Google News – Google will digitale Führerscheine sicher in Android speichern.

Das Tragen einer Brieftasche ist für viele seit sie Google Pay zur Verwaltung ihrer Kreditkarten verwenden weniger geworden, aber es gibt, oder gab bisher, immer noch keine Möglichkeit, ohne seinen Führerschein irgendwo hin zu reisen. Viele verwenden ihre Brieftasche nur noch, um die wenigen Karten aufzubewahren, die sie mit sich führen müssen, und warte auf den Tag, an dem sie nur noch ihr Smartphone bei sich haben müssen, wenn sie aus dem Haus gehen. Ein digitaler Führerschein bietet daher mehrere Vorteile gegenüber der traditionellen Karte. Ihr könnt ihn nicht verlieren, könnt ihn aus der Ferne aktualisieren, und habt nicht mehr so viel Plastikkarten bei Euch. Auch könnt Ihr ihn aus der Ferne löschen, falls euer Smartphone gestohlen wird, so dass Ihr weniger wahrscheinlich Eure Identität gestohlen bekommt.

Behörden in den USA erkennen daher langsam die Vorteile eines mobilen Führerscheins, weshalb jedes Jahr mehr US-Bundesstaaten ihre Einführung testen. Dort ist die Altersverifikation besonders interessant, da die Nutzer die mobile App darauf beschränken können, einem Anbieter von Alkohol oder Tabak nur die notwendigen Informationen anzuzeigen. Andernorts arbeitet das Digital Security Unternehmen Gemalto mit Colorado, Idaho, Maryland, Washington D.C. und Wyoming zusammen, um Pilotprogramme durchzuführen, bevor digitale Führerscheinlösungen eingeführt werden. Gleichzeitig arbeitet die American Association of Motor Vehicle Administrators daran, diese neue Form der elektronischen Identifikation zu standardisieren.

Ein Beispielbild eines digitalen Führerscheins, auf das über die LA Wallet App zugegriffen wird. Quelle: Envoc

Der digitale Führerschein hat jedoch Nachteile. Man hat zwar große Kontrolle darüber, wer die eigene physische ID sehen darf, aber weniger Kontrolle darüber, wer oder was Zugriff auf die digitalisierte Form hat. Man kann zwar das Smartphone oder die App, mit einem Passwort oder einer PIN schützen, aber es besteht immer die Möglichkeit, dass das Smartphone und alle darauf befindlichen Daten gefährdet werden. Außerdem muss man sicherstellen, dass das Smartphone stets genügend Saft hat, um Android am Laufen zu halten, damit die Lizenz abgerufen werden kann. Mit der IdentityCredential-API arbeitet Google daran, diese beiden Probleme zu lösen. In einer zukünftigen Version von Android, vielleicht Android R, werden Geräte mit der richtigen Hardware in der Lage sein, Ausweisdokumente, insbesondere digitale Führerscheine, sicher aufzubewahren und sogar darauf zuzugreifen, wenn das Gerät nicht genügend Strom zum Booten von Android hat.

IdentityCredential API

Auf den ersten Blick erscheint das Commit, das von Shawn Wilden, Lead of Android’s Hardware-Supported Keystore Team, eingereicht wurde, nicht sehr interessant. Wenn man sich jedoch die Dateien IdentityCredential und IdentityCredentialStore ansieht, finden sich mehrere Verweise darauf, auf welche Arten von „Identitätsnachweisen“ sich Google bezieht. IdentityCredential verwendet beispielsweise ein Protokoll des Schlüsselaustauschs, das „von der Norm ISO18013-5 für mobile Führerscheine verwendet wird“. Darüber hinaus wird dieses Protokoll als „Grundlage für die laufende ISO-Arbeit an anderen standardisierten Identitätsnachweisen“ verwendet. Obwohl es unwahrscheinlich ist, dass wir in naher Zukunft mobile Reisepässe sehen werden, ist klar, dass diese API nicht nur für den mobilen Führerschein gedacht ist.

Google geht in dem Commit auch auf die Arten von Signierschlüsseln ein, die von der IdentityCredential-API unterstützt werden. Es gibt zwei Arten der Datenauthentifizierung: statische und dynamische. Statische Authentifizierung beinhaltet Schlüssel, die von einer ausstellenden Behörde erstellt wurden, während eine dynamische Authentifizierung Schlüssel beinhaltet, die von der Sicherheitshardware des Geräts erstellt wurden – wie z.B. der Titan M im Pixel 3 und Pixel 3 XL. Der Vorteil der dynamischen Authentifizierung besteht darin, dass es für einen Angreifer schwieriger ist, die sichere Hardware zu kompromittieren, um die Anmeldeinformationen auf ein anderes Gerät zu kopieren. Darüber hinaus erschwert die dynamische Authentifizierung die Verknüpfung einer bestimmten Berechtigung mit den Daten eines Benutzers.

Eine Android-App kann einem Leser ein IdentityCredential präsentieren, indem sie den Benutzer auffordert, eine drahtlose Verbindung über NFC herzustellen. Es wird empfohlen, diese Transaktionen durch die Beantragung von Benutzerberechtigungen in Form eines Dialog- und/oder Passwortschutzes zu schützen.

Wenn ein Gerät über die unterstützte Hardware verfügt, steht der Modus „Direktzugriff“ zur Verfügung, damit ein IdentityCredential angezeigt werden kann, auch wenn nicht genügend Strom vorhanden ist, um Android am Laufen zu halten. Dies ist nur möglich, wenn das Gerät über eine diskrete, sichere Hardware und genügend Strom verfügt, um diese Hardware zu betreiben und die Anmeldeinformationen über NFC zu teilen. Geräte wie das Google Pixel 2 und Google Pixel 3 sollten sich qualifizieren, da beide Geräte über manipulationssichere Sicherheitsmodule verfügen, die vom Haupt-SoC getrennt sind.

Wenn das Gerät keine diskrete, sichere CPU hat, kann es die IdentityCredential-API dennoch unterstützen, jedoch ohne Unterstützung für direkten Zugriff. Wenn der Credential Store nur in der Software implementiert ist, kann er durch einen Angriff auf den Kernel jedoch gefährdet werden. Wenn der Credential Store wiederum im TEE implementiert ist, kann er durch Seitenkanalangriffe auf die CPU wie Meltdown und Spectre beeinträchtigt werden. Ist der Berechtigungsspeicher in einer separaten CPU implementiert ist, die im gleichen Paket wie die Haupt-CPU eingebettet ist, ist er hingegen resistent gegen physische Hardwareangriffe, kann aber nicht mit Strom versorgt werden, ohne auch die Haupt-CPU zu betreiben.

Die Empfindlichkeit des Dokuments bestimmt, ob eine oder mehrere dieser Implementierungen von Identitätsnachweisen unterstützt werden. Entwickler können die Sicherheitszertifizierung der Implementierung des Identity Credential Store überprüfen. Wie bereits erwähnt, beabsichtigt Google, diese API für jede standardisierte Dokumentart zu verwenden, obwohl sie beispielsweise den mobilen Führerschein ISO 18013 aufführt. Der Dokumenttyp ist notwendig, damit die Sicherheitshardware weiß, um welche Art von Berechtigung es sich handelt, falls der Direktzugriffsmodus unterstützt werden soll, und damit Apps wissen dürfen, welche Art von Dokument ein Leser anfordert.

Das sind alle Informationen, die bisher über diese neue API bekannt sind. Da wir so kurz vor der Veröffentlichung des Android Q Release Candidate stehen, glaube ich nicht, dass wir die sichere Speicherung von mobilen Führerscheinen in Android Q sehen werden. Diese API könnte jedoch bis zum Rollout von Android R im Jahr 2020 fertig sein. Das Google Pixel 2, Google Pixel 3 und das kommende Google Pixel 4 sollten diese API mit Direktzugriffsmodus in Android R jedoch unterstützen, dank der notwendigen diskreten sicheren CPU.

Werbeanzeigen

Kommentar verfassen

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden /  Ändern )

Google Foto

Du kommentierst mit Deinem Google-Konto. Abmelden /  Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden /  Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden /  Ändern )

Verbinde mit %s

This site uses Akismet to reduce spam. Learn how your comment data is processed.

Create a website or blog at WordPress.com

Nach oben ↑

Sascha Vilz

Langenfeld, Kreis Mettmann, NRW, Deutschland, Europa, und die Welt

Caschys Blog

Smart Home, Software, Hardware, Mobile Computing & Co

nadjasgeeky.wordpress.com/

Welcome to all the geekful things.

Kreativ Blog - DIY & Gadgets

DIY Blog aus Österreich für kreative Projekte und smarte Produkte

USCarlos

Coffee, Tech, Family, and Fun

Was (keine) Freude Macht

Weniger ist mehr

Apple4youngsters

All about Technic

Apple Support Service

News, Support, Tipps und Tricks

Smartphone Guru

Welcome to my Blog about Android, Tech and the Digitized World!

%d Bloggern gefällt das: