PACE

PACE is het protocol dat een beveiligd, versleuteld kanaal opent met de chip in een paspoort of ID-kaart voor gegevens worden uitgelezen.

Een protocol voor wachtwoord-geauthenticeerde sleuteluitwisseling dat een chiplezer (een terminal) en de contactloze chip in een elektronisch machineleesbaar reisdocument (eMRTD) of een elektronische identiteitskaart doorlopen voordat de lezer iets van de chip mag uitlezen. Beide kanten bewijzen dat ze hetzelfde wachtwoord kennen en spreken daarbij sterke sessiesleutels af die alle daaropvolgende communicatie versleutelen - zo hoeft niemand die het document alleen maar vasthoudt de radioverbinding zelf te vertrouwen.

Welk wachtwoord gebruikt wordt, hangt af van wat de lezer mag zien:

• CAN (Card Access Number): een kort nummer dat op de kaart staat gedrukt, gebruikt voor eenvoudige toegang zoals het tappen van de kaart bij een zelfbedieningskiosk.
• Sleutel afgeleid van de MRZ: een sleutel berekend uit de machineleesbare zone, gebruikt wanneer de lezer het document eerst optisch heeft gescand, zoals bij een paspoortpoortje.
• PIN: een geheim dat de houder zelf heeft gekozen, gebruikt bij online authenticatie met een eID-kaart, waar een hoger betrouwbaarheidsniveau nodig is.

PACE is ontwikkeld voor de Duitse elektronische identiteitskaart en vastgelegd in BSI Technical Guideline TR-03110; ICAO nam het protocol later over in Doc 9303 als opvolger van BAC, het oudere en cryptografisch zwakkere toegangsmechanisme voor eMRTD-chips. Het is relevant overal waar een proces van identiteitsverificatie de chip van een identiteitsdocument via NFC uitleest, ook wanneer dat proces uitmondt in wallet- of eID-onboarding.

Let op: het slagen van PACE bewijst alleen dat lezer en chip hetzelfde wachtwoord delen en levert een versleuteld kanaal op - het bewijst niet vanzelf dat de gegevens op de chip echt zijn. Die aparte controle gebeurt via passieve authenticatie van de ondertekende chipgegevens en, waar ondersteund, chipauthenticatie.