijke stand
24-02-2012
[email protected]
9
Het uiterlijke van de eID (3)
Beveiligingselementen
1) Rainbow and guilloche printing
2) Changeable Laser image
3) Optical variable ink
4) Alphagram
5) Reliëf en UV print
6) Laser engraving
Zie https://www.checkdoc.be
24-02-2012
[email protected]
10
Wat heb je nodig?
- PC
- Kaartlezer (met of zonder klavier)
- Zie www.cardreaders.be
- Middleware (laat toepassingen communiceren met de
eID)
- Zie eID.belgium.be
DEMO EID-VIEWER
24-02-2012
[email protected]
11
De chip
CPU: 16 bits
Crypto processor (RSA, DES)
ROM: 136 KB met OS
EEPROM:32 KB met Belpic applet en data (sleutels, certificaten, ID)
RAM: 5 KB
Alle gegevens die uiterlijk zichtbaar zijn + adres
Data getekend door RR
Geen andere gegevens op de kaart (kaart is sleutel voor toegang tot
andere DB)
Het gebruik van de private sleutels kan enkel via de PIN-code
De private sleutels worden aangemaakt bij de activatie van de kaart. Ze
verlaten nooit de kaart
Geen encryptiesleutel
24-02-2012
[email protected]
12
Hash?
Algoritme (MD4, MD5, SHA1…) waarmee men een verkorte versie
van het document maakt.
- Eenvoudig om aan te maken
- Verschillende documenten  verschillende hashes
- Omgekeerde bewerking uitgesloten
- Elke wijziging van het document wijzigt de hash
- Hash gemaakt door de toepassing
24-02-2012
[email protected]
13
Principe van de digitale
handtekening (1)
24-02-2012
[email protected]
14
Principe van de digitale
handtekening (2)
BELANGRIJK
1) Integriteit, authenticatie en onloochenbaarheid OK,
vertrouwelijkheid NOK (encryptie).
2) De tekst, digitale handtekening en certificaat moeten samen
bewaard blijven. Bij uitprinten verliest de ondertekening zijn
geldigheid. Bijzondere maatregelen om de geldigheid van de
handtekening in de tijd te kunnen aantonen.
3) De status van het certificaat van de afzender moet
gecontroleerd worden!
4) WISIWYS?
5) Geldigheid op lange termijn?
24-02-2012
[email protected]
15
Toepassingen
Browsers, mailprogramma’s, tekstverwerkers,
rekenbladprogramma’s enz. moeten geconfigureerd worden.
Verloopt meestal automatisch via QuickInstall, maar niet
altijd en niet voor alle programma’s.
Zie:
http://eid.belgium.be/nl/je_eid_gebruiken/hulp_nodig_/probl
emen_met_de_installatie/
24-02-2012
[email protected]
16
Demo authenticatie
ON5UK
2
eID/
middleware
3
4
Browser
1
5
Website RR
1
6
1) Website stuurt “challenge” naar browser
2) Browser activeert de middleware. ON4BOB geeft pincode.
3) Browser zend hash van challenge naar eID. eID encrypteert hash
met private sleutel
4) eID zendt handtekening + certificaat naar browser
5) Browser stuurt handtekening + certificaat naar website
6) Website maakt hash van challenge, decrypteert handtekening
met publieke sleutel en vergelijkt hashes.
24-02-2012
[email protected]
17
Demo Thunderbird,
Word,Sign
-
Gebruik voor mails het
authenticatiecertificaat !
Mail: de handtekening gaat verloren bij
een forward.
Word: de handtekening gaat verloren bij
elke wijziging, kopie, …
Controleer bij ontvangst de geldigheid van
het certificaat bij de certificator:
http://repository.eid.belgium.be
24-02-2012
[email protected]
18
Identiteitsfraude
-
Een van de snelst groeiende misdaden
Uw identiteit is geld waard
Behandel uw IK en uw pin-code zoals uw bankkaart
Jaarlijks 100.000 IK verloren en 50.000 gestolen.
Wat te doen bij verlies of diefstal:
24-02-2012
[email protected]
19
Checkdoc
Controleer zelf de geldigheid van een eID,
paspoort, …
https//www.checkdoc.be
24-02-2012
[email protected]
20
Evolutie

Geldigheid eID 5  10 jaar

Integratie SIS kaart (barcode)

EEPROM:32  64 KB
24-02-2012
[email protected]
21
Links
http://www.ibz.rrn.fgov.be/
http://repository.eid.belgium.be/
http://eid.belgium.be/
https://www.docstop.be/DocStop/
https://www.checkdoc.be/CheckDoc/
https://securehomes.esat.kuleuven.be/~decockd/wiki/bin/vi
ew.cgi/Main/WebHome
http://www.cardreaders.be/nl/default.htm
http://eid.startpagina.be/
https://sign.belgium.be/index.action
24-02-2012
[email protected]
22