Kompatibilität der mobilen PersoApp mit Sony Xperia L (C2105)

[Andreas Teilnehmer]

Hallo,

wir haben versucht den gesamten Authentisierungsprozess mit der mobilen PersoApp durchzuführen und sind vorerst an verschiedenen Stellen gescheitert.
Bei Verwendung fertigen APK  schlägt scheinbar die Weitergabe des Intents bei Nutzung des Ageto Testservices an die PersoApp fehl.
Wenn man die App selbst baut, kommt man bis zum Schritt bei dem die Passworteingabe erforderlich ist. Wenn man nun auf „bestätigen“ drückt, erhält man die Meldung, dass die Verbindung unterbrochen sei und man den Ausweis erneut an das Smartphone halten sollt. Dies führt jedoch nicht zum gewünschten Erfolg, sondern die App verbleibt in diesen Status. Zwischenzeitlich erscheint noch eine Meldung, dass es sich nicht um ein zertifiziertes Lesegerät handelt. Teilweise hängt sich dabei auch die NFC Schnittstelle auf und ist nicht mehr ansprechbar.
Wir haben für unsere Tests ein handelsübliches Sony Xperia L (C2105) mit Android OS 4.2.2 eigesetzt, sowie aktuelle Testausweise.
Gibt es hierbei entsprechende Erfahrungswerte oder Hinweise die uns weiterhelfen könnten?

Gruß Andy

• Diese Antwort wurde geändert Vor 3 Jahre von  Andreas.
• Diese Antwort wurde geändert Vor 3 Jahre von  Andreas.

[cka Teilnehmer]

Hallo Andy,

zum fertigen APK: da wurde soeben ein Update verfügbar gemacht. Ich habe es eben getestet und es läuft komplett durch. Sogar sehr flüssig. Das Pre-Release enthält eine Bindung auf den Testdienst. Zur korrekten Umsetzung der TRs wurde die Subject-URL des Testdienstes zwischenzeitlich angepasst und die Bindung passte nicht mehr. Das Update wurde zwar vorbereitet war aber noch nicht online.

Zum  Build des open source releases: Prinzipiell verhält sich die App dort nicht falsch. Man muss sehr genau aufpassen wo und wie man den Ausweis anlegt. Durchaus kann die Verbindung abbrechen wenn man wackelt, den Ausweis wegzieht oder nur halb unter die Fläche der Antenne bringt. Insbesondere ab dem Moment wo der Ausweis Strom braucht, das tritt bei PACE ein. Dass das Lesegerät natürlich nicht vom BSI nach TR-03119 zertifiziert ist erschließt sich vermutlich von selbst. Desweiteren wird das XPeria L AUSSCHLIESSLICH auf Android 4.1.2 unterstützt. Android 4.2.2 hat einen defekten NFC-Stack. Daher immer an die Empfehlung halten: kein Firmware Update durchführen wenn wir sagen eine konkrete Firmware muss vorliegen. Nicht umsonst prüfen wir das. In dem Fall hilft allerdings ein FW Downgrade auf 4.1.2. Mit XPerias funktioniert das zum Glück recht komfortabel.

 

Beste Grüße,

Christian

 

 

[Andreas Teilnehmer]

Hallo Christian,

danke für die Hinweise. Nach dem Einspielen der älteren Version ließ sich die NFC Schnittstelle korrekt ansprechen und die Authentisierung durchführen.

Die Kommunikation zwischen dem NFC Chip und dem Personalausweis erfolgt jedoch zunächst nicht komplett fehlerfrei. Es kam z.T. zu Verbindungsabbrüchen trotz anfänglich korrekter Erkennung des Ausweises und dies, obwohl weder das Smartphone noch der Personalausweis bewegt wurden. Nach dutzenden Tests haben wir ebenfalls festgestellt, dass dies der nicht perfekten Positionierung des Ausweises am Smartphone geschuldet ist.

Gibt es denn derzeit weitere Geräte am Markt, die ohne größere Anpassungen kompatibel wären und sich durch eine höhere Zuverlässigkeit in der Kommunikation mit dem Personalausweis auszeichnen?

Viele Grüße
Andreas

[cka Teilnehmer]

Hallo Andreas,

Du meinst die neuere Version? Denn die vorherige hatte noch die falsche Bindung.

Beim  L sollte der Ausweis längs zum oberen Ende des Telefon bündig abschließend angelegt werden. Leider ist die Feldstärke etwas mau. Aktuell „von der Stange“ läuft auch das XPeria Z2 und das Galaxy S5 mit den zum jetzigen Zeitpunkt verfügbaren Firmwares. Die Z3-Linie konnte ich noch nicht selbst testen. Das XPeria M brachte auch ganz gute Werte bentöigt aber auch eine alte Firmware dann. Mit hoher Wahrscheinlichkeit funktioniert auch das XPeria M2.

Ich hege etwas Hoffnung, dass mit Android 5 Chancen bei XPeria Z, Z1 und Z1 Compact bestehen.

Leider stehen mir auch nicht beliebig alle jeweils aktuellen Geräte zur Verfügung.

Generell wird der Ausweis zwar recht schnell erkannt und zum Beispiel die Verfügbarkeit von extended length support kann dann festgestellt werden, aber ob genug Strom anliegt merkt man erst wenn Zufallsgenerator (Challenge für PACE und Terminal Authencation (TA)), Crypto-Unit (ECDHE in PACE und ECDSA Verify in TA) und ggf. EEPROM (Update Datumsreferenz, Link-Zertifikate) anlaufen müssen.

 

Beste Grüße,

Christian

[Andreas Teilnehmer]

Hallo Christian,

der Hinweis mit der älteren Version bezog sich auf das Android OS. Für unsere Tests haben wir die neue Version der mobilen PersoApp eingesetzt.

Danke für Hinweis auf die kompatiblen Geräte, das macht die Entscheidung welche Geräte wir zukünftig beschaffen etwas einfacher

Welche Version benötigt denn das Xperia M? Wir haben hier ein Gerät mit Android 4.1.2. welches aber nicht funktioniert. In der PersoApp erscheint direkt die Meldung, dass das Gerät nicht kompatibel sei. Interessanterweise erhält man mittels NXP Tag Info aber beim Xperia L und M die gleichen Werte/Infos für maximum tranceive length und extended apdu.

Wenn wir das richtig sehen, sind derzeit aber scheinbar nur aktuelle NFC Chips von NXP kompatibel, oder? Unsere aktuellen Geräte mit Broadcom Chips (Nexus 4 & 5) scheitern ja vermutlich schon an dem extended length Problem.

Die erhöhte Stromaufnahme bei der Ausführung der Kryptofunktionen erklärt natürlich das festgestellte Verhalten bzw. Verbindungsabbruch.

Viele Grüße
Andreas

• Diese Antwort wurde geändert Vor 3 Jahre von  Andreas.
• Diese Antwort wurde geändert Vor 3 Jahre von  Andreas.

[cka Teilnehmer]

Hallo Andreas,

alles klar. Ja, nur die aktuellen PN65x mit aktueller Firmware von NXP
laufen. Die Broadcom Chips sind meinem Eindruck nach eine Sackgasse, ich
denke die Geräte kann man abhaken.

Für die extended length Problematik sind 5 Komponenten verantwortlich:
* Nfc.apk (NFC Service mit hard coded max length, schlechter Code)
* libnfc_jni.so (Interface zwischen NFC service und userspace)
* libnfc.so (userspace NFC driver layer von Android)
* libpn544 (eigentlicher NXP Treiber)
* Firmware im NFC chip

Ist eine davon nicht up-to-date war es das leider. Manchmal kann man
sich ein Android „umhacken“ und mit einer passenden Firmware des Chips
versehen, aber das klappt nicht in jedem Fall da nicht in jedem Release
eine dazu passende Austauschkomponente existiert / baubar ist.

Man kann natürlich auch gleich einen eigenen AOSP oder CM Build machen,
nur taugt das eben nicht für den Massenmarkt.

Grüße,
Christian

[Andreas Teilnehmer]

Hallo Christian,

ok, dann macht es vorerst keinen Sinn weitere Geräte mit Broadcom Chips zu testen.

Ich hatte eben meinen Post gerade editiert, als du zwischenzeitlich schon geantwortet hattest, daher hier nochmal die Frage:

Welche Version benötigt denn das Xperia M? Wir haben hier ein Gerät mit Android 4.1.2. welches aber nicht funktioniert…

Neben dem PN65 müsste dann auch der PN547 kompatibel sein, dieser ist aktuell scheinbar im Galaxy S5 verbaut.

Viele Grüße
Andreas

[cka Teilnehmer]

Hallo Andreas,

das XPeria M war leider ab 4.1.2 kaputt. Da braucht man wirklich die Allererste,
ich arbeite hier auf einer 15.1.C.2.8. Allerdings fahre ich darauf inzwischen
quasi eigene Firmware. Die Modifikationen könnte ich per Mail benennen, das wird
zu viel für hier. Dass NXP TagInfo dort fest 65546 Bytes maximum transceive length
und verrückter Weise extended APDU unsupported feststellt hängt damit zusammen,
dass in einer bestimmten Klasse des NfcService diese Werte hart kodiert sind.
Dabei wurden unten drunter libnfc_jni und libnfc in den Firmwares getauscht. Kurz
gesagt ist das auch der Trick das zurückzutauschen. D.h. die *.so von der 4.1.2er
L-Firmware in der M-Firmware verbauen. Ich hab auch die Firmware vom PN544 mit
getauscht. Dann mit /ausgeschaltetem/ NFC rebooten. Nur ausgeschaltet prüft der
Service ob er updaten kann, sprich ein File neueren Datums vorliegt.
Leider ist das Alles nicht so besonders schön, bringt das M aber wieder zurück.

Es sollten alle ab PN544 laufen, die PN54x NFC-Controller sind ja nur Bestandteil
des PN65x Packages neben dem Secure Element.
Zum Vergleich hier: http://www.nfc.cc/technology/nxp-nfc-chips/

Grüße,
Christian

[Author]

Artikel