Die sensiblen Daten auf den elektronischen Ausweisdokumenten müssen vor dem Auslesen durch unbefugte Personen geschützt werden. Sensible Daten sind auf dem elektronischen Reisepass die Daten, die nicht aufgedruckt sind, beim elektronischen Personalausweis werden alle Daten als sensibel behandelt.

Die sensiblen Daten können nur gelesen werden, wenn das Protokoll Terminal Authentication (Authentisierung des Lesegerätes, TA) erfolgreich am Lesegerät durchgeführt wurde.

Der RF-Chip im Ausweisdokument ist so angelegt, dass er bestimmte Daten nur dann zum Lesen freigibt, wenn das Lesegerät eine explizite Leseberechtigung für genau diese Daten (z.B. nur das Geburtsdatum) nachweisen kann. Damit der RF-Chip diese Berechtigung prüfen kann, hat er das CVCA-Zertifikat (siehe: CVCA) gespeichert. Dieses Zertifikat bildet die Wurzel der CVCA-PKI (siehe: Public Key Infrastructure), einer Hierarchie für die Berechtigungs-Zertifikate für das Lesen von sensiblen Daten auf Ausweisdokumenten.

Bei der „Terminal Authentication“ schickt das Lesegerät seine Leseberechtigung in Form eines Terminal-Zertifikats (Lesegeräts-Zertifikat) an den RF-Chip. Zusätzlich schickt das Lesegerät das CVCA-Zertifikat mit und alle Zertifikate, die in der Zertifikats-Hierarchie zwischen diesen beiden Zertifikaten stehen. Der RF-Chip kann damit die Echtheit und Unverfälschtheit des Terminal-Zertifikats kontrollieren. Für ein positives Ergebnis müssen alle in der Hierarchie nachfolgenden Zertifikate jeweils mit dem geheimen Schlüssel ihres Vorgängers signiert worden sein, beginnend mit dem CVCA-Zertifikat. Dieses ist für den RF-Chip vertrauenswürdig, da es schon bei der Herstellung zusätzlich auf dem RF-Chip gespeichert wird.

Wenn die Echtheit und Unverfälschtheit des vom Lesegerät gesendeten Terminal-Zertifikates feststeht, muss der RF-Chip noch sicherstellen, dass dieses Zertifikat auch wirklich für dieses Lesegerät ausgestellt wurde. Daher schickt der RF-Chip eine Zufallszahl an das Lesegerät, welches diese mit dem geheimen Schlüssel signiert, der zu dem Terminal-Zertifikat gehört. Dann sendet das Lesegerät die signierte Zufallszahl zurück an den RF-Chip. Mit dem öffentlichen Schlüssel des Lesegeräts, welcher im Terminal-Zertifikat enthalten ist, kann der RF-Chip die Signatur der Zufallszahl prüfen und damit feststellen, ob das Lesegerät den zum Zertifikat passenden geheimen Schlüssel besitzt.

Terminal Authentisierung ist ein Teil des EAC Protokolls. Details über dieses Verfahren können Sie in der Technischen Richtlinie BSI-TR-03110 (Englisch) nachlesen.