O que a leitura do chip de um passaporte eletrônico comprova e o que ela não comprova.

A leitura do chip de um passaporte eletrônico pode comprovar duas coisas que nenhuma fotografia de um passaporte consegue: que os dados pessoais e o retrato no chip foram assinados digitalmente pelo Estado emissor e não foram alterados desde então e, se o chip suportar, que o chip é o original e não uma cópia. Essa é a prova documental mais robusta disponível em qualquer lugar onde um banco de dados governamental esteja fora do alcance.

Não é possível provar que a pessoa que possui o passaporte é a pessoa para quem ele foi emitido. Um chip genuíno e original em um passaporte roubado passa por todas as verificações criptográficas. Somente um rosto real comparado com a foto armazenada no chip vincula o documento ao solicitante.

O que está gravado no chip e como ele é protegido?

Os passaportes modernos, e alguns documentos de identidade nacionais, contêm um chip sem contato fabricado de acordo com o padrão Doc 9303 (abre num novo separador) da Organização da Aviação Civil Internacional . O chip armazena os mesmos dados da página impressa, uma cópia digital do retrato do titular e, às vezes, informações adicionais.

Três mecanismos do Doc 9303 Parte 11 (abre num novo separador) (oitava edição, 2021) realizam a maior parte do trabalho:

A Parte 11 afirma que pelo menos um dos BAC ou PACE " SHALL "ser suportado". Lista a Autenticação Ativa como opcional e atribui a ela o mérito de comprovar que os dados "foram lidos do CI sem contato autêntico" e que o chip "não foi substituído".

O que a autenticação passiva comprova?

A autenticação passiva é a verificação principal. O chip contém um objeto de segurança: uma lista de hashes de cada grupo de dados, assinada por um certificado de assinatura de documento, que por sua vez é emitido pela autoridade de assinatura do país (a CSCA A verificação comprova que o nome, o número, as datas e o retrato correspondem exatamente ao que o estado registrou.

Duas condições tornam essa prova real, e não meramente decorativa.

A assinatura deve estar vinculada a um certificado confiável. O certificado do signatário está contido nos dados do chip enviados pelo solicitante. Uma assinatura que verifica esse certificado prova apenas que alguma chave assinou os dados. Ela prova que o Estado os assinou somente se esse certificado estiver vinculado ao certificado do Estado. CSCA , que você obtém de forma independente.

A verificação deve ser executada no seu servidor. Um aplicativo de celular que reporta "chip autêntico" está fazendo uma alegação, e um invasor controla o telefone.

Toden A Verificação de Identidade executa autenticação passiva no servidor e considera um chip como autêntico somente quando seu signatário se vincula a um certificado de um estado emissor confiável. A lista é composta por listas de certificados publicadas pelos governos alemão, holandês e italiano e abrange 138 países, incluindo Nigéria, Gana, Quênia, Egito, Etiópia e Senegal. Um chip de um país fora da lista retorna um erro.inconclusivee a verificação recorre ao documento e, quando disponível, ao banco de dados governamental. NFC A documentação de verificação do chip (abre num novo separador) mantém os detalhes atualizados.

Os países também cancelam certificados de assinatura, por exemplo, após uma chave ser comprometida. Nem todos os países publicam uma lista de cancelamentos, portanto, o resultado indica se o status do signatário foi verificado; um chip cujo status é desconhecido é aceito por padrão, e uma regra de fluxo de trabalho pode enviá-lo para revisão.

Por que copiar é importante?

Porque a autenticação passiva comprova a autenticidade dos dados, e não a autenticidade do chip. Alguém com acesso a um passaporte verdadeiro por alguns segundos poderia, em princípio, copiar os dados do chip para um chip em branco. Cada hash e assinatura ainda seriam verificados.

A autenticação ativa resolve essa lacuna para chips que a suportam: o chip comprova que possui a chave privada correspondente a uma chave pública assinada pelo estado. Toden relata como uma cópia foi descartada em um campo chamadocloneCheck:active_auth(o chip respondeu a um desafio único),face_bound(o chip não possui essa chave, e a selfie ao vivo correspondeu ao retrato do chip) ounoneUm chip chega ao topochipnível de garantia somente quando uma cópia é descartada, e um chip que falha na Autenticação Ativa falha na verificação imediatamente.not_authentic.

O que um chip não pode provar?

Vale a pena declarar esses limites claramente, porque as capacidades dos chips são frequentemente superestimadas.

• Que o portador é o proprietário. Um chip original e autêntico em um passaporte emprestado ou roubado passa em todas as verificações. Compare uma selfie tirada ao vivo com a imagem no chip.

• O fato de o passaporte ainda ser válido para uso é importante. O chip informa o que o estado registrou no momento da emissão. Ele não informa se o passaporte foi dado como perdido ou roubado posteriormente; essa é uma verificação separada, feita com dados distintos.

• Impressões digitais ou dados da íris. Os grupos de dados 3 e 4 estão protegidos pelo Controle de Acesso Estendido e somente sistemas de inspeção governamentais com os certificados adequados podem lê-los. Um fornecedor que alega extrair impressões digitais de um chip de passaporte para fins de integração está alegando algo que o padrão não permite.

• Qualquer coisa, em alguns cartões de identidade nacionais. O Smart ID sul-africano, o Emirates ID e o MyKad da Malásia, entre outros, usam chips proprietários que não são ICAO eMRTDs. Eles ainda verificam por meio da captura de documentos; não conseguem atingir a garantia de chip.

• Qualquer coisa, em um navegador. Sem navegador .API Pode comunicar-se com um chip de passaporte. Toden Lê chips apenas nos SDKs React Native e Flutter; usuários da web que precisam de verificação de chip devem ser redirecionados para um aplicativo móvel.

O que acontece quando um chip não pode ser lido?

Na maioria das vezes, não será. O telefone pode não ter. NFC O usuário pode estar segurando o passaporte no lugar errado ou o passaporte pode ser anterior à data de emissão do chip.

Projete para isso. Em Toden Um chip ausente, ilegível ou inconclusivo nunca invalida uma verificação; ele simplesmente não contribui para a garantia da autenticidade do chip, e o fluxo continua com as verificações de documentos e banco de dados. Somente provas concretas de adulteração invalidam uma verificação. Os fluxos de trabalho podem permitir que os usuários ignorem a etapa do chip manualmente, e telefones sem chip podem ser verificados. NFC Ignore automaticamente.

Um exemplo ilustrativo: um aplicativo de remessas cadastra um remetente senegalês com passaporte. Em um NFC O chip lê o telefone, autentica-o com base no certificado do Senegal, responde ao desafio de Autenticação Ativa e a selfie corresponde à imagem no chip: nível de garantiachipO mesmo remetente em um telefone sem NFC Verifica por documento: nível de garantiadocumentO aplicativo fornece uma conta para ambos e define um limite mais alto para o primeiro remetente.

Lista de verificação para adicionar leitura de chip

1. Ofereça em um fluxo para dispositivos móveis; não prometa na web.

2. A verificação deve ser feita no servidor, comparando-a com os certificados do estado emissor, e nunca no dispositivo.

3. Exija que uma cópia seja descartada, por meio de Autenticação Ativa ou correspondência facial com a foto do chip, antes de considerar o resultado como o de nível mais alto.

4. Sempre compare o rosto real com o retrato no chip.

5. Nunca deixe de atender um cliente por causa de um chip que não pôde ser lido; em vez disso, ajuste os limites.

6. Decida como tratar as fichas cujo status de cancelamento por parte do assinante é desconhecido.