PIN ist Schwachstelle
Grundsätzlich soll der Zugriff auf den Personalausweis durch die Eingabe einer sechsstelligen PIN abgesichert werden. Hier ist die Schwachstelle des Verfahrens, sagt Porada: "Um die Daten des Personalausweises an meinem PC auslesen zu können, muss ich zunächst die PIN am Computer eingeben. Aber solche PIN-Eingaben am Computer können von Key-Loggern recht leicht mitgelesen und danach durch Trojaner automatisch eingegeben werden."
Porada hat zu Demonstrationszwecken einen Beispiel-Trojaner entwickelt, der die PIN-Eingabe mitliest. Sobald der Ausweis auf das Lesegerät gelegt und vom Reader erkannt wird, aktiviert sich die Schadsoftware. Porada: "Jedes Mal, wenn ich dann meinen Personalausweis für irgendeine Aktion im Internet nutze, protokolliert der Trojaner mit und kann darüber hinaus Dinge machen, die ich gar nicht kontrollieren kann."
Spannend wird es bei der Frage, ob man einen Trojaner so schreiben kann, dass dieser, ist er einmal auf dem Rechner platziert, auch dann mit den vom Personalausweis abgesaugten Daten operieren kann, wenn der Ausweis nicht auf dem Reader liegt.
Ein weiteres Problem stellt sich mit der elektronischen Signatur des Ausweis. Und auch dieses ist nicht nur auf den Personalausweis beschränkt, sondern allgemeiner Natur. Es gibt heute schon Karten, die rechtsgültig signieren können, weil sie eine qualifizierte Signatur beinhalten. Ein Anbieter solcher Karten ist beispielsweise D-TRUST.
Signieren: Stochern im Nebel
Auch bei dieser Anwendung zum rechtsgültigen Signieren mit einer Smart Card ist die Schwierigkeit, dass der Benutzer nicht sieht, was er tatsächlich signiert. Er liest alle Informationen nur auf dem Computerbildschirm. Diese können jedoch ebenfalls durch Schadsoftware auf dem PC manipuliert sein.
Porada beschreibt einen denkbaren Fall: "Sie wollen ein Word-Dokument signieren. Die Ausweis-App-Middleware hat eine Funktion, mit der dieses Word-Dokument an die Smartcard oder eben den Personalausweis geschickt wird." Hierbei muss der Anwender wieder seine PIN eingeben. Danach sind die Daten signiert. Das heißt, so wie die Daten an die Smartcard geschickt wurden, kommen sie wieder zusammen mit der Signaturprüfsumme zurück.
Der Knackpunkt ist aber, dass der Anwender eben nicht sieht, was er wirklich signiert. "Der User sieht auf seinem Bildschirm zwar das Dokument, die E-Mail oder was immer und signiert diese - wie er glaubt. Tatsächlich hat er aber etwas signiert, was ein Trojaner ihm untergeschoben hat," sagt der Sicherheitsberater. Wenn das dann eine Banküberweisung sei, könne das teuer werden. Auf dem Bildschirm sieht der Anwender das Word-Dokument. Signiert hat er aber etwas ganz anderes.
Der Trojaner unterbricht bei diesem Vorgang den Kommunikationskanal (durch DLL-Hooking) zwischen dem Reader des Personalausweises und dem PC und unterlegt heimlich seine eigenen Daten. Die werden dann signiert. "Beweisen Sie einmal vor Gericht, dass Sie eine Banküberweisung oder einen Kaufvertrag gar nicht signiert haben", warnt Porada.