Elektronisch machineleesbaar reisdocument (eMRTD)
De ondertekende chip in een paspoort of ID-kaart: passieve authenticatie, chipauthenticatie en PACE, en waarom uitlezen beter is dan fotograferen.
Een reis- of identiteitsdocument met een contactloze chip, gespecificeerd in ICAO Doc 9303. De chip bevat de gegevens die op het document staan - de machineleesbare zone, de gezichtsfoto en andere datagroepen - en, cruciaal, een handtekening over die gegevens van het uitgevende land.
De beveiliging zit in lagen. Passieve authenticatie controleert die handtekening: het ondertekencertificaat van het land ondertekent document signer-certificaten, die de gegevens op elke chip ondertekenen, zodat een verifier kan vaststellen dat de inhoud door dat land is uitgegeven en niet is gewijzigd - een gewone certificaatketen op een ongewone plek. Chipauthenticatie bewijst dat de chip zelf echt is en niet een kopie van iemands gegevens, en dat kan passieve authenticatie alleen niet. En toegangsbescherming, BAC en de opvolger PACE, betekent dat een lezer eerst een sleutel moet afleiden uit gegevens die je alleen krijgt door het document in handen te hebben, zodat de chip niet zomaar antwoordt op een radiosignaal langs je zak. Van die twee heeft alleen PACE een toekomst: ICAO faseert BAC uit, eist ondersteuning van PACE vanaf 2027 en een stop op het uitgeven van BAC-only documenten het jaar daarna, waarbij de laatste oude documenten in de jaren dertig uit omloop zijn. Bouw dus voor PACE, en blijf BAC lezen zolang oude paspoorten in omloop zijn.
Voor identiteitsverificatie op afstand is dit het verschil tussen een document lezen en een document fotograferen. Een foto kan een foto van een foto zijn; een chip die via NFC wordt gelezen levert gegevens die een staat heeft ondertekend. Samen met biometrische liveness detection, die dat document aan de aanwezige persoon bindt, is het de route naar onboarding op betrouwbaarheidsniveau hoog zonder balie - en de reden dat de Cleverbase-app je vraagt je telefoon tegen je paspoort te houden in plaats van een scan te sturen.