Die persönliche Identitätsprüfung (PIV) ist eine NIST FIPS 201-2-Sicherheitsstandard, der einen Rahmen für die Multi-Faktor-Authentifizierung (MFA) mithilfe einer Smartcard schafft. Einfach ausgedrückt kann PIV (Personal Identity Verification) als Multi-Faktor-Authentifizierungslösung bezeichnet werden, die den gesamten Identitätslebenszyklus abdeckt, vom Identitätsnachweis über die sichere Ausstellung von Anmeldeinformationen und den physischen Zugriff bis hin zum sicheren Ablauf der Anmeldeinformationen.
Kurz gesagt handelt es sich bei der Personal Identity Verification um ein Framework zur Identitätsverwaltung.
Geschichte
Die US-Regierung ordnete 2004 die Einführung eines einheitlichen Identitätsnachweises an. Dieser war ursprünglich nur für die US-Regierung konzipiert, wird heute aber auch häufig kommerziell eingesetzt. Der Grund für die weite Verbreitung liegt in der hohen Sicherheit des Standards beim Identitätsnachweis und der Möglichkeit, Multi-Faktor-Authentifizierung zu Sicherheitszwecken wie Betrugsprävention und Datenschutz zu nutzen.
Hauptfunktionen von PIV
PIV ist eine ausgezeichnete Wahl für Unternehmen, die staatliche Vorschriften einhalten müssen oder in stark regulierten Bereichen arbeiten.
- Identitätsnachweis
- Lebenszyklusverwaltung
- Erweiterte Anwendungsfälle
- Physischer/IT-Systemzugriff
PIV-Karte (Personal Identity Verification)
Eine Personal Identity Verification (PIV)-Karte ist eine von der US-Regierung ausgegebene Chipkarte, die die erforderlichen Informationen für den Zugang zu Bundeseinrichtungen und Informationssystemen enthält und ein akzeptables Sicherheitsniveau für alle Bundesanwendungen gewährleistet. Eine Personal Identity Verification-Karte verfügt über einzigartige Technologien, die von Sicherheitslesesystemen für verschiedene Zwecke genutzt werden können. FIPS legt präzise Standards für diese Karten fest, darunter kryptografische Methoden zur Verschlüsselung sensibler Daten und Sicherheitsmechanismen wie Passwörter und biometrische Systeme zur Überprüfung der Identität des Karteninhabers. Weitere Merkmale, wie vier obligatorische kryptografische Schlüssel und Schlüsselgrößen, sind ebenfalls in den PIV-Kartenrichtlinien festgelegt.
Funktionen der PIV-Karte
Die PIV-Karte verschlüsselt Daten und validiert die Identität, um sicherzustellen
- Integrität: Das bedeutet, dass nur der Karteninhaber die auf der Karte vorhandenen Daten ändern kann.
- Vertraulichkeit: Dies bedeutet, dass nur der Karteninhaber die auf der Karte vorhandenen Daten lesen und darauf zugreifen kann.
- Authentizität: Es wird die Quelle der vorhandenen Daten garantiert.
- Nicht-Zurückweisung: Das bedeutet, dass keine falschen Daten vorhanden sein dürfen.
Mit der PIV-Karte können Sie sich darauf verlassen, dass die gesamte elektronische Kommunikation sowie die Datenspeicherung und -abfrage sicherer sind.
Auf der PIV-Karte gespeicherte Informationen
Ein PIV-Kartenantrag muss sieben obligatorische interoperable Datenelemente und zwei bedingt obligatorische Datenobjekte enthalten. Sieben obligatorische Elemente bestehen aus:
- Kartenfunktionsbehälter
- Eindeutige Kennung des Karteninhabers
- X.509 Zertifikat für die PIV-Authentifizierung
- X.509-Zertifikat zur Kartenauthentifizierung
- Fingerabdrücke des Karteninhabers
- Gesichtsbild des Karteninhabers
- Sicherheitsobjekt
Wenn der Karteninhaber zum Zeitpunkt der Ausstellung der Berechtigung über ein von der Regierung ausgestelltes E-Mail-Konto verfügt, sind zwei Datenobjekte erforderlich:
- X.509-Zertifikat für digitale Signatur
- X.509-Zertifikat für Schlüsselverwaltung
PIV-Authentifizierungsmechanismen
Das Hauptziel der PIV-Karte besteht darin, die Identität des Karteninhabers gegenüber einem System oder einer Person zu überprüfen, die für die Regelung des Zugangs zu einer geschützten Ressource oder Einrichtung zuständig ist. Zu diesem Zweck können verschiedene Kombinationen der unten beschriebenen Validierungsverfahren eingesetzt werden.
Kartenvalidierung
Mit diesem Verfahren wird die Echtheit einer PIV-Karte sichergestellt. Zu den Validierungsmechanismen gehören:
- visuelle Überprüfung der Manipulationssicherheit und Manipulationsresistenz der PIV-Karte
- Einsatz kryptografischer Challenge-Response-Verfahren mit symmetrisch Schlüssel und
- - asymmetrisch Authentifizierungsschemata zur Validierung privater Schlüssel, die in der PIV-Karte eingebettet sind.
Validierung der Anmeldeinformationen
Dies ist das Verfahren zur Authentifizierung der zahlreichen Anmeldeinformationen der PIV-Karte. Zu den Mechanismen zur Validierung der Anmeldeinformationen gehören:
- visuelle Überprüfung der visuellen Elemente der PIV-Karte
- Überprüfung der Zertifikate auf der PIV-Karte
- Überprüfung der Unterschriften auf der PIV-Biometrie
- Überprüfung des Ablaufdatums und Widerruf Status der Anmeldeinformationen auf der PIV-Karte.
Karteninhabervalidierung
Mit diesem Verfahren wird bestätigt, dass die PIV-Karte im Besitz der Person ist, für die sie ausgestellt wurde. Zu den Validierungsmechanismen für Karteninhaber gehören:
- Vorlage einer PIV-Karte durch den Karteninhaber
- Abgleich der optischen Merkmale des Karteninhabers mit dem Foto auf der PIV-Karte
- Abgleich der bereitgestellten PIN mit der PIN auf der PIV-Karte und
- Abgleich der vom Karteninhaber bereitgestellten Live-Fingerabdruckproben mit den in der PIV-Karte eingebetteten biometrischen Informationen.
Alternative Optionen
Um die durch das PIV-Programm der Bundesregierung geschaffene Infrastruktur zu nutzen, wurden zwei weitere Anmeldeinformationen definiert, doch keines davon hat nennenswerte Akzeptanz gefunden.
PIV-I: (Personal Identity Verification – Interoperabilität)
Es handelt sich um eine Version von PIV mit denselben Kriterien wie PIV. Die US-Bundesregierung benötigte eine Möglichkeit, die Identitäten und Zugriffe von Gastbenutzern zu verwalten, daher wurde die Schaffung dieser Methode vorgeschlagen.
- Anders als bei PIV sind keine Hintergrundüberprüfungen erforderlich, was sich direkt auf die Eignung für den Zugriff auswirkt.
- Befolgt die Cross-Certification-Zertifikatsrichtlinien von Federal Bridge.
- Quelle: Bundes-CIO-Rat.
CIV: (Commercial Identity Verification)
CIV ist ein anderes Protokoll, das auf der PIV-Architektur basiert. Der Hauptunterschied besteht darin, dass die Standards weniger streng sind.
- Befolgt die Richtlinien der ausstellenden Organisation.
- Vertrauenswürdige Anmeldeinformationen nur innerhalb der ausstellenden Organisation.
- Herkunft: Smart Card Alliance Access Control Council
Fazit
Personal Identity Verification (PIV) ist ein Framework zur Identitätsvalidierung. Es wurde ursprünglich für die US-Regierung entwickelt, wird heute aber weithin eingesetzt. Zu den wichtigsten Funktionen von PIV gehören Identitätsnachweis, Lebenszyklusmanagement und vieles mehr. Die PIV-Karte ist eine von der US-Regierung ausgegebene Smartcard, die zu Validierungszwecken verwendet wird. Sie bietet zahlreiche Funktionen wie Vertraulichkeit, Integrität, Nichtabstreitbarkeit usw. Auf der PIV-Karte werden grundlegende persönliche Informationen gespeichert. Zum Schutz der PIV-Karte werden verschiedene Authentifizierungsmechanismen verwendet, nämlich Kartenvalidierung, Berechtigungsvalidierung und Karteninhabervalidierung. Mit zunehmender Anwendungshäufigkeit werden jedoch neue PIV-Alternativen entdeckt, nämlich PIV-I und CIV, die noch nicht allgemein anerkannt sind.
Referenzen
nvlpubs.nist.gov/nistpubs/specialpublications/nist.sp.800-73-4.pdf
