Dokumente sicher prüfen

Transkript

1 Dokumente sicher prüfen Verlässliche Dokumentenprüfung für effiziente Kontrollabläufe Autor: Andreas Rach Product Manager, Verification Solutions Bundesdruckerei GmbH Oranienstrasse Berlin, Germany Die Ausweiskontrolle an der Grenze soll möglichst schnell und komfortabel stattfinden und keine langen Wartezeiten für die Reisenden verursachen. Noch wichtiger aber ist, dass dieser Vorgang so sicher wie möglich abläuft. Moderne Dokumentenprüfsysteme unterstützen die Grenzbeamten bei ihrer Arbeit. Sie helfen, echte von gefälschten Ausweispapieren zu unterscheiden und schnell entscheiden zu können, ob Ausweis und Person zusammengehören. Als international anerkanntes Ausweisdokument nimmt der Reisepass überall auf der Welt eine Schlüsselfunktion in der Identitätskontrolle ein. Die verlässliche Prüfung dieses Dokuments insbesondere bei Grenzüberschreitungen gilt als wichtigstes Instrument zur Feststellung bzw. Bestätigung der Identität einer Person. Dabei wird die Echtheit und Gültigkeit der Dokumente geprüft, der Dokumenteninhaber anhand der personenbezogenen Daten identifiziert und ggf. weiteren Kontrollprozessen unterzogen. Diese Aufgabe setzt selbst bei klassischen, das heißt nicht-elektronischen Ausweispapieren ein enormes Detailwissen voraus. Dies liegt nicht zuletzt an der enormen Anzahl der verwendeten internationalen Dokumente und der Vielfalt an möglichen Personalisierungsmethoden und Sicherheitsmerkmalen. Neben den bekannten Dokumenten mit meist drucktechnischen Sicherheitselementen werden heute in vielen Ländern der Welt zunehmend Dokumente ausgestellt, die zusätzlich e- lektronische Sicherheitsmerkmale für den verlässlichen Identitätsschutz beinhalten. In der Regel basieren diese auf direkt ins Dokument integrierten Computerchips, auf denen neben den persönlichen Informationen auch ein für biometrische Verfahren verwendbares Gesichtsbild und optional die digitalisierten Daten zweier Fingerabdrücke digital signiert abgelegt sind. 1

2 Moderne Dokumententypen erfordern neue Prüfsysteme Aktuell geben 89 Staaten chipbasierte Reisedokumente aus. Fast alle diese Dokumente folgen in ihrer technischen Spezifikation den Empfehlungen der International Civil Aviation Organization (ICAO 1 ) und verwenden das Verfahren der Basic Access Control (BAC) zur Regelung des Zugriffs auf die gespeicherten Daten. In den epässen werden oft neben den persönlichen Daten und dem Gesichtsbild des Passinhabers zusätzlich die Bilder von zwei Fingerabdrücken gespeichert. Um diese zusätzlichen Identitätsmerkmale verlässlich zu schützen, ist in allen EU-Mitgliedsstaaten die Integration des Extended Access Control (EAC)- Protokolls vorgeschrieben. Mit diesem Zugriffsschutz auf Basis von Berechtigungszertifikaten können nur staatlich autorisierte Lesegeräte auf die als besonders schützenswert betrachteten Fingerabdruckdaten zugreifen. Die digitalen Signaturen der personalisierten Chipdaten müssen bei der Dokumentenprüfung entsprechend einer Empfehlung der ICAO im sogenannten Passive-Authentication-Verfahren (PA) auf Authentizität und eventuelle Manipulation geprüft werden. Auch hierfür sind Zertifikate notwendig. Diese müssen vom Dokumentenaussteller und seiner autorisierenden staatlichen Instanz selbst signiert sein und dem Prüfsystem vorliegen etwa über die Verbindung zu einer diese Zertifikate vorhaltenden Public Key-Infrastruktur (PKI). Stand in den vergangenen Jahren die Entwicklung elektronischer Dokumente im Fokus vieler Behörden und Dokumentenhersteller, so ist es heute der Aufbau der für die elektronische Dokumentenprüfung benötigten Infrastrukturen. Elektronische Identitätsdokumente eröffnen neue zuverlässige Prüfmöglichkeiten Bei der Echtheitsprüfung von Dokumenten hat die Signaturprüfung des integrierten Chips große Aussagekraft im Vergleich zu einer einfachen Plausibilitätsprüfung der maschinenlesbaren Zeilen des Dokuments. Voraussetzung für eine Aussage über die Authentizität der enthaltenen Personendaten ist neben der Prüfung der Datenkonsistenz im Chip auch die Prüfung der Chip-Signatur mit der gesamten Vertrauenskette bis hin zu ihrem sogenannten nationalen Anker. Das heißt: Es muss geprüft werden, ob die Chip-Signatur von einem Dokumentenhersteller signiert wurde, dessen Signatur wiederum staatlich signiert wurde. Eine internationale Infrastruktur für die Bereitstellung vertrauenswürdiger Zertifikate zur Signaturprüfung weltweiter Chip-Dokumente 1 International Civil Aviation Organization. Die ICAO definiert in der Spezifikation Doc 9303 die Anforderungen an Reisedokumente für die teilnehmenden Staaten. 2

3 wurde bereits aufgebaut das ICAO Public Key Directory (PKD) 2. Aktuell (November 2010) sind 21 teilnehmende Staaten Mitglied des PKD, Tendenz steigend. Die ausstellenden Staaten wissen, dass die Einführung elektronischer Ausweisdokumente der erste Schritt auf dem Weg zu einer größeren Dokumentensicherheit ist. Darüber hinaus müssen die Investitionen in eine für das jeweilige Land geeignete Infrastruktur für die Dokumentenprüfung getätigt werden. Optische und elektronische Prüfungen: Die Kombination ist entscheidend Optische Sicherheitsmerkmale spielen schon immer eine wesentliche Rolle und werden ihre Bedeutung auch in Zukunft beim Einsatz von Chips in Dokumenten nicht verlieren. Eine optische Prüfung ist auch dann möglich wenn kein Chip vorhanden ist, der Chip nicht lesbar ist oder die Zertifikatskette nicht überprüft werden kann. Die Zertifikatskette kann nur dann überprüft werden, wenn die Public Key-Infrastruktur (PKI) verfügbar ist und die relevanten Zertifikate dort vorliegen. Ein Dokument gilt auch als gültiger Identitätsnachweis, wenn bei einer Personenprüfung der Zugriff auf den Chip nicht möglich ist. Während die Anzahl der Länder, die elektronische Dokumente ausstellen, stark wächst, gibt es doch nach wie vor eine Mehrheit der ICAO-Mitgliedsstaaten die Pässe mit optischen Merkmalen ohne Chip ausgeben. Und weil Identitätsdokumente häufig zehn Jahre gültig sind, wird auf lange Zeit ein großer Bestand an Dokumenten ohne Chip vorhanden sein, welche ausschließlich anhand ihrer optisch sichtbaren Sicherheitsmerkmale geprüft werden müssen. Ist jedoch ein Chip vorhanden, so ergibt sich eine deutliche Erhöhung der Dokumentensicherheit durch den Vergleich der Chipdaten mit den optischen Personendaten. Erst eine umfassende kombinierte Prüfung der optischen und elektronischen Sicherheitsmerkmale ergibt damit die beste und verlässlichste Aussage über die Echtheit eines Dokumentes. Dokumentenvielfalt sicher beherrschen Neben den elektronischen Pässen sind weltweit zahlreiche weitere Reisedokumente im Umlauf. So geben derzeit über 170 Länder ID-Karten, Visa-Dokumente oder klassische Reisepässe mit einer maschinenlesbaren Zone (MLZ) aus, die sich an den ICAO-Richtlinien orien- 2 Die ICAO Website für das PKD: 3

4 tieren. In der Vergangenheit wurde viel über die Herausforderungen beim zuverlässigen Lesen der MLZ berichtet 3. Die Integration einer einheitlich aufgebauten MLZ bringt erhebliche Vorteile bei Bearbeitungsgeschwindigkeit und Dokumenterkennung. Im Detail finden sich jedoch bei manchen Dokumenten Abweichungen von der Spezifikation der ICAO, die jedoch von modernen Prüfsystemen berücksichtigt werden. Damit wird eine zuverlässige Dokumentenprüfung mit automatischer Unterstützung ermöglicht. Beispiel eines sich noch im Umlauf befindenden Dokuments bei dem die Gesamtprüfziffer nicht der Empfehlung der ICAO Doc 9303 entspricht Beispiel eines sich noch im Umlauf befindenden Dokuments bei dem die Anzahl der Zeichen pro MLZ-Zeile nicht der Empfehlung der ICAO Doc 9303 entspricht 3 Keesing Journal, Issue 24, 2007 OCR-B Machine Readability Factors of influence by Mike Ellis 4

5 Andere Sicherheitsmerkmale sind weit weniger standardisiert und erfordern entsprechendes Detailwissen, um Nachbildungen und Manipulationen zu erkennen. So stellt die ICAO- Richtlinie Doc 9303 einen Leitfaden für die Absicherung der Authentizität der Dokumente mit verschiedenen Merkmalen. Die Ausprägung dieser Merkmale wie Position und Größenangaben sind hier soweit spezifiziert, dass den Dokumentenherstellern kreativer Freiraum bei der Konzeption ihrer Dokumente bleibt, um eine bunte Vielfalt von Dokumenten zu schaffen und sich voneinander abzuheben. Genaue Eigenschaften von optischen Sicherheitsmerkmalen obliegen den einzelnen Staaten sowie den Technologien und dem Know-how der Dokumentenhersteller. So sind produktionsbedingte Schwankungen in Positionen, Absorbtionsintensitäten, Ausprägungen, Kontrasten etc. innerhalb von Dokumententypen und -serien stark variabel. Detailwissen deckt Fälschungen auf An dieser Stelle setzen moderne Prüfsysteme ein. Denn obgleich die zuständigen Kontrollbehörden über weitreichende Informationsmaterialien zur Dokumentenprüfung verfügen, mangelt es in den konkreten Prüfsituationen oft an Zeit, diese umfassend zu nutzen. Gleichzeitig werden Fälscher zunehmend zu Experten und nutzen die allgemeine Technologieentwicklung verstärkt zum kriminellen Identitätsmissbrauch. Die moderne Dokumentenprüfung erfordert ein konsequentes Umdenken: Um einem Prüfer mehr Zeit für umfassende Plausibilitätsprüfungen und das so genannte Profiling zu geben, sollten leistungsfähige Unterstützungssysteme deutlich effizientere Prozesse in der Dokumenten- und Personenkontrolle ermöglichen. So können beispielsweise regelmäßig aktualisierte, wissensbasierte Systeme eine kontinuierliche Vorabprüfung der internationalen Identitätsdokumente vollziehen. Sie liefern dem Prüfer schnell wertvolle Informationen über Sicherheitsmerkmale und bieten ihm damit Entscheidungshilfen für die Echtheitsprüfung des Dokuments. Gleichzeitig werden nationale und internationale Fahndungslisten abgeglichen und die Ergebnisse dem Beamten präsentiert. Der Zeitgewinn durch effizientere Prozesse führt dazu, dass bei Auffälligkeiten des Dokuments dem Beamten mehr Zeit zur Verfügung steht und der Dokumenteninhaber daraufhin genauer überprüft werden kann. Stärken und Schwächen aktueller Dokumentenprüfsysteme Um eine aussagekräftige, maschinell unterstützte Dokumentenprüfung vornehmen zu können, werden zunächst detaillierte Ausgangsdaten über das zu prüfende Dokument benötigt. 5

6 Entsprechend diesen kann ein Vergleich zwischen dem Prüfobjekt und den im Prüfsystem hinterlegten Eigenschaften erfolgen. Durchzugsleser erfassen die MLZ schnell und sind bei stabilen Datenseiten aus verschiedenen Plastikwerkstoffen gut handhabbar, sie liefern aber keine Informationen über die optisch sichtbaren Sicherheitsmerkmale. Nur in Kombination mit einem ISO Leser lassen sich die im Chip enthaltenen Daten lesen und prüfen. Deswegen sind an vielen Grenzen zunehmend nur noch Ganzseitenleser anzutreffen, die ein Weißlicht-, Infrarot- und ein UV-A-Bild der Datenseite des Dokuments aufnehmen und die elektronischen Daten im gleichen Arbeitsschritt auslesen. Zusätzlich zur MLZ-Prüfung werden die Aufnahmen dem Beamten ü- bersichtlich angezeigt und es wird ein Dokumentenpapiertest durchgeführt. Noch einen Schritt weiter sind die Staaten, die wissensbasierte Dokumentenprüfsysteme im Einsatz haben, die individuelle Merkmale der einzelnen Identitätsdokumente kennen und automatisch prüfen. Sie identifizieren das vorgelegte Dokument anhand der aufgenommenen Bilder und führen Mustervergleiche von Sicherheitsmerkmalen in verschiedenen Beleuchtungen durch. Abbildung 3: UV-Merkmale eines Musterpasses aufgenommen im Oktober

7 Abbildung 4: Trotz längerer Belichtungszeit ist die Degradierung der UV-Merkmale in der Aufnahme vom November 2010 deutlich zu erkennen Die Systeme, die derzeit am Markt verfügbar sind, unterscheiden sich in der Anzahl der bekannten Dokumente, in der Anzahl und den logischen Verknüpfungen der prüfbaren Merkmale und durch die Berücksichtigung von Toleranzen bei der Dokumentenproduktion sowie von Alterungserscheinungen des Ausweisdokuments. Dutzende Einzelprüfungen werden automatisch zu einem Gesamtergebnis konsolidiert und das integrierte Dokumentenwissen liefert Abbildungen von Musterdokumenten zum schnellen visuellen Vergleich. Dabei spielt die Qualität der Prüfung zusammen mit der Qualität der hinterlegten Informationen eine entscheidende Rolle. Ein System mit einer ausreichend niedrigen Falschakzeptanzrate (FAR) 4 unterstützt den Beamten und ein System mit einer ausreichend niedrigen Falschabweisungsrate (FRR) 5 schafft die notwendige Akzeptanz beim Nutzer. Um das zu erreichen müssen das zugrundeliegende Dokumentenwissen und die Prüfungen immer aktuell und gut abgestimmt sein. Moderne Prüfsysteme bieten dafür eine häufige oft monatliche oder noch häufigere Aktualisierung auf Basis neuer Erkenntnisse von neuen Dokumenten, Produktionsänderungen und im Umlauf befindlichen Fälschungen. Diese Dokumentenprüfsysteme erleichtern durch das zur Verfügung gestellte Detailwissen den einzelnen Beamten die Arbeit erheblich, bieten ein Höchstmaß an Entscheidungsunter- 4 Falsche Akzeptanz: Ein falsches oder verfälschtes Dokument wird nicht bemängelt. 5 Falsche Zurückweisung: Ein echtes Dokument wird bemängelt. 7

8 stützung bei der Dokumentkontrolle und schaffen durch die Entlastung von Routinearbeiten den Freiraum für Prüfungen, die einzig der Mensch durchführen kann. Normierung und Standards Wissens- bzw. regelbasierende Dokumentenprüfsysteme unterliegen kaum Normen und Standards. Die einzelnen Prüfungen ergeben sich aus den Dokumentenspezifikationen und den hierfür formulierten Richtlinien. So ist die MLZ-Prüfung mit ihren integrierten Prüfziffern die am genauesten geregelte und damit am besten vergleichbare Prüfung. Dies ist darauf zurückzuführen, dass die MLZ nicht als Sicherheitsmerkmal, sondern als ein für die maschinelle Auswertung des Dokuments definierter Bereich konzipiert wurde. Nichtsdestotrotz können gut prüfbare Regelabweichungen oft ein Indiz für eine Fälschung oder Verfälschung sein. Weiterführende Normierungen sind sinnvoll und befinden sich in der Diskussion bei den zuständigen Gremien. Gute Normen und Standards fördern die Vergleichbarkeit von Geräten, Software und ganzen Systemen. Bisher ist es notwendig, für die Auswahl von neuen Systemen immer wieder umfangreiche Vergleiche und Tests durchzuführen, um die Anforderungen an und die Eignung von Dokumentenprüfsystemen besser festlegen zu können. Bekannte und genormte Prüfverfahren haben folglich auch bekannte Schwachstellen, welche von intelligenten Prüfsystemen abgedeckt werden und damit kein Angriffspotential bieten. Ein Fälscher würde versuchen normkonform zu fälschen, um nicht aufzufallen. Gute Prüfsysteme gehen dagegen immer über den state of the art hinaus. Kreativität und Variationen in der Systemausprägung sind also weiterhin gefordert und notwendig. 8