Erişim Kontrolü

RFID çipi, ilgili erişim kontrol mekanizmaları tarafından yetkisiz erişime karşı korunur.

Herhangi bir erişim kontrol mekanizmasının temeli, okuyucu ve çip arasında güvenli bir iletişim kanalı kurmaktır (Güvenlik Mesajlaşması, SM). Aynı zamanda, gönderilecek veriler ön şifrelemeye, gönderilmiş veriler ise şifre çözme işlemine tabi tutulur.

Veri korumaya ek olarak, erişim kontrol mekanizması, belirtilen etkili terminal türüne ve devredilen erişim haklarına bağlı olarak, terminal tarafından, bilgilendirici veya işlevsel çip yeteneğinin kullanımını kısıtlamaya izin verir.

Belgenin kendisinden (MRZ, fotoğraf vb.) nispeten kolay elde edilen veriler, Temel Erişim Kontrolü/Koruma (BAC/BAP) ile korunur.

BAC/BAP, basılı verilerin (MRZ, barkodlar, metin alanları) optik olarak okunmasını sağlayan okuyucunun, belgeye fiziksel erişimi olup olmadığını kontrol eder.

Daha hassas kişisel veriler (parmak izleri, iris vb.) ise ayrıca, genişletilmiş erişim kontrol mekanizması (Genişletilmiş Erişim Kontrolü/Koruma, EAC/EAP) ile korunur. Kullanımlarına yalnızca yetkili terminallerce izin verilir, bu terminaller haklarını başarılı TA prosedürüyle doğrular. Genişletilmiş Erişim Kontrolü (EAC), ek biyometrilere yetkisiz erişimi ve ek biyometrilerin kopyalanmasını önler.

Passive Authentication(Pasif Kimlik Doğrulama)

Pasif Kimlik Doğrulama (PKD), SOD ve LDS içeriğinin gerçek ve değiştirilmemiş olduğunu kanıtlar.

PKD, RFID çipinin belleğinde saklanan verilerin kimliğini doğrulamak için dijital imza mekanizmasını kullanır. RFID çipinin belleğinden okunan imzalı verilerde herhangi bir değişikliğin varlığını tespit etmeyi sağlar ancak bunların tamamen kopyalanmasına (RFID çipinin klonlanması) karşı koruma sağlamaz.

Dijital imza mekanizmasını kullanmak için bir kriptografik anahtar çifti gereklidir. Özel anahtar dijital imzayı hesaplamak için kullanılır ve yalnızca imza atan kişi tarafından kullanılabilir; genel anahtar ise imza değerini doğrulamak için kullanılır ve bir sertifika olarak dağıtılır (dijital imza mekanizmasıyla da korunan özel bir veri nesnesi).

(https://sbdepo.tckk.gov.tr/) indirdiğimiz sertifikalara bu link üzerinden ulaşabilirsiniz.

Pasif kimlik doğrulama prosedürü kontrol edilecek iki temel aşamadan oluşur:

• Belge güvenlik nesnesinin kimliği.
• Belge veri bilgilendirme gruplarının bütünlüğü.

Çip içersindeki veriler aşağıdaki gibidir:

• DG1 (MRZ içeriği)
• DG2 (fotoğraf)
• DG11 (ek biyografik bilgiler)
• SOD (her veri grubunun hashli değerini, hashli değerler üzerindeki imzayı ve Belge İmza Sertifikasını içerir)
• DG15 (Aktif Kimlik Doğrulama genel anahtarı bilgilerini içerir)

Yapılan detaylı kontroller sonucunda:

• Her Veri Grubu kriptografik olarak işlenir ve SOD’deki karşılık gelen hashli değer ile karşılaştırılır.
• Tüm hashli değerler eşleşirse, SOD’deki hashli değerlerin imzası, Belge İmza Sertifikası (DSC) kullanılarak doğrulanır. Belge İmza Sertifikasının SOD içerisinde olduğu varsayılır.
• İmza geçerse, Belge İmza Sertifikası, Ülke İmza Sertifika Kurumu (CSCA) aracılığıyla doğrulanır.
• DSC doğrulanırsa, Sertifika İptal Listesi (CRL), DSC ve CSCA’nın her ikisinin de hala geçerli olup olmadığını kontrol etmek için kullanılır.

Active Authentication(Aktif Kimlik Doğrulama)

Aktif Kimlik Doğrulama (AKD), bir RFID çipinin gerçekliğini belirlemek için “soru-cevap” mekanizmasını kullanır. Çalışması için bir kriptografik anahtar çifti gereklidir:

• Özel anahtar – RFID çipinin korunan belleğinde saklanır ve okumaya erişilemez.
• Genel anahtar – ePasaport uygulamasının özel bir bilgi veri grubu olan DG15’te saklanır (diğer uygulamalar için AKD sağlanmaz).

Aktif Kimlik Doğrulama sürecinde, terminal RFID çipine rastgele seçilmiş bir veri parçası (“soru”) gönderir. Çip, özel anahtarı kullanarak verinin dijital imzasını oluşturur ve değerini (“cevap”) terminale geri gönderir. Terminal, genel anahtarı kullanarak dijital imzanın geçerliliğini doğrular ayrıca çip tarafından kullanılan özel anahtarın ve dolayısıyla çipin kendi kimliğini de doğrular.

Aktif Kimlik Doğrulama, SOD’nin kopyalanmasını önler ve bunun gerçek temasız entegre devre (IC)  olarak okunduğunu ve temasız IC’nin değiştirilmediğini kanıtlar. DG15’in varlığı, Aktif Kimlik Doğrulama desteğini gösterir.