Autenticação por chip
A autenticação por chip é um protocolo no qual o chip de um passaporte eletrônico comprova que possui uma chave privada que nunca saiu do hardware e, simultaneamente, estabelece uma sessão fortemente criptografada com o leitor. É o mecanismo que impede a clonagem: um invasor pode copiar todos os bytes de um chip e, mesmo assim, não ter sucesso, pois a cópia não consegue comprovar a posse da chave.
| O que isso comprova | Esse chip físico contém a chave privada que alega ter |
| Derrotas | Chips clonados contendo dados copiados |
| Efeito colateral | Estabelece uma criptografia robusta da sessão para tudo o que vier a seguir |
| Localização estratégica | Gerado no chip; nunca pode ser lido, apenas utilizado |
| Parte de | Controle de acesso estendido, juntamente com a autenticação de terminal |
| Especificado em | BSI TR-03110, mencionado no Documento 9303 da ICAO |
| Antecessor | Autenticação ativa: um método mais simples de desafio-resposta |
Três perguntas diferentes, três protocolos diferentes
Os mecanismos de segurança em um chip do passaporte eletrônico são frequentemente discutidos como se fossem a mesma coisa. Mas não são. Cada um responde a uma questão distinta, e confundir os dois leva a afirmações exageradas.
| Protocolo | Pergunta à qual responde | O que ele não pode lhe dizer |
|---|---|---|
| Autenticação passiva | Esses dados foram divulgados por um governo e permaneceram inalterados? | Se o chip em si é original |
| Autenticação ativa | Esse chip é capaz de responder a um desafio usando sua chave privada? | Nada sobre a segurança da sessão |
| Autenticação por chip | Será que esse chip é a chave, e agora podemos conversar com segurança? | Se o leitor está autorizado |
| Autenticação de terminal | Este leitor está autorizado a solicitar dados confidenciais? | Alguma informação sobre o chip? |
A autenticação passiva é a base e é realmente poderosa — uma assinatura do fabricante em cada conjunto de dados. Mas ela tem um ponto fraco. Ela verifica os dados, não o silício. Se você copiar o conteúdo de um chip genuíno para um chip em branco, a autenticação passiva ainda será aprovada, pois a assinatura permanece intacta.
A autenticação por chip preenche essa lacuna.
Por que a autenticação por chip é importante para a verificação de identidade
A distinção entre “esses dados foram realmente emitidos” e “esse chip é genuíno” é a diferença entre detectar uma falsificação de dados e detectar uma cópia de hardware. Ambos os tipos de ataque existem.
A autenticação passiva, por si só, permitiria que um invasor que obtivesse um dump legítimo do chip — proveniente de um passaporte roubado, um banco de dados vazado ou um processo de emissão comprometido — produzisse um documento cujo chip fosse validado. A autenticação por chip torna esse dump inútil sem o hardware original, pois a chave necessária para isso nunca esteve no dump, para começar.
A criptografia de sessão é um segundo benefício que recebe menos atenção. Assim que a autenticação do chip é concluída, o canal entre o chip e o leitor é protegido com chaves derivadas dessa troca, o que impede a interceptação dos dados confidenciais que se seguem. Para verificação de documentos de identidade, é isso que torna justificável a leitura de dados biométricos por meio de um link de rádio.
O que a autenticação por chip não consegue fazer
Não diz nada sobre os dados. Um chip genuíno pode conter dados que nunca foram emitidos de forma válida, caso o próprio processo de emissão tenha sido comprometido. A autenticação passiva ainda é necessária — as duas são complementares, não alternativas.
Isso não diz nada sobre o titular. O chip é autêntico, os dados estão assinados, mas a pessoa que o apresenta ainda pode ser um impostor. Essa lacuna só é sanada com detecção de atividade e comparação biométrica.
O apoio não é universal. Os chips mais antigos implementam a Autenticação Ativa ou, no máximo, a Autenticação Passiva. Um fluxo de verificação precisa lidar com documentos que não podem realizar essa autenticação.
Ele não consegue detectar um documento roubado. Um chip autêntico em um passaporte dado como perdido na semana passada passa por todas as verificações criptográficas. Isso requer fontes de dados externas, e não uma criptografia mais avançada.
Perguntas frequentes
Qual é a diferença entre a autenticação por chip e a autenticação passiva?
A autenticação passiva verifica a assinatura do emissor nos dados armazenados, comprovando que os dados foram emitidos e não foram alterados. A autenticação por chip comprova que o chip físico contém uma chave privada que nunca saiu do hardware. A autenticação passiva, por si só, aceitaria um chip clonado contendo dados genuínos copiados; a autenticação por chip, não.
A autenticação por chip impede a clonagem de passaportes?
Isso impede especificamente a clonagem de chips. Um invasor que copie todo o conteúdo de um chip genuíno para outro hardware produz algo que é aprovado na Autenticação Passiva, mas é reprovado na Autenticação do Chip, pois a chave privada nunca fez parte dos dados legíveis.
Em que ela difere da autenticação ativa?
Ambas comprovam que o chip contém uma chave privada. A autenticação ativa é um mecanismo mais simples de desafio-resposta que comprova a posse e nada mais. A autenticação por chip, por sua vez, estabelece chaves de sessão, de modo que tudo o que for transmitido a partir de então fica fortemente criptografado.
Todos os passaportes eletrônicos suportam a autenticação por chip?
Não. Documentos mais antigos podem implementar apenas a autenticação passiva ou a autenticação ativa como medida anticlonagem. O suporte vem se ampliando com o tempo, mas um fluxo de verificação não pode presumir que essa funcionalidade esteja presente.
