Was ist die BlueCard?

Allgemeines

Die RWTH Aachen University BlueCard ist der neue Studierendenausweis der RWTH Aachen in Form einer Chipkarte. Die BlueCard wurde zum ersten Mal zum Sommersemester 2011 ausgegeben und ersetzt soll zunächst den bisherigen Studierendenausweis und den Bibliotheksausweis ersetzen. Zusätzlich erlaubt die Karte die Bezahlung in der Mensa. Später sollen weitere Funktionen hinzugefügt werden, wie die Bezahlung in anderen Hochschuleinrichtungen wie der Bibliothek oder an Kopierern, das Semesterticket oder die Funktion als Öffnungsberechtigung für Türen.

Aktuell unterstützt die BlueCard folgende Funktionen:

Die BlueCard gibt es in zwei verschiedenen Version: Mit Chip und ohne Chip. Die zuerst ausgegebenen Karten enthielten alle einen Chip, die man jedoch - sofern man das wünscht - gegen Karten ohne Chip austauschen kann. Der Chip ist derzeit nur für die elektronische Geldbörse nötig. Für alle anderen Funktionen wird der Chip derzeit entweder nicht genutzt oder es kann auf andere Eigenschaften wie z.B. den Barcode (RWTH-Kartennummer) zurückgegriffen werden. Der einmalige Umtausch gegen eine Karte ohne Chip ist dabei kostenlos.

Der Chip

Auf der Karte ist ein Chip? Wo denn? Wenn man die Karte passend im Licht bewegt, kann man den Chip im Kartenkörper erkennen. Von vorne betrachtet findet sich dieser als Delle unten links zwischen den Buchstaben WT und U des Schriftzugs RWTH Aachen University. Zusätzlich befindet sich noch eine Spule im Kartenkörper, die mit dem Chip verbunden. Es handelt sich bei dem an der RWTH verwendeten Chip um einen RFID-Chip, also vereinfacht gesagt um einen Funkchip. Dieser wird nicht wie man es sonst kennt durch Metallkontakte genutzt, sondern über ein elektromagnetisches Feld, welches von einem Lesegerät erzeugt wird. Weitere Information allgemeinerer Art findet sich beispielsweise im Wikipedia-Artikel zu RFID

Der in unserer BlueCard konkret eingesetzte Chip ist ein sogenannter MIFARE DESFire EV1 der Firma NXP und zwar in der Version mit 8 Kilobyte Speicherplatz. Dieser hat wenig mit dem als geknackt geltenden Chip MIFARE Classic zu tun. Sie unterscheiden sich nicht nur in der verwendeten Verschlüsselung, sondern auch schon im Aufbau des Chips an sich. Die DESFire EV1 ist dabei schon der Nachfolger der DESFire (bzw. später teilweise nachträglich als DESFire EV0 bezeichnet) und bringt ein paar weitere Features mit, die an der RWTH auch genutzt werden. Die Daten werden auf dem Chip in bis zu 32 Applikationen abgelegt, die Verzeichnissen bzw. Ordnern am Computer entsprechen. Diese Applikationen werden dabei über eine AID, eine Application ID, mit einer Länge von 3 Byte identifiziert. In diesen Applikationen können dann bis zu 32 Dateien angelegt werden. Jede Applikation verfügt über bis zu 14 Schlüssel, über die man den Zugriff zu den Daten regeln kann. Dabei kann man für verschiedene Arten von Zugriffen, wie z.B. Lesezugriff und Schreibzugriff, verschiedene Schlüssel festlegen, so dass man mit dem einen Schlüssel eine Datei zwar lesen aber nicht schreiben kann. Das Schreiben kann dann mit einem anderen Schlüssel oder auch gar keinem möglich sein. Dabei kommen bewährte Verschlüsselungsalgorithmen zur Anwendung. Zum einen bietet der Chip DES in Varianten mit einem (DES), zwei (2K-3DES) und auch drei Schlüsseln (3K-3DES), zum anderen bietet er AES mit 128-Bit-Schlüsseln.

Jede Karte mit einem solchen Chip besitzt - wie die meisten anderen RFID-Karten auch - eine UID, die Unique ID, also eine eindeutige Kartenseriennummer. Dies wird bereits vom Hersteller im Chip gespeichert und kann nicht geändert werden. Diese erlaubt eine weltweit eindeutige Identifikation eines einzelnen Chips. Diese ID hat eine Länge von 7 Byte, wobei das erste Byte mit dem Wert 04 fix ist und den Hersteller NXP identifiziert, und kann üblicherweise ohne weiteres von jedem mit einem Lesegerät ausgelesen werden. Der DESFire-EV1-Chip bietet jedoch als zusätzlich Funktion die Option eine RID, eine sogenannte Random ID, zu aktivieren. Ist diese Option auf der Karte gesetzt, so wird statt der UID für die Antikollisionsphase zu Beginn eines Kommunikationsvorgangs die RID verwendet. Diese ist lediglich 4 Byte lang und beginnt mit dem Wert 08, dem Kennzeichen einer zufällig generierten ID. Diese ID bleibt nur solange konstant, wie die Kommunikation mit der Karte andauert. Bei der nächsten Verbindung hat sich diese geändert. Die UID lässt sich bei dieser aktivierten Option dann nur noch nach Anmelden an der Karte mittels eines geeigneten Schlüssels auslesen.