2006: het jaar van het biometrisch paspoort

Het Nederlandse paspoort krijgt vanaf volgend jaar een RFID-chip die draadloos kan communiceren met de computer van de douane. Op de chip staat in eerste instantie alleen een digitale gezichtsfoto. Het gezicht voor de scanner wordt gecontroleerd met het gezicht op de chip. Over een paar jaar volgen de digitale afbeeldingen van twee vingerafdrukken.

De invoering van RFID-chip in het paspoort komt voort uit een eis van de Verenigde Staten, na de aanslagen van 11 september 2001. Maar de plan voor een biometrische identiteitsvereiste lag er al langer, vertelde de baas van de Amerikaanse paspoorten, Frank Moss, onlangs tijdens een klein congres met internationale experts op het gebied van elektronische paspoorten in de Beurs van Berlage in Amsterdam.

"Een paar jaar geleden dacht ik dat we het elektronische paspoort in een jaar tijd zouden kunnen invoeren, maar als ik één ding heb geleerd dan is het wel dat het allemaal langer duurt. De verwachtingen die de biometrie-industrie schepte konden niet waar gemaakt worden," aldus Moss.

Maar in 2006 is het dan echt zo ver: Amerika laat alleen nog reizigers zonder visa toe uit landen die op 25 oktober 2006 zijn begonnen met het invoeren van biometrische paspoorten. Alle EU-landen spraken in een verordening van december 2004 af de paspoorten uiterlijk vanaf augustus 2006 te voorzien van de draadloze chips. Nederland zit achterin de middenmoot bij de invoering van het e-paspoort. De deadline voor het Nederlandse e-paspoort is eind augustus. Maar diverse buurlanden zijn al klaar: België (november 2004) en Duitsland (november 2005) geven al paspoorten met chips uit.

Kritiek op leveranciers

Moss leverde in Amsterdam felle kritiek op de leveranciers van biometrische technologie. "Biometrie is maar een gereedschap, geen doel op zich. Ik heb alle leveranciers van alles zien beloven, maar niet als ze het op grote schaal ingevoerd moet worden. Ze moeten sneller leveren en schaalbaar.

Als mensen er geen vertrouwen in hebben dat gegevens niet te onderscheppen zijn, dan brengt dat dit soort projecten en dus ook de hele biometrie-industrie in gevaar. We moeten geen claims maken als zou 11 september-kaper Mohammed Atta dankzij biometrie gepakt zijn voordat hij een aanslag pleegde. Biometrieleveranciers moeten minder beloftes maken en meer leveren dan ze beloven," aldus Moss.

Het grootste probleem bij de invoering van het e-paspoort is de beveiliging van alle techniek. Eind februari 2005 werd de Europese Commissie het eens over de technische details van het nieuwe paspoort. Die sluiten aan bij eerdere standaarden die zijn gemaakt door de ICAO, de International Civil Airline Organisation. De beveiliging beslaat tenminste drie onderdelen:

1) De zogeheten 'basic access control', die ervoor moet zorgen dat de houder van het paspoort deze ook echt moet overhandigen voordat de informatie op de chip kan worden uitgelezen. De chip op het paspoort wordt alleen uitgelezen als de cryptografische sleutel klopt. Die sleutel wordt afgeleid uit de variabelen die op het papieren paspoort staan: geboortedatum, vervaldatum en paspoortnummer.

Deze staan op de zogeheten machine readable zone (mrz), het deel van het paspoort dat door een scanapparaat gelezen kan worden. Geboortedatum, vervaldatum en paspoortnummer vormen samen de sleutel. Kloppen ze alle drie dan krijgt de computer toegang tot de bestanden op de chip.

2) Ten tweede wordt het vervalsen van paspoorten tegengegaan door de controle van de elektronische handtekening van het veiligheidsdocument. Deze handtekening bestaat uit hash-codes die worden gegenereerd uit de belangrijke gegevens op het paspoort, en bevat een sleutel uitgegeven door het land waarbij het paspoort hoort. Die sleutel moet elke drie maanden worden ververst.

3) De derde beveiligingslaag zijn EU-landen niet verplicht in te voeren, maar Nederland doet dat wel. Het is een extra sleutel die de chip meekrijgt, waardoor een extra hashcode ontstaat. Op termijn voegt de controle van de vingerafdruk nog een nieuw beveiligingselement toe.

Samenvattend kunnen de biometrische gegevens worden uitgelezen als al deze elementen er zijn:

• certificaat van SDU (de producent van de paspoorten)
• een publieke sleutel voor de controle van de echtheid van de pas
• de hashcodes die bij alle gegevens op het paspoort horen (geboortedatum, vervaldatum, paspoortnummer etc)
• de elektronische handtekening (ook geleverd door SDU)

Het bestand met de gezichtsfoto krijgt in eerste instantie geen eigen beveiliging, voor het bestand met de vingerafdruk zal dat waarschijnlijk wel gebeuren. Wie deze allemaal heeft zou theoretisch een niet van echt te onderscheiden digitale kopie van het paspoort kunnen maken.

Look-a-like-fraude

De reden om het biometrische paspoort in te voeren is vooral het tegengaan van zogeheten look-a-like fraude: dat mensen reizen op het paspoort van anderen. Amerika vermoedt dat vooral criminelen en terroristen dat doen.

In Amerika is de controle van look-a-like fraude nog moeilijker vanwege de kwetsbaarheid van de Amerikaanse grenzen, die jaarlijks 129 miljoen keer worden overgestoken.

De VS tellen nu ook 661.000 nummers van paspoorten die verloren of gestolen zijn, 10 procent van de totale database op dit gebied van Interpol. Volgens Moss heeft de VS ook 50.000 namen van vermisten of andere personen die gezocht worden door opsporingsdiensten.

De uitgifte van nieuwe paspoorten in de VS stijgt door de nieuwe vereisten: in 2005 10,5 miljoen nieuwe paspoorten, in 2006 12 miljoen, in 2007 14 miljoen en mogelijk 17 miljoen in 2008, zo vertelde Moss. Over een paar jaar moet wellicht wederom vernieuwing plaatsvinden. In de toekomst willen de VS extra kenmerken toevoegen, wat een chipgeheugen van tenminste 64kb vereist.

De eerste veldtesten met het e-paspoort zijn al in juni gedaan de VS, Australië, Nieuw-Zeeland en Singapore, die al RFID-paspoorten hebben. Sommige luchthavens, zoals van Minneapolis en San Francisco, testen het gebruik van RFID-paspoorten. De biometrische gegevens gaan Amerika's eigen databank in.

In zekere zin zijn de paspoorten al digitaal: de overheid heeft al jarenlang een databank met alle gegevens die bij uitgegeven paspoorten horen. In Amerika heeft deze databank, het Passport Records Imaging System Management, volgens Moss ingescande foto's van paspoortaanvragen sinds 1994.

PR-strijd Amerikaanse douane

Moss wil animo kweken: "Ik wil duidelijk maken dat de gegevens op de chip grotendeels hetzelfde zijn al nu op het papieren paspoort. Je moet blijven duidelijk maken welke gegevens er niet opkomen: geen vluchtgegevens, geen sociale data. Persoonlijke privacy van de burgers is beschermd door een zware technische beveiliging zodat mensen niet te volgen zijn."

Moss blijkt vol vertrouwen over een goede afloop. "Ik zal een volledig werkend biometrisch paspoort hebben voor 30 miljoen mensen tegen aanstaande oktober 2006. Als alles goed gaat," zei Moss tegen Netkwesties.

Databank ter discussie

Europa volgt Amerika gehoorzaam. Het Europees Parlement (EP) heeft op 2 december 2004 ingestemd met de opname van een gelaatsscan in paspoorten. Het Europees Parlement vond toen nog dat de opname van vingerafdrukken facultatief moet blijven. Maar die mening is herzien.

Het Europees Parlement verzette zich destijds ook tegen de centrale database met paspoortdata, vanwege risico voor misbruik. Het EP vermeldt ook nadrukkelijk dat de biometrische gegevens uitsluitend mogen worden gebruikt ter verificatie van de echtheid van documenten en voor het vaststellen van de identiteit van paspoorthouders.

Maar landen mogen zo'n online biometrische databank gekoppeld aan het paspoort wel zelf invoeren. En Nederland is, naar nu blijkt, een van de weinige landen waar de regering al heeft verklaard zo'n online databank te willen invoeren. Netkwesties sprak Sjef Broekhaar, de baas van het Bureau Persoonsregistratie en Reisdocumenten, er tijdens het congres in Amsterdam op aan, maar hij liet het bij: "De politiek moet beslissen of er een centrale databank komt of niet. Ik kan als ambtenaar alleen uitvoeren."

In eerste instantie was het de bedoeling om het e-paspoort alleen te gebruiken om te verifiëren dat reisdocument en houder bij elkaar horen. Een 'beperkte toepassing' van biometrie, noemde de verantwoordelijke minister Van Boxtel dat nog in 2002 bij de wijziging van de paspoortwet.

Maar begin 2005 trad er een verschuiving in het regeringsstandpunt op. Ministers Donner en Remkes stuurden op 24 januari 2005 een brief naar de Kamer over terreurbestrijding. Daarin staat dat er een nationale databank met biometrische data van paspoorten komt met als doel mensen te identificeren. "De mogelijkheid ontstaat om de identiteit tevens online te verifiëren. Dit veronderstelt dat de administraties van de identiteitsdocumenten met biometrische kenmerken centraal zijn georganiseerd. Aldus kan het groeiende aantal gevallen van de zogenaamde look-alike-fraude, waarvan ook terroristen gebruik kunnen maken, worden tegen gegaan," aldus de bewindslieden.

De volgende stap is de brief van minister Pechtold op 18 april 2005 aan de Tweede Kamer: "De vorming van een centrale reisdocumentenadministratie waar on line de gegevens van de reisdocumenten geverifieerd kunnen worden zal in een wetsvoorstel worden geregeld."

Pechtold noemt drie redenen:

• meer zekerheid over de identiteit van de paspoorthouder en de echtheid van het reisdocument;
• controle van de echtheid van de gegevens op het paspoort;
• een extra controle rond het aanvragen van paspoorten.

De drie redenen die Pechtold noemt gaan volgens Bart Jacobs, expert in computertechniek en beveiliging aan de Radboud Universiteit van Nijmegen niet op. "Een centrale databank geeft geen extra betrouwbaarheid, want het bevat dezelfde biometrische gegevens als die op de chip op het paspoort staan. Dit gaat alleen op als de chip op het reisdocument kapot is."

Volgens Jacobs kan de authenticiteit van het document ook offline worden aangetoond via de bestaande mechanismen. "Daarom zijn die nu juist ingevoerd. Als je beveiligingstechnieken kennelijk niet vertrouwt, moet je ze helemaal niet gebruiken."

Ook vindt Jacobs het argument van de extra controle bij de paspoortaanvraag curieus, want die aanvraag doet de burger lokaal. "Zelfs al zou je zo'n controle willen uitoefenen, kan een lichtgewicht centrale databank bij de paspoortfabrikant die alleen abstracte biometrische data bevat, door middel van hashing, misbruik al genoeg voorkomen."

'Vragen om problemen'

"Dit is vragen om problemen. Zo'n databank zal een erg aanlokkelijk doelwit zijn voor hackers die werken voor de georganiseerde misdaad. Inbraak veroorzaakt een nationale ramp. Onbegrijpelijk dat de Nederlandse overheid dergelijke risico's wil nemen."

En het is een volgende stap in latente privacyschending, indien de databanken worden gekoppeld voor identificatie. "De situatie in Nederland was eerst heel redelijk, maar veranderde naar radicaal. Het argument is simpel: terrorisme", weet Jacobs.

Zijn collega Jaap-Henk Hoepman, ook van de Radboud Universiteit, vindt de databank gevaarlijk: "Een centrale database schreeuwt gewoon om een function creep: de politie krijgt toegang tot de database bij het vinden van vingerafdrukken bij een zwaar misdrijf, bijvoorbeeld."

"Voor het paspoort bestaan natuurlijk al centrale databanken met de gegevens," zegt Marc Witteman van het onderzoeksbureau Riscure, gespecialiseerd in de beveiliging van chips en smartcards. "Als er technisch geen goede reden voor is om dit in te voeren, dan doe je dat niet."

Draadloos zwaard van Damocles

Niet alleen de databank, ook de draadloze communicatie van de chip zelf vormt een doelwit van hackers. Het was een van de verrassingen waar Amerika zich volgens Frank Moss voor geplaatst zag: "We kwamen erachter dat je draadloze communicatie van een veel grotere afstand kunt opvangen dan we hadden verwacht. Vanaf meer dan tien meter zelfs. Daardoor hebben we een betere beveiliging nodig."

De RFID-chips hebben nog een probleem: ze hebben een uniek typenummer, zeg maar een IP-adres. Moss: "Een chip heeft op dit moment een soort statisch IP-adres. Dat is altijd hetzelfde op de chip. Als je weet dat een chip met een bepaald nummer bij een bepaalde persoon hoort, kun je die persoon dus telkens herkennen. Je zou iemand zo kunnen volgen. Dus variëren we de ID-nummers van de chip."

Voor Nederland werkt SDU aan een oplossing voor het unieke chipnummerprobleem, maar duidelijkheid is er nog niet over. "Deze problematiek is zowel binnen de Europese Unie als binnen ICAO aangekaart. Het overleg binnen deze gremia is nog gaande," antwoordde het ministerie van Binnenlandse Zaken vorige maand op vragen van Netkwesties hierover.

Formule paspoortnummers gekraakt

Afgelopen zomer bleek dat de versleuteling van de biometrische gegevens op de chip relatief makkelijk te kraken valt bij een lage encryptie. Het onderzoeksbureau Riscure ontdekte dat de Nederlandse paspoortnummers op volgorde van uitgifte worden bepaald. Oftewel: de persoon die na jouw een paspoort krijgt heeft één nummertje hoger.

Riscure kon uiteindelijk daarmee de versleuteling kraken. Dit was volgens Riscure mogelijk geweest met de beperkte versleuteling (64bits of lager) die Nederland in de testversie van het nieuwe paspoort gebruikte. Een hacker krijgt daarmee zeer veel persoonsdata.

Binnenlandse Zaken raakte in augustus na de publiciteit over Wittemans ontdekking in gesprek met Riscure, en moest antwoord op kamervragen geven. Volgens minister Pechtold wordt het uiteindelijke paspoort veiliger dan de testversie.

Riscures bevindingen kwamen wel aan de orde in het zogeheten 'Comité van experts' die de Europese Commissie ondersteunt bij het opstellen van technische specificaties. De ICAO bestudeert nog welke extra beveiligingsmaatregelen er nodig zijn.

Buitenkant van metaal

Frank Moss over dit eventuele probleem in de VS: "Ik realiseerde me niet dat een paspoortnummer ook een potentieel probleem zou kunnen zijn, maar we hebben als voorzorg ook anti-skimming-apparaten in gebruik, om te voorkomen dat de versleutelde gegevens op korte afstand draadloos kunnen worden opgevangen."

Amerika overweegt het invoeren van een metalen buitenkant van het paspoort zodat er een 'kooi van Faraday' ontstaat waardoor de draadloze signalen bijna niet meer op een afstandje op te vangen zullen zijn. In feite wordt het paspoort dan een 'contactchip' die dichtbij het leesapparaat wordt gelezen in plaats van met lopen door een poortje. Dat maakt de invoering van draadloze techniek vrij nutteloos.

Riscure zegt dat de inhoud van de draadloze communicatie ook door het opvangen en meten van de elektromagnetische stralen te herleiden zou kunnen zijn. High-tech crime is tot alles in staat.

Encryptie al kwetsbaar

De meest logische oplossing lijkt het opvoeren van het encryptieniveau. De sleutels zelf zullen een encryptie hebben van 224 bits 'order of base point'. Voor het tekenproces wordt door overheden gewerkt met een encryptie van 256 bits.

De baas van de Duitse paspoorten, Edgar Friedrich, zei tijdens het congres in Amsterdam, dat de Duitse ePass die sinds november 2005 wordt uitgegeven, gebruikmaakt van SHA-1 (Secure Hash Algorithm). In dat algoritme, ontworpen door de Amerikaanse National Security Agency (NSA), ontdekten Chinese wetenschappers kwetsbaarheden.

Het kraken van de 224- en 256-bits beveiliging is nu onmogelijk voor betaalbare computers, maar dat verandert eens. Minister Pechtold beseft dat: "Ik verwacht niet dat deze 'race', gelet op de waarde van de reisdocumenten in het maatschappelijk verkeer, ooit zal ophouden te bestaan. Mijn beleid is er daarom op gericht om in de race voor te blijven door gebruik te maken van nieuwe technieken als die bruikbaar zijn gebleken."

Simpele problemen met gezichtsherkenning

De technische proeven met het nieuwe paspoort zijn in Nederland nog volop gaande. Het grootste experiment hield BZK tussen september 2004 en februari 2005 met 15.000 deelnemers in zes steden. Een aantal problemen kwam aan het licht: het maken van een digitale gezichtsfoto door gemeenten zelf is ondoenlijk. Burgers moeten zelf een pasfoto die aan veel meer eisen moet voldoen inleveren. En vooral bij jonge kinderen is het vrijwel onmogelijk om goede vingerafdrukken te maken. Ook bij de gezichtscan van kinderen treden problemen op omdat het gezicht van jonge kinderen in vrij korte tijd verandert.

Binnenlandse Zaken zegt Netkwesties dat het technisch testen, en overleg met externe deskundigen, een doorlopend proces is. het departement bracht experts samen in een groep, waar ook criticasters als Bart Jacobs deel van uitmaken.

Onlangs hield hij deze presentatie samen met zijn collega Wichers Schreur. Volgens Jacobs heeft BZK in het experiment met het nieuwe paspoort veel te weinig aandacht voor de verificatie van de identiteit van de testpersonen. Oftewel: de aandacht lag te weinig op hoeveel mensen er niet goed door het systeem werden herkend, ofwel mensen die niet werden herkend (false negative) of mensen die ten onrechte door mochten lopen (false positive). Het totale percentage verkeerd herkende mensen ligt ongeveer rond de 10 procent.

Het experiment toonde aan dat er grote problemen zijn bij het herkennen van biometrische gegevens van personen jonger dan 12 of ouder dan 60. Jacobs: "En de gezichtscans zijn niet lang genoeg getest."

Ook Marc Witteman is niet positief over de proef: "In die gebruikersproef zat helemaal niks nieuws. Iemand die een beetje verstand heeft van biometrie wist van die problemen tien jaar geleden al. Een gezicht kan al binnen anderhalf jaar wezenlijk veranderen. Kinderen en ouderen veranderen gewoon snel. Je hoeft geen wiskundige te zijn om dat te begrijpen."

Een overgang van 2d-foto's naar een 3d-variant kan voor verbetering zorgen. Witteman: "Bij 3d-gezichtsherkenning kijkt de computer vooral naar de vorm van je hoofd en die verandert niet zo gek veel. Maar voor grootschalige toepassing zijn 3d-scans nu nog een brug te ver."

In een aantal dingen lijkt nog niet te zijn voorzien, zoals het schrijven naar de chip voor bijvoorbeeld het toevoegen van kinderen of visa op hetzelfde paspoort. "Ook is er geen zekerheid dat er niet stiekem toch backdoors in het systeem zitten. Geheime toegang zou echter wel waargenomen kunnen worden als je het in de gaten zou houden," aldus Jacobs.

Volgens Jacobs zijn de protocollen voor de biometrische paspoorten niet duidelijk genoeg over abnormale situaties. "De invoering is technisch niet zo moeilijk, maar er zijn veel details."

Zijn conclusie: de zwakste schakel is de Basic Access Controle, mede door de problemen die Riscure aankaartte. Marc Witteman reageert op de uitspraak van nieuwe paspoortchef Sjef Broekhaar dat het e-paspoort niet te hacken zou worden: "Ik zou de discussie wel aandurven."

Duitsland: grenscontrole inefficiënter

Ook in Duitsland, waar het e-paspoort al is ingevoerd sinds november, kwamen bij het experiment BioP-II van de Duitse overheid (PDF) problemen naar voren: het ontwerp en de bediening van de leesapparaten moet sterk worden verbeterd. De systemen werken alleen naar tevredenheid bij mensen die extreem veel reizen, omdat die zich goed hebben ingesteld op de werking van het apparaat, zo luidde een van de andere conclusies.

"Gezichtsherkenning is überhaupt nog niet in de praktijk inzetbaar," zegt Constanze Kurz. "We zien nog steeds foutmarges van tussen de 3 en 23 procent. Bij irisscans werd tijdens de experimenten vrijwel niemand herkend. Personen die weinig reizen, worden niet goed herkend."

Volgens Kurz, werkzaam bij het Instituut voor Informatica aan de Humboldt Universiteit in Berlijn was de proef niet representatief omdat de testgroep alleen uit beroepsmatige reizigers bestond: daarvan is 70 procent gemakkelijk te herkennen mannen. Slechts 1 procent betrof ouderen, vaak veel moeilijker te herkennen en 30 procent van de bevolking uitmakend.

Vijf procent van de Duitse testdeelnemers moest door een systeemfout voor een tweede keer geregistreerd worden: kostbaar en tijdrovend. Genomen over de hele bevolking zou dat volgens Kurz betekenen dat voor honderdduizend Duitsers een extra paspoort gemaakt moet worden omdat er iets fout is gegaan. Ook bij een kapotte chip ontstaan er problemen.

Kurz meent: "Dit alles maakt de invoering van zo'n dure technologie tamelijk onzinnig. Wij hebben al een zeer veilig papieren paspoort. Die hele toevoeging van biometrie leidt tot potentiële afluisterpraktijken en had gewoon weggelaten moeten worden."

Kurz en haar collega's onderzoeken momenteel op hoeveel meter de RFID-communicatie op te vangen zal zijn. "Drie meter is erg makkelijk, in laboratoria is 50 meter mogelijk. Wij zullen proberen vanuit de parkeerplaats van een vliegveld gegevens op te vangen.

Wij zullen niet de enige zijn die hierin interesse hebben. Ook geheime diensten en mensen die uit zijn op geldelijk gewin willen vast graag RFID-signalen aftappen. Het e-paspoort is door de EU besloten, op een niet-democratische manier. Er is totaal geen maatschappelijk debat geweest over de invoering van RFID-paspoorten."

Ook Tobias Straub, die het Duitse paspoort als medewerker van FlexSecure mede ontwikkelde en het nu aan onderzoek onderwerpt bij het Fraunhofer Instutut, uitte in onder meer Heise al de nodige kritiek. Volgens de biometriedeskundige levert het e-paspoort geen efficiëntere grenscontroles op. Omdat er twee systemen gebruikt moeten worden duurt de hele procedure nogal een tijdje.

Koppelingen op til

Een centrale biometrische databank doet Maurice Wessling van Bits of Freedom huiveren: "Een centrale databank kan ook de identificatieplicht ondersteunen. Als je wordt aangehouden zonder licht en je hebt je paspoort niet bij je, dan moet je mee naar bureau om je vinger te vergeleken met de databank. Dat kan zelfs op straat als agenten mobiele vingerscanners krijgen."

En hij vraagt zich af in hoeverre dit door het bedrijfsleven gebruikt kan worden. Immers, ook het burgerservicenummer, de ov-chipkaart en het elektronisch patiëntendossier wekken argwaan: "Ook daarbij is er sprake van dat het bedrijfsleven toegang zou kunnen krijgen. Minister Zalm van Financiën praat al met banken en verzekeraars zodat die gegevens die bij een burgerservicenummer horen zouden kunnen opvragen."

Ook de oudgediende hacker Rop Gongrijp is pessimistisch over dit soort ontwikkelingen. "Eerst het RFID-paspoort en straks staat op de OV-chipkaart waar je geweest bent, wat komt hierna? Het volgen van alle auto's met chips in verband met rekeningrijden en cameratoezicht elke 100 meter in de straten? Het lijkt wel alsof in Nederland niks te gek is.

Het moet eerst flink misgaan, willen mensen realiseren dat we te ver zijn doorgeslagen. Nederland is erger dan andere landen in veel opzichten, dat maakt het zo naargeestig. In Amerika zijn mensen mondiger. Daar zie je al langzaam het verzet tegen afluister- en spionagepraktijken op gang komen."

'Biometrie is overschat'

Jacobs vindt sowieso dat biometrie wordt overschat. "Het is een domme aanpak: hetzelfde paspoort wordt overal gebruikt. Op grootschalig gebruik van biometrie is nog niemand op voorbereid. Ik verwacht substantiële aantallen foutieve identificaties. Het doel, het identificeren van mensen, wordt door biometrie ondermijnd als de e-paspoorten worden gebruikt in andere diensten en als veel ongehoorzame burgers hun vingerafdrukken op internet zouden zetten uit protest tegen privacyschending."

Paspoortfraude zal door het nieuwe paspoort wel moeilijker worden, maar terrorisme of slimme hackers houdt het niet tegen. "De weinigen die erin slagen het systeem te kraken, zullen ook meer macht dan ooit tevoren krijgen, misschien zelfs hun eigen passen kunnen uitgeven? Terrorisme zal het niet stoppen, want terroristen gaan altijd voor de makkelijke doelen. En ze reizen gewoon op geldige paspoorten. Het e-paspoort zal hooguit helpen om domme criminelen te pakken of af te schrikken."

Vingerafdrukken te fingeren

Als over ongeveer twee jaar de vingerafdrukken ook op het e-paspoort komen, speelt ook een ander probleem op: vingerafdrukken zijn gemakkelijk na te maken. Ton van der Putte van Atos Origin vervalst al meer dan tien jaar alle vingerafdrukscanners op simpele wijze, zelfs als de vingerafdrukken zijn achtergelaten op een glas, kan Van der Putte met goedkope materialen een nepvingerafdruk maken. Die plakt hij met een laagje kunststof op zijn echte vinger.

Van der Putte kan ook vingerafdrukken fysiek namaken van een digitale afbeelding. Met behulp van een printer is een goede kopie te maken van de vingerafdrukken, zo toonde Van der Putte afgelopen zomer al op What The Hack.

Dus ontstaat het risico, indien de vingerafdruk wel als enige of zwaarste bewijslast geldt, dat een onschuldige verdachte voor de taak staat om zijn onschuld te bewijzen. Een gehackt paspoort maakt dat probleem van omgekeerde bewijslast reëel, aldus Constanze Kurz. "Zo'n scenario klinkt nu nog vergezocht. Maar dat klonk de gedachte dat de politie overal op afstand kan controleren welke naam er bij een vingerafdruk hoort ooit ook..."