读取电子护照芯片能证明什么，又不能证明什么
Charles Archibong, 联合创始人
读取电子护照芯片可以证明数据由签发国签名且未被篡改，并且通过主动认证功能可以证明芯片并非复制品。但它无法证明持护照者是护照持有人；只有将芯片上的照片与人脸进行比对才能做到这一点。
要点
- 被动认证证明芯片数据已由颁发国签名且未被更改。
- 仅靠被动认证无法阻止芯片的精确复制；主动认证可以解决这个问题。
- 即使是正品原装筹码也可能落入不法分子手中，所以要将实物与筹码照片进行比对。
- 芯片的可信度取决于你所对照的颁发国的证书。
读取电子护照芯片可以证明两件事，而护照照片无法做到这一点：一是芯片上的个人数据和肖像已由签发国进行数字签名，且此后未被更改；二是如果芯片支持，该芯片是原件而非复印件。在政府数据库无法访问的情况下，这是最有力的证件证据。
它无法证明持有护照的人就是护照签发人。被盗护照中的真品芯片可以通过所有加密验证。只有将真人面部与芯片中存储的头像进行比对，才能将护照与申请人联系起来。
芯片上存储的是什么？它是如何受到保护的？
现代护照和一些国民身份证都带有符合国际民用航空组织标准Doc 9303 （在新标签页中打开）的非接触式芯片。该芯片包含与打印数据页相同的信息、持有人肖像的数字副本，有时还包含其他信息。
Doc 9303 第 11 部分 （在新标签页中打开）（第八版，2021 年）中的三个机制完成了大部分工作：
机制 | 它的作用 | 什么 ICAO 它说它不会这样做 |
|---|---|---|
BAC 或者 PACE （访问控制） | 使用从印刷的机读区派生的密钥打开芯片，并对对话进行加密。 | 并不能阻止完全复制或芯片替换 |
被动身份验证 | 将芯片数据与发行国签名的哈希值进行比对 | “不能阻止对非接触式集成电路内容的精确复制或芯片替换” |
主动身份验证 | 芯片使用一个永远不会透露的私钥签署新的挑战。 | 标准配置中为可选；并非所有芯片都具备此功能。 |
第 11 条规定，至少有一项 BAC 或者 PACE “ SHALL 得到支持”。它将主动认证列为可选功能，并认为它可以证明数据“已从真正的非接触式 IC 读取”并且芯片“未被替换”。
被动认证能证明什么？
被动认证是核心验证。芯片携带一个安全对象：每个数据组的哈希值列表，由文档签名者证书签名，而该证书又由国家/地区的签名机构颁发。 CSCA 核实后证明，姓名、号码、日期和肖像与州政府所写的内容完全一致。
有两个条件使得这个证明具有真实性而非装饰性。
签名必须链接到您信任的证书。签名者证书包含在申请人提交的芯片数据中。验证该证书的签名只能证明某个密钥对数据进行了签名。只有当该证书链接到该州的证书时，才能证明该州对数据进行了签名。 CSCA ，您可以自行获取。
该检查必须在您的服务器上运行。如果手机应用报告“芯片已验证”，则表明该应用声称芯片已验证，而攻击者可能控制了该手机。
Toden 身份验证在服务器端运行被动身份验证，仅当芯片的签名者链接到受信任的颁发国证书时，才将其视为真实有效。该证书列表由德国、荷兰和意大利政府发布的证书列表构建而成，涵盖138个国家/地区，包括尼日利亚、加纳、肯尼亚、埃及、埃塞俄比亚和塞内加尔。来自列表外国家的芯片将被判定为无效。inconclusive验证则依据文件本身，并在条件允许的情况下参考政府数据库。 NFC 芯片验证文档 （在新标签页中打开）保存了最新信息。
各国也会注销签名证书，例如在密钥泄露之后。并非每个国家都会公布注销列表，因此结果会显示签名者的状态是否经过核查；状态未知的芯片默认会被接受，工作流规则可以将其提交审核。
为什么复制很重要？
因为被动认证只能证明数据的真实性，而不能证明芯片的真实性。理论上，只要有人能接触到真正的护照几秒钟，就能将护照芯片上的数据复制到一张空白芯片上。即便如此，任何哈希值和签名仍然能够验证护照的真实性。
主动认证技术弥补了支持该技术的芯片的这一缺陷：芯片证明其拥有与状态签名的公钥相匹配的私钥。 Toden 报道称，在名为“cloneCheck：active_auth（该芯片应对了一次性挑战）face_bound（芯片上没有这样的密钥，而且实时自拍与芯片上的肖像相符）none一枚芯片到达顶部chip仅当排除复制品的可能性时，才能达到保证级别；而未能通过主动认证的芯片则直接验证失败。not_authentic。
芯片有什么不能证明的？
这些限制值得明确指出，因为芯片的性能经常被过分夸大。
持卡人即为护照所有人。借用或被盗护照中的原装正品芯片能够通过所有芯片检测。将本人拍摄的自拍照与芯片上的照片进行比对即可。
护照仍然有效。芯片会显示相关政府部门当时的记录。但它不会显示护照是否已被报失或被盗；这需要通过单独的数据核查才能确定。
指纹或虹膜数据。第 3 组和第 4 组数据位于扩展访问控制之后，只有持有相应证书的政府检查系统才能读取。声称可以从护照芯片中提取指纹用于入职登记的供应商，其行为违反了相关标准。
某些国民身份证上可能包含任何信息。例如，南非智能身份证、阿联酋身份证和马来西亚身份证（MyKad）等都使用专有芯片，这些芯片并非通用。 ICAO 电子磁条证（eMRTD）。它们仍然通过文件采集进行验证；它们无法实现芯片认证。
任何内容，在浏览器中。无需浏览器 。API 可以与护照芯片通信。 Toden 仅支持在 React Native 和 Flutter SDK 中读取芯片；需要芯片验证的 Web 用户必须被引导至移动应用程序。
如果芯片无法读取会发生什么？
很多时候，情况并非如此。手机可能没有…… NFC 如果使用无线电，用户可能将护照放在错误的位置，或者护照可能早于芯片时代。
设计时要考虑到这一点。 Toden 缺失、无法读取或结果不确定的芯片不会导致验证失败；它只是不提供芯片验证信息，流程会继续进行文档和数据库检查。只有确凿的篡改证据才会导致验证失败。工作流程允许用户手动跳过芯片验证步骤，并且允许没有芯片的手机通过验证。 NFC 自动跳过。
举个例子：一款汇款应用程序允许一位持有护照的塞内加尔汇款人注册。 NFC 手机读取芯片信息，使用塞内加尔证书进行身份验证，响应主动身份验证挑战，并且自拍照片与芯片图像匹配：保证级别chip同一个发件人，在没有手机的情况下。 NFC 通过文件验证：保证级别document该应用程序会为双方都创建一个账户，并提高第一个发送者的限额。
添加芯片读取功能的检查清单
在移动端流程中提供该服务；不要在网页上做出承诺。
在服务器上，根据颁发状态证书进行验证，切勿在设备上进行验证。
必须先通过主动认证或人脸与芯片肖像匹配来排除副本的可能性，才能将结果视为最高级别。
务必确保实物面部与芯片图像一致。
永远不要因为芯片无法读取而让客户失望；而是应该调整限额。
决定如何处理签名人取消状态未知的芯片。
参考来源
