Ce que prouve la lecture d'une puce de passeport électronique, et ce qu'elle ne peut pas prouver.
Charles Archibong, Cofondateur
La lecture de la puce d'un passeport électronique permet de prouver que les données ont été signées par l'État émetteur et n'ont pas été altérées, et, grâce à l'authentification active, que la puce n'est pas une copie. Elle ne permet cependant pas de prouver que le titulaire du passeport en est le propriétaire ; seule la comparaison du visage avec la photo de la puce le permet.
Points clés
- L'authentification passive prouve que les données de la puce ont été signées par l'État émetteur et n'ont pas été modifiées.
- L'authentification passive seule ne permet pas d'empêcher la copie exacte d'une puce ; l'authentification active résout ce problème.
- Une puce authentique et originale peut tout de même se retrouver entre de mauvaises mains, alors comparez le visage réel avec la photo de la puce.
- La fiabilité d'une puce dépend de la qualité du certificat délivré par le pays émetteur, auquel on la compare avec celui-ci.
La lecture de la puce d'un passeport électronique permet de prouver deux choses qu'une simple photographie ne peut pas prouver : que les données personnelles et le portrait figurant sur la puce ont été signés numériquement par l'État émetteur et n'ont pas été modifiés depuis, et, si la puce le permet, qu'il s'agit de l'original et non d'une copie. C'est la preuve documentaire la plus solide disponible lorsque l'accès à une base de données gouvernementale est impossible.
Il est impossible de prouver que le détenteur du passeport est bien le destinataire. Une puce authentique et originale, même dans un passeport volé, passe tous les contrôles cryptographiques. Seule la comparaison d'un visage réel avec le portrait enregistré sur la puce permet d'établir le lien entre le document et son titulaire.
Que contient la puce et comment est-elle protégée ?
Les passeports modernes, ainsi que certaines cartes d'identité nationales, sont dotés d'une puce sans contact conforme à la norme Doc 9303 (s’ouvre dans un nouvel onglet) de l'Organisation de l'aviation civile internationale . Cette puce contient les mêmes informations que la page de données imprimée, une copie numérique du portrait du titulaire et, parfois, des informations supplémentaires.
Trois mécanismes du document 9303, partie 11 (s’ouvre dans un nouvel onglet) (huitième édition, 2021), effectuent la majeure partie du travail :
Mécanisme | Ce que cela fait | Quoi ICAO dit qu'il ne le fait pas |
|---|---|---|
BAC ou PACE (contrôle d'accès) | Ouvre la puce à l'aide d'une clé dérivée de la zone imprimée lisible par machine et chiffre la conversation. | N'empêche pas la copie exacte ou le remplacement de la puce |
Authentification passive | Vérifie les données de la puce par rapport aux hachages signés par l'État émetteur | « N’empêche pas la copie exacte du contenu du circuit intégré sans contact ni le remplacement de la puce. » |
Authentification active | La puce lance un nouveau défi avec une clé privée qu'elle ne révèle jamais. | Optionnel dans la norme ; toutes les puces n'en sont pas équipées. |
La partie 11 stipule qu'au moins un des BAC ou PACE " SHALL « être prise en charge ». L’authentification active est indiquée comme optionnelle et est créditée de prouver que les données « ont été lues à partir de la puce sans contact authentique » et que la puce « n’a pas été substituée ».
Que prouve l'authentification passive ?
L'authentification passive constitue le contrôle principal. La puce contient un objet de sécurité : une liste de hachages de chaque groupe de données, signée par un certificat de signataire de document, lui-même délivré par l'autorité de signature du pays. CSCA La vérification prouve que le nom, le numéro, les dates et le portrait correspondent exactement à ce qu'a écrit l'État.
Deux conditions rendent cette preuve réelle et non décorative.
La signature doit être liée à un certificat de confiance. Le certificat du signataire est intégré aux données de la puce soumises par le demandeur. Une signature vérifiée par rapport à ce certificat prouve uniquement qu'une clé a signé les données. Elle prouve que l'État a signé les données uniquement si ce certificat est lié à celui de l'État. CSCA , que vous obtenez indépendamment.
La vérification doit être effectuée sur votre serveur. Une application mobile qui signale une « puce authentique » fait une affirmation, et un attaquant contrôle le téléphone.
Toden La vérification d'identité effectue une authentification passive sur le serveur et considère une puce comme authentique uniquement si son signataire est lié à un certificat d'un État émetteur de confiance. La liste est établie à partir des listes de certificats publiées par les gouvernements allemand, néerlandais et italien et couvre 138 pays, dont le Nigeria, le Ghana, le Kenya, l'Égypte, l'Éthiopie et le Sénégal. Une puce provenant d'un pays ne figurant pas sur la liste est rejetée.inconclusiveet la vérification se fait ensuite à partir du document et, le cas échéant, de la base de données gouvernementale. NFC La documentation relative à la vérification de la puce (s’ouvre dans un nouvel onglet) conserve les informations les plus récentes.
Les pays annulent également les certificats de signature, par exemple après la compromission d'une clé. Tous les pays ne publient pas de liste d'annulation ; le résultat indique donc si le statut du signataire a été vérifié. Une puce dont le statut est inconnu est acceptée par défaut, mais une règle de flux de travail peut la soumettre à un examen.
Pourquoi la copie est-elle importante ?
L'authentification passive prouve l'authenticité des données, et non celle de la puce. Une personne ayant accès à un véritable passeport pendant quelques secondes pourrait, en principe, copier les données de sa puce sur une puce vierge. Chaque hachage et signature serait alors validé.
L'authentification active comble cette lacune pour les puces qui la prennent en charge : la puce prouve qu'elle détient la clé privée correspondant à une clé publique signée par l'État. Toden rapporte comment une copie a été exclue dans un domaine appelécloneCheck:active_auth(la puce a répondu à un défi ponctuel),face_bound(la puce ne possède pas une telle clé, et le selfie en direct correspondait au portrait de la puce) ounoneUne puce atteint le sommetchipLe niveau d'assurance n'est atteint que lorsqu'une copie est exclue, et une puce qui échoue à l'authentification active échoue d'emblée à la vérification.not_authentic.
Qu'est-ce qu'une puce ne peut pas prouver ?
Il est important d'énoncer clairement ces limites, car les capacités des puces sont souvent surestimées.
Le titulaire est bien le propriétaire. Une puce originale et authentique dans un passeport emprunté ou volé passe tous les contrôles. Comparez un selfie pris en direct avec le portrait de la puce.
Le passeport est toujours valide. La puce indique les informations enregistrées par l'État lors de sa délivrance. Elle ne permet pas de savoir si le passeport a été déclaré perdu ou volé ; cette information fait l'objet d'une vérification distincte.
Empreintes digitales ou données de l'iris. Les groupes de données 3 et 4 sont protégés par un contrôle d'accès étendu et seuls les systèmes d'inspection gouvernementaux disposant des certificats requis peuvent les lire. Un fournisseur qui prétend extraire les empreintes digitales de la puce d'un passeport à des fins d'intégration affirme une chose non autorisée par la norme.
N'importe quoi, sur certaines cartes d'identité nationales. La carte d'identité intelligente sud-africaine, la carte d'identité des Émirats arabes unis et la MyKad malaisienne, entre autres, utilisent des puces propriétaires qui ne sont pas ICAO Les terminaux de diagnostic électronique (eMRTD) fonctionnent toujours par capture de documents ; ils ne permettent pas d’assurer la fiabilité de la puce.
Tout, dans un navigateur. Aucun navigateur API peut communiquer avec une puce de passeport. Toden La lecture des puces est possible uniquement avec les SDK React Native et Flutter ; les utilisateurs Web qui ont besoin d’une vérification de la puce doivent être redirigés vers une application mobile.
Que se passe-t-il lorsqu'une puce est illisible ?
Bien souvent, ce ne sera pas le cas. Le téléphone peut ne pas en avoir. NFC Si l'utilisateur utilise la radio, il se peut qu'il tienne son passeport au mauvais endroit, ou que ce dernier soit antérieur à l'introduction des puces.
Concevez pour cela. Dans Toden Une puce manquante, illisible ou non concluante n'entraîne jamais l'échec d'une vérification ; elle ne contribue simplement pas à la garantie de la puce, et le processus se poursuit avec les vérifications des documents et des bases de données. Seule une preuve formelle de falsification entraîne l'échec d'une vérification. Les flux de travail permettent aux utilisateurs de passer manuellement l'étape de la puce, et les téléphones sans puce peuvent être ignorés. NFC Ignorer automatiquement.
Un exemple illustratif : une application de transfert de fonds accepte un expéditeur sénégalais muni d’un passeport. NFC Le téléphone est lu par la puce, authentifié auprès du certificat du Sénégal, répond au défi d'authentification active et le selfie correspond au portrait de la puce : niveau d'assurancechipLe même expéditeur sur un téléphone sans NFC Vérification par document : niveau d'assurancedocumentL'application crée un compte pour les deux expéditeurs et fixe une limite plus élevée pour le premier.
Liste de contrôle pour l'ajout de la lecture de puces
Proposez-le via un parcours mobile ; ne le promettez pas sur le web.
Vérifiez sur le serveur, à l'aide des certificats de l'État émetteur, jamais sur l'appareil.
Exiger qu'une copie soit exclue, par authentification active ou par correspondance du visage avec le portrait de la puce, avant de considérer le résultat comme étant de niveau supérieur.
Toujours faire correspondre le visage réel au portrait sur la puce.
Ne jamais refuser une offre à un client à cause d'une puce illisible ; il vaut mieux revoir les limites de paiement.
Déterminez comment traiter les puces dont le statut d'annulation du signataire est inconnu.
Sources
Charles Archibong
Cofondateur
Charles Archibong est le cofondateur de Toden. Il écrit sur la vérification d'identité, les technologies financières et les aspects pratiques de la création de services numériques de confiance.
