BAC

BAC (Basic Access Control) laat een paspoortchip controleren of de lezer bevoegd is voordat gegevens vrijkomen. Gebruikt in eMRTD's, vervangen door PACE.

Basic Access Control (BAC) is een beveiligingsprotocol dat de contactloze chip in een elektronisch reisdocument (eMRTD) - een paspoort of vergelijkbaar identiteitsdocument - beschermt tegen uitlezen door iemand die het document niet fysiek in handen heeft. Voordat de chip gegevens vrijgeeft, moet de lezer aantonen dat hij geheime waarden kent die alleen af te leiden zijn uit het optisch scannen van de machine readable zone (MRZ) op de bedrukte pagina: het documentnummer, de geboortedatum en de vervaldatum.

Uit die drie waarden leidt de lezer een set symmetrische sleutels af en voert daarmee een wederzijdse authenticatie en sleuteluitwisseling met de chip uit. Pas als die uitwisseling slaagt, opent de chip een versleuteld kanaal en geeft hij zijn inhoud vrij - BAC is daarmee een toegangscontrole, geen handtekening- of versleutelingsmethode op zichzelf.

BAC bestaat sinds het midden van de jaren 2000, maar de afhankelijkheid van bedrukte gegevens met relatief lage entropie - vooral bij oudere documentnummers - maakte het kwetsbaar voor gok- en afluisteraanvallen. ICAO heeft daarom Password Authenticated Connection Establishment (PACE) gestandaardiseerd als sterkere opvolger; beide protocollen zijn technisch vastgelegd in ICAO Doc 9303, terwijl het uitfaseringsschema apart is vastgelegd in ICAO Annex 9 (Facilitation). Volgens Annex 9, sectie 3.13.1, moeten aangesloten staten die eMRTD's uitgeven uiterlijk op 1 januari 2027 PACE hebben geimplementeerd; na 1 januari 2028 mogen geen nieuwe eMRTD's meer worden uitgegeven die alleen BAC ondersteunen, en BAC-only chips die al in omloop zijn moeten uiterlijk in 2038 volledig zijn uitgefaseerd.

Let op: BAC regelt wie de chip mag uitlezen, niet of de gegevens erop te vertrouwen zijn. Die tweede vraag wordt apart beantwoord door passieve authenticatie, die een handtekening van het uitgevende land over de opgeslagen gegevens controleert.