NFC-Smartphones als sichere Chipkartenleser

… sind an sich kein neues, aber nach wie vor aktuelles Thema. Heise online schreibt am 22.10.13 dazu: „Mit einer Technik des IBM-Forschungszentrums im Schweizerischen Rüschlikon sollen sich Smartphones zu Werkzeugen für sichere Authentifizierungen übers Internet mausern. Die von einem Internet-Server ausgegebenen Authentisierungs-Challenges gelangen dabei per NFC an eine passend bestückte Smartcard, damit diese nach Abfrage einer…“ 

Und diesen Link zum Beitrag kann man dann folgen, um den kompletten Artikel zu lesen…

Online-Shop

Und hier ‚mal wieder nur die Meldung, dass ihr auch gerne in den Shop meines Arbeitgebers reinschauen koennt. Ein bisschen Eigenwerbung also.

Manchmal ist es ja kompliziert. Manchmal aber auch nicht. Neben Smartcards und diversen Gadgets aus der „modernen Welt“ gibt es eben auch diverses „Zubehoer“ unter: http://www.comcard.de/shop/

Und das geht dann auch ganz einfach dort, Blankokarten, Speicherchipkarten, Ausweiszubehoer, Hüllen, Bänder/Lanyards und Jojos zu bestellen…

Foscherteam knackt Schlüssel von zertifizierten Smartcards

Am 17.09.13 schon konnte man online auf heise lesen: „Einem internationales Forscher-Team rund um Daniel J. Bernstein ist es gelungen, 184 RSA-Schlüssel mit 1024 Bit zu knacken. Diese wurden von Chip-Karten erstellt, die die taiwanische Regierung als digitale Bürger-Zertifikate ausgibt (Citizen Digital Certificate). Der Clou dabei: Die eingesetzten Smartcards waren offiziell zertifiziert — unter anderem gemäß Common Criteria durch das BSI und nach FIPS des amerikanischen NIST. Hauptursache des Desasters: Zufall – und zwar zu wenig davon….“

Link zur Quelle heise.de: http://www.heise.de/newsticker/meldung/RSA-Schluessel-zertifizierter-Smartcards-geknackt-1959704.html

SEPA-Region: Kartenmissbrauch geht zurück

Im Omnicard-Newsletter kann man dieser Tage lesen: „Die Europäische Zentralbank lässt verlauten, dass die Schäden durch Kartenmissbrauch in der Region der SEPA-Länder um 5,8% gesunken sind. Dies sei der stärkeren Verbreitung von EMV-Karten zu verdanken. Derweil migriere der Kartenmissbrauch in die technisch weniger entwickelten Länder…“

Weiterlesen bei: http://www.omnicard.de/index.php/de/omnicard-der-ultimative-kongress/4792-weniger-kartenmissbrauch

Neue Performance

An dieser Stelle soll stellvertretend fuer ein eigenes Statement der Newsletter der VDV-KA (ueber www.eticket-deutschland.de) zitiert werden. Bin etwas stolz, dass wir gemeinsam mit zeitcontrol, welche fuer das neue Applet verantwortlich zeichnen, fuer das Projekt mit neuen Chipkarten so richtig viel tun konnten. Und das zahlt sich fuer den Nutzer aus, nicht zuletzt in der Reduzierung der Transaktionszeiten…

„Seit der Fertigstellung der VDV-Kernapplikation wurden die Transaktionszeiten für die Ausgabe eines elektronischen Tickets stetig verringert. Vor 2 Jahren lagen die Transaktionszeiten für die Ausgabe eines elektronischen Fahrscheins (EFS) inkl. Bezahlung noch bei mindestens 8 Sekunden.

2012 konnte durch die Einführung der Multiberechtigung die Transaktionszeit auf 2,0 Sekunden verkürzt werden. Für den gleichen Vorgang benötigen die neu entwickelten Chipkarten von ComCard (Applet von Zeitcontrol) und Swiss-Post Solutions (Applet von Masktech) inzwischen nur noch zwischen 1,3 und 1,7 Sekunden. Darüber hinaus liegen neue Erkenntnisse vor, dass über eine SAM-Applet-Neuentwicklung mittelfristig die von der VDV-KA KG und den Verkehrsunternehmen angestrebte Transaktionszeit von unter 1 Sekunde erreicht werden kann. Auch Zeiten von unter 300 Millisekunden für Check-In / Check-Out oder Kontrolltransaktionen (derzeit bei 425 Millisekunden) liegen im Bereich des Möglichen.

Die VDV-KA KG wird diese Ziele weiterhin konsequent verfolgen.“

Einheitliches Betriebssystem für die eGK

Die gematik hat kürzlich das Betriebssystem für die zukünftige elektronische Gesundheitskarte ausgeschrieben. Es soll also an dieser Stelle mehr standardisiert werden. In den vergangenen Monaten wurde tüchtig ausgestattet, mehrere Millionen von Bundesbürgern sind schon mit einer eGK bedacht.
Die Standpunkte von Befürwortern und Kritikern der aktuellen Lösung bleiben aber eher unverändert und eine lange Leidensstory ist wahrscheinlich noch nicht gänzlich zu Ende. Von Produktionsseite schaut ein Mittelständler vorallem darauf, ob die Technologie (hier: Lizenz zur Gestattung der Produktion von Karten mit eGK-Maske) auch in Zukunft erreichbar ist. Das sollte jedenfalls so sein. Auch, wenn man unweigerlich an SECCOS aus der Bezahlwelt erinnert wird.

Tagging-Projekt

Unser Tagging-Projekt begann mit dem Erwerb eines neuen NFC-Mobiltelefons, dem Nexus S von Google. Ausgeruestet mit divertaggingsen Funkschnittstellen, grossem Speicher und ueberhaupt beeindruckenden Werten. Aber darauf soll es garnicht ankommen, eher auf die Moeglichkeit, mobil auswerten zu koennen. Das erschien bei der Realisierung unabdingbar. Zum Start unserer Aktivitaeten (23.04.11) war es das erste wirkliche Smartphone mit NFC-Technik auf dem Markt und deshalb besonders reizvoll. Denn die bisher erhaeltlichen Geraete boten eben nicht die Moeglichkeit, auch eine leistungsfaehige und mobile Anwendung dahinter zu stellen. Hat man Android zur Verfuegung, sind viele Sachen kein Problem mehr. Zumindest in der Theorie, denn ab und zu hakt es dann immer noch …
Die erste Abbildung zeigt dann auch schon einen denkbaren Anwendungsfall. Unser Ziel dabei: Verknuepfung von „realer“ zur Online-Welt. Getagt werden soll, was einer Erklaerung oder zusaetzlichen Informationen bedarf. Bei Buechern also Informationen zum Titel und zum Autor, Bezugsquellen usw.
Neu dabei sollte sein, diese Informationen intuitiv auszuwaehlen. Angeboten werden soll nur das, was im Einzelfall wirklich von Belang ist. Bei CDs geht das im Übrigen auch. Das Album von Katy Perry ist vielleicht das einzige, was nach Erdbeermarmelade riecht, moechte man aber auch in seine CD-Datenbank schauen, dann ist ein Tag anstatt eines Nummern-Aufkleber besonders sinnvoll. Und damit man weiß, welche Dinge auch wirklich getagt sind und, um den geneigten User zum Interagieren aufzufordern, haben wir kuerzlich (20.03.2012) diverse Aufkleber mit Pictogrammen eingefuehrt … Es muss auch nicht immer online nachgeforscht werden, beim Buch oben sehen Sie auf dem Display eine statische HTML-Seite, die konkret mit dem Fremdwoerterbuch verknuepft ist. Diese enthaelt Titel, Autor, Verlag und Erscheinungsjahr.

Aber mitunter soll es schon mehr sein, in der Kategorie Poster erscheint eben ein Kauflink sinnvoll, der von der eigenen Objektseite des New-York-Taxis im Flur der Wohnung auf die Bestellseite bei „easy art“ fuehrt. Dort gibt es das Poster dann fuer 7.95 EUR.
Und hier steht das Smartphone als kombiniertes Geraet zur Verfuegung, da eine entsprechende Anwendung (in dem Fall der im Hintergrund laufende Task des NFC-Tag-Readers) nicht nur die Information vom NFC-Label im Buch oder Bild liest, sondern gleichzeitig den Text, Adressbuch-Informationen oder auch URLs zur Verfuegung stellt, die man weiterverarbeiten kann. Ist es ein Link, so steht gleich ein Browser bereit, um auf die entsprechende Website zu gelangen. Es werden also gezielte Aktionen ausgefuehrt, jenachdem, wie die gerade gelesenen Tag-Eigenschaften aussehen. Man kann also steuern, wie man zum entspechenden Content kommt. Davor kommt Arbeit, naemlich die Ausstattung der Objekte mit entsprechenden Transpondern. Das koennen Aufkleber oder auch Smartcards sein.

Bedingung ist einmal die Lesbarkeit durch das RFID-Lesegeraet, sei es ein NFC-Smartphone oder ein anderer mobiler Leser und gtagginguenstigerweise, dass man Informationen nach dem NFC-Standard auf den Transpondern unterbringen kann, damit man auch den Komfort einer entsprechenden NFC-Anwendung nutzen kann. Dazu sind NFC-Transponder oder zumindest Modelle nach ISO14443 notwendig, so z.B. Mifare-Karten. Mifare-Ultralight war z.B. durch das Nexus-Handy ebenfalls lesbar, jedoch konnten lange Links aufgrund der Speicherkapazitaet nicht mehr untergebracht werden. Nur, wenn eine genuegende Anzahl an Objekten getagt werden, ergibt sich eine wirkliche nutzbare Anwendung. Wir arbeiten hier quasi im Heimbereich. Es regnet nicht rein und es stehen die verschiedensten Objekte zur Auswahl.

Im Sinne unserer Cyberhome-Aktivitaeten ergaenzt sich das Projekt aber optimal mit anderen, das Smartphone erfasst Objekte, dient als Ueberwachungsgeraet fuer die Homecontrol, als Fernbedienutaggingng fuer die Multimedia-Komponenten und bekommt Mails und SMS gepusht. Eine runde Sache also. Eine Vielzahl an Buechern und DVDs machen das Ganze legitim, weiter auszubauen. Moechte man nur wenig schreiben, genuegt auch das entsprechende Programm auf dem Mobile, wie z.B. „WriteATag“ unter Android …

QR-Codes und andere allgegenwärtig

2D-Barcodes sind gegenueber 1D-Barcodes die juengere Technik. 2D-Typen fanden dann zuerst in der Variante Datamatrix-Code statt. Inzwischen gibt es Neuerungen und Spezialisierungen auf bestimmte Einsatzzwecke, die weitere Typen hervorgebracht haben. Es gibt mittlerweile recht viele Einsatzgebiete wie Online-Tickets der Deutschen Bahn (Aztec-Codes) oder den Stampit-Service und die DV-Freimachung bei der Deutschen Post (Datamatrix-Code). Gegenueber 1D-Barcodes ergeben sich Vorteile, herausstellen kann man vor allem den groesseren Datenumfang in Bezug auf den Platzbedarf.

Gerade QR-Codes gelten als besonders robust, da sie eine Fehlerkorrektur haben, die es erlaubt, auch bei groesserer Verschmutzung (und Entfernung) noch einwandfrei zu lesen. Gute Eigenschaften hinsichtlich Lesbarkeit erreicht man durch grundlegende Features, wie Positionierung durch 3 Positionsmarken zur Eingrenzung und Verdrehungserkennung, Synchronisationslinie und Ausrichtungsmarkierung gegen perspektivische Verzerrungen und der entsprechenden Kodierung.

Ein kleines durchdachtes Stueck Technik also, welches seinen Inhalt mittels Reed-Solomon-Kodierung in einer Abfolge von schwarzen (und weissen Symbolelementen bzw. Leerraeumen) kodiert. Es existieren vier Fehlerkorrektur-Levels, die eine Rekonstruktion von bis zu 30% beschädigter Daten zulassen. Die Ausdehnung des QR-Codes ist von der Anzahl und Groesse der quadratischen Symbolelemente abhaengig. Ein Code ist mindestens 21 Elemente hoch und breit, maximal betraegt eine Seitenlaenge 177 Elemente. Beim Lesen kommen Kamerasysteme oder Scanner zum Einsatz. Im ersten Schritt wird ein Image des Codes erzeugt, dass dann weiterverarbeitet wird. Eine Software muss die Symbole im Image erkennen und anschliessend decodieren. Die Lesehardware kann stationaer (Scanner, Kamera in Maschine) oder mobil (Handykamera) ausgefuehrt sein.

Wie sieht es nun mit den entsprechenden Anwendungen aus? Wenn Sie heute am Handyticketing in einer der Regionen teilnehmen, dann bekommen Sie nach Erwerb des Tickets dieses aehnlich wie ein Papierticket am Handy-Display angezeigt. Dort ist mitunter auch ein QR-Code dabei, denn heutzutage muss noch ohne NFC ausgekommen werden. Der QR-Code laesst sich auf dem Display scannen und ueberpruefen. Erwerben Sie ein Online-Ticket am Rechner zu Hause, ist ein maschinenlesbares Merkmal nicht minder wichtig, denn nach dem Ausdrucken soll ein Ticket bereitstehen, das dann am Eintritt zur Veranstaltung unkompliziert gelesen werden kann. Viele Zeitschriften enthalten mittlerweile einen QR-Code und fuehren den Anwender zum entsprechenden Online-Artikel. Ein Weblog oder einzelne Artikel daraus enthalten QR-Codes und bringen diese Artikel z.B. auf das Display des Smartphones. Genauso werden mehr und mehr Produkte mit Matrixcodes bestueckt (nicht nur mit dem EAN-Code), so dass auch dort weiterfuehrende Informationen abgerufen werden koennen. Generell ergeben sich durch die Verbindung von realer mit der Online-Welt neue Moeglichkeiten. Dabei kann man unterscheiden, ob die eigentliche Information im QR-Code abgelegt ist (offline verfuegbar) oder man geht einen Schritt weiter, wenn in der kodierten Information ein Zeiger auf entsprechende online-Inhalte vorhanden ist. Der Zeiger kann dabei eine vollstaendige URL sein oder nur eine eindeutige Kennung, die dann in der Auswertesoftware gemapt werden muss.

Durch das Klassifizieren von Inhalten ergeben sich erweitere Moeglichkeiten, vor allem um auf gaengige High-Level-Contents (URL, Mail, Adressbucheintrag, Termin, SMS usw.) in der Auswertung direkt reagieren zu koennen. So kann nach dem Scannen des Codes eine Anwendung z.B. dazu auffordern, den angezeigten Ansprechpartner in das Adressbuch des Empfaengers zu uebernehmen.

QR-Codes auch auf der Karte? Fuer den Teilnehmer an einem Kundenbindungsprogramm erscheint es beispielsweise sinnvoll, neben dem Weiterleiten auf eine Webseite gleich die dortige Registrierung mit anzubieten, in dem man in der URL einen persoenlichen Aktivierungscode mit unterbringt. Der spaetere Zugang zum Kundenkonto sollte nach wie vor mit einem separatem Passwort abgesichert sein, damit nicht durch das einfache Scannen einer gefundenen Karte Zugang erlangt werden kann. Die Karte mit dem 2D-Barcode soll also zur einmaligen Aktivierung dienen. Spaeter kann sie im geschuetzten Bereich des Online-Auftritts zu weiteren Aktionen dienen. Stationaere Geraete koennen dann Schritt fuer Schritt von Magnetstreifen auf Matrixcode migriert werden. Nicht zu unterschaetzen auch der Vorteil, elektrisch defekte RFID-Karten noch mit Matrixcode als „Ausschuss“ einlesen zu koennen, zumindest, wenn diese nicht vollends zerstoert sind.

Waehrend Matrixcodes wie auch der QR-Code (ISO/IEC18004) standardisiert sind, existieren fuer die Inhalte (insbesondere bei getaggter Information) leider „nur“ gaengige Verfahrensweisen, wie dies zu tun ist. Die Auswerteseite muss also genau mit den Inhalten bei der Kodierung abgestimmt werden.

Dazu wird ein zu kodierenden String mittels Trennzeichen und Schluesselworte aufgebaut. Die MeCard wie auch das vCard-Format sind dabei zum Beispiel zwei konkurrierende Formate fuer eine Vistenkarte/Adressbucheintrag. Zur Generierung der QR-Codes braucht es beim Dienstleister dann die notwendigen Routinen, um Matrixcode zu erzeugen, welche dann auf das Kundenmaterial aufgebracht werden …