Die Präsentation wird geladen. Bitte warten

Die Präsentation wird geladen. Bitte warten

Dr. Martin Wind, TZI-ISI Elektronische Signaturen für Online-Dienste Dr. Martin Wind.

Ähnliche Präsentationen


Präsentation zum Thema: "Dr. Martin Wind, TZI-ISI Elektronische Signaturen für Online-Dienste Dr. Martin Wind."—  Präsentation transkript:

1 Dr. Martin Wind, TZI-ISI Elektronische Signaturen für Online-Dienste Dr. Martin Wind

2 Dr. Martin Wind, TZI-ISI 1. Elektronische Signaturen: Stand der Dinge 2. Signaturbasierte Online-Dienste: Probleme und Lösungen 3. OSCI und OSCAR 4. Signaturbasierte Online-Dienste für Studierende in Bemen und Bemerhaven 5. Erfolgsmodell Elektronische Signatur?

3 Dr. Martin Wind, TZI-ISI Das Internet wächst und wächst und wächst... ist aber nach wie vor nur bedingt für kommerzielle oder behördliche Transaktionen geeignet: - mangelnde Sicherheit - Anonymität der Nutzer(innen) - anpassungsbedürftiger Rechtsrahmen D.h.: Viele Anwendungen, die theoretisch übers Internet abgewickelt werden könnten, lassen sich nicht realisieren oder erfordern Zusatzaufwand.

4 Dr. Martin Wind, TZI-ISI Elektronische Signatur mit asymmetrischem Verfahren Absender einer Nachricht verfügt über einen öffentlich übers Internet abrufbaren und einen privaten, unauslesbar auf einer Chipkarte befindlichen Schlüssel. Beim Verschicken einer Nachricht signiert der Absender diese mit seinem privaten Schlüssel, dem elektronischen Pendant zur "echten" Unterschrift. Der Empfänger prüft nun die Echtheit des Absenders, indem er die Signatur mit dem öffentlichen Schlüssel des Absenders decodiert. Läßt sich die Unterschrift so verifizieren, ist die Nachricht eindeutig vom Absender und außerdem nach dem Signieren nicht mehr nachträglich geändert worden.

5 Dr. Martin Wind, TZI-ISI Elektronische Signaturen ermöglichen Authentifikation: eine Nachricht stammt tatsächlich vom angegebenen Absender sichern Integrität einer Nachricht: nachträgliche Veränderungen werden bemerkt gewährleisten Vertraulichkeit: verschlüsselte Nachrichten können nur vom gewünschten Adressaten entschlüsselt und gelesen werden öffnen den Weg für sichere und rechtsverbindliche Online-Transaktionen ohne Medienbrüche

6 Dr. Martin Wind, TZI-ISI Elektronische Signaturen in Deutschland 1997: Signaturgesetz und Signaturverordnung 2000: EU-Richtlinie zu elektronischen Signaturen : Bundestag novelliert Signaturgesetz : Gesetz über Rahmenbedingungen für elektronische Signaturen tritt in Kraft veränderter Sprachgebrauch: elektronische statt digitale Signaturen Zertifizierungsstellen können Aufgaben an Dritte delegieren (Voraussetzung: Einbindung in Sicherheitskonzept) Zertifizierungsstellen: nachgelagerte Kontrolle statt vorgelagerter Genehmigung

7 Dr. Martin Wind, TZI-ISI Arten elektronischer Signaturen nach dem neuen Signaturgesetz Deutschland 1. elektronische Signaturen (§ 2 Nr. 1 SigG) eingescannte Unterschrift, elektronische Visitenkarte u.ä. 2. fortgeschrittene elektronische Signaturen (§ 2 Nr. 2 SigG) PGP-Signaturen u.ä. 3. qualifizierte elektronische Signaturen (§ 2 Nr. 3 SigG) beruhen auf einem gültigen qualifizierten Zertifikat und sind mit einer sicheren Signaturerstellungseinheit erzeugt worden 4. qualifizierte elektronische Signaturen mit Anbieter- Akkreditierung (§ 15 I 4 SigG) alle digitalen Signaturen nach altem SigG

8 Dr. Martin Wind, TZI-ISI Rechtliche Wirkung Einfache und fortgeschrittene elektronische Signaturen nutzbar, wenn keine besonderen Formerfordernisse bestehen als Beweismittel zulässig (freie Beweiswürdigung) Qualifizierte elektronische Signaturen (mit/ohne Akkreditierung) sind i.V.m. Formanpassungsgesetzen der handschriftlichen Unterschrift gleichgestellt besitzen erhöhte Beweiskraft (Anscheinsbeweis § 292 a ZPO) Online-Transaktionen werden auch dort möglich, wo Formvorschriften dem bislang entgegen standen.

9 Dr. Martin Wind, TZI-ISI Akkreditierte Anbieter Produktzentrum TeleSec der Deutschen Telekom AG Bundesnotarkammer Deutsche Post Signtrust GmbH DATEV Steuerberaterkammern Nürnberg, Saarland, Bremen Medizon AG (Berlin) Rechtsanwaltskammern Bamberg, Koblenz, Stuttgart, München, Berlin AuthentiDate International AG (Ratingen) TC TrustCenter (Hamburg) bei RegTP angezeigt, aber nicht akkreditiert: D-Trust GmbH (100%-Tochter der Bundesdruckerei)

10 Dr. Martin Wind, TZI-ISI 1. Elektronische Signaturen: Stand der Dinge 2. Signaturbasierte Online-Dienste: Probleme und Lösungen 3. OSCI und OSCAR 4. Signaturbasierte Online-Dienste für Studierende in Bemen und Bemerhaven 5. Erfolgsmodell Elektronische Signatur?

11 Dr. Martin Wind, TZI-ISI 2.Signaturbasierte Online-Dienste: Probleme und Lösungen 2.1Das Interoperabilitätsproblem 2.2Archivierung elektronisch signierter Nachrichten 2.3Internes Key-Management

12 Dr. Martin Wind, TZI-ISI

13

14

15 Lösungsansatz 1: Standardisierung ISIS-MTT Industrial Signature Interoperability and Mailtrust Specification CCI, Datev, Signtrust, TeleSec, D-Trust, Giesecke & Devrient, Sparkassen Informatik, TC Trustcenter plus unterstützende Unternehmen und Organisationen (z.B. bos, Bundesdruckerei, secunet...)

16 Dr. Martin Wind, TZI-ISI Lösungsansatz 2: Brückenbau Bridge-CA organisationsübergreifende herstellerunabhängige Initiative zur Verknüpfung bestehender Sicherheitsinfrastrukturen 20 Unternehmen unterschiedlicher Branchen, u.a. Deutsche Bank, Deutsche Telekom, Giesecke & Devrient, Sparkassen Informatik, BSI...

17 Dr. Martin Wind, TZI-ISI Der Brückenschlag Quelle:

18 Dr. Martin Wind, TZI-ISI Lösungsansatz 3: Dienste bzw. Produkte Dritter

19 Dr. Martin Wind, TZI-ISI 2.Signaturbasierte Online-Dienste: Probleme und Lösungen 2.1Das Interoperabilitätsproblem 2.2Archivierung elektronisch signierter Nachrichten 2.3Internes Key-Management

20 Dr. Martin Wind, TZI-ISI Archivierung elektronisch signierter Nachrichten Problem: Signaturalgorithmen werden mit der Zeit schwächer, Beweiskraft schwindet

21 Dr. Martin Wind, TZI-ISI § 17 Signaturverordnung Zeitraum und Verfahren zur langfristigen Datensicherung Daten mit einer qualifizierten elektronischen Signatur sind nach § 6 Abs. 1 Satz 2 des Signaturgesetzes neu zu signieren, wenn diese für längere Zeit in signierter Form benötigt werden, als die für ihre Erzeugung und Prüfung eingesetzten Algorithmen und zugehörigen Parameter als geeignet beurteilt sind. In diesem Falle sind die Daten vor dem Zeitpunkt des Ablaufs der Eignung der Algorithmen oder der zugehörigen Parameter mit einer neuen qualifizierten elektronischen Signatur zu versehen. Diese muss mit geeigneten neuen Algorithmen oder zugehörigen Parametern erfolgen, frühere Signaturen einschließen und einen qualifizierten Zeitstempel tragen.

22 Dr. Martin Wind, TZI-ISI Archivierung elektronisch signierter Nachrichten Problem: Signaturalgorithmen werden mit der Zeit schwächer, Beweiskraft schwindet Lösungsansatz A: Nachsignieren mit Zeitstempel Lösungsansatz B: Anderweitiger Nachweis der Vertrauenswürdigkeit eines archivierten Dokuments (z.B. Verwendung eines anerkannten, überprüften, zertifizierten Archivierungsverfahrens) Forschungsprojekt ArchiSig: Beweiskräftige und sichere Langzeitarchivierung digital signierter Dokumente

23 Dr. Martin Wind, TZI-ISI Dauerhafte Nachprüfbarkeit elektronischer Signaturen Qualifizierte elektronische Signaturen: Anbieter müssen Zertifikat bis 5 Jahre nach Ende der Gültigkeit im Verzeichnis führen Qualifizierte Signaturen akkreditierter Anbieter: Anbieter müssen Zertifikat bis 30 Jahre nach Ende der Gültigkeit im Verzeichnis führen; sollte ein akkreditierter Anwender seine Tätigkeit einstellen, übernimmt die zuständige Behörde (derzeit: Regulierungsbehörde für Telekommunikation und Post) diese Dokumentation

24 Dr. Martin Wind, TZI-ISI 2.Signaturbasierte Online-Dienste: Probleme und Lösungen 2.1Das Interoperabilitätsproblem 2.2Archivierung elektronisch signierter Nachrichten 2.3Internes Key-Management

25 Dr. Martin Wind, TZI-ISI Internes Key-Management Wer benötigt eine digitale Signatur? Wie wird die Funktion einer Person elektronisch abgebildet? Lösung 1: Attributzertifikate Lösung 2: pseudonymisierte Zertifikate Lösung 3: standardmäßige Signaturkarte Welche öffentlichen Schlüssel werden zur Verschlüsselung durch die Nutzer bereitgestellt? Hybridsystem: personengebundene Signatur und bereichsbezogener Verschlüsselungsschlüssel

26 Dr. Martin Wind, TZI-ISI 1. Elektronische Signaturen: Stand der Dinge 2. Signaturbasierte Online-Dienste: Probleme und Lösungen 3. OSCI und OSCAR 4. Signaturbasierte Online-Dienste für Studierende in Bemen und Bemerhaven 5. Erfolgsmodell Elektronische Signatur?

27 Dr. Martin Wind, TZI-ISI Ohne entsprechende Online-Angebote gibt es keinen Grund für die Bürger, sich eine Signaturkarte zu besorgen. Ohne ausreichenden Bestand an Signaturkarten in der Bevölkerung gibt es keinen Grund für Anbieter, signaturbasierte Dienste zu entwickeln. Diffusionsproblem

28 Dr. Martin Wind, TZI-ISI Multimedia-Städtewettbewerb BMWi als Träger, Fördervolumen bis zu 60 Mio. DM Ziel: Erprobung der Elektr. Signatur nach Signaturgesetz 136 Grobkonzepte - 10 Detailkonzepte - 3 Siegerkonzepte Sieger: Bremen, Esslingen, Nürnberg Status: Dreijährige Förderlaufzeit begann im September 99 Gründung der bremen online services GmbH & Co. KG als PPP für Umsetzung des Bremer Projekts zentrale Begleitforschung:

29 Dr. Martin Wind, TZI-ISI Drei Säulen, die parallel entwickelt werden Behörden, Hochschulen usw. Anwendungen Digitale Signatur Bürger Kiosksystem Internet Zugang Digitale Signatur Trust Center Online-Plattform Kreditwirtschaft

30 Dr. Martin Wind, TZI-ISI Varianten der Signatur-Chipkarten Monofunktionale Signaturkarte Konto-Nr.Karten-Nr D Maestro Die Sparkasse Bremen MAX MUSTERMANN Integrierte Sig-/ec-Karte (2002)

31 Varianten von Chipkarten-Lesegeräten Lesegeräte unterscheiden sich vor allem durch die HBCI-Klasse (HBCI = Home Banking Computer Interface) Klasse 1: kein Display, keine Tastatur = keine Geldkartenzahlung über Internet Klasse 3: Leser mit Display und Tastatur = Geldkartenzahlung + Aufladung über Internet möglich

32 Auf einen Blick: Ausgabestellen Signaturkarten & Chipkartenleser und betreute Nutzerplätze in Bremen

33 Dr. Martin Wind, TZI-ISI Online-Dienste mit Signaturkarte Internet Trust Center Signaturkarte technische Plattform Kreditwirtschaft Öffentliche Verwaltung Hochschul- verwaltung Dienstleistungs- unternehmen Eine Karte für viele Anwen- dungsfelder

34 Dr. Martin Wind, TZI-ISI Plattform und Intermediär Interpretiert Nutzungsdaten ohne Zugriff auf Inhaltsdaten. Nachrichtenspeicherung und -steuerung, zentrale Dienste.

35 Dr. Martin Wind, TZI-ISI Zwischen Bürger, Verwaltung und Dienstleistern sollen rechtsverbindliche Dienstleistungen und Transaktionen vollelektronisch und ohne Medienbrüche abgewickelt werden können. Standardisierung des Datenaustausches Online Services Computer Interface (OSCI)

36 Dr. Martin Wind, TZI-ISI OSCI-Architecture (OSCAR) Client Intermediär Signieren (De)Chiffrieren Anbindung Lesegeräte Anbindung Smart Cards und Software-Zertifikate Integration von Attachments Visualisierungskomponente Transport und Routing sicherer, anonymer Mailserver (Postkörbe etc.) Zertifikats- und Signaturprüfung Funktionen wie Client Adapterfunktionen zur Anbindung beliebiger Fachverfahren Programmpaket zur Erstellung, Übermittlung und Prüfung OSCI-konformer* Nachrichten als asynchrone Mail oder Online-Komponente beliebiger Fachverfahren Dienstleister *: OSCI: Online Services Computer Interface

37 Dr. Martin Wind, TZI-ISI Das Bermuda-Dreieck

38 Dr. Martin Wind, TZI-ISI Der Weg einer OSCI-Nachricht

39 Dr. Martin Wind, TZI-ISI 1. Elektronische Signaturen: Stand der Dinge 2. Signaturbasierte Online-Dienste: Probleme und Lösungen 3. OSCI und OSCAR 4. Signaturbasierte Online-Dienste für Studierende in Bemen und Bemerhaven 5. Erfolgsmodell Elektronische Signatur?

40 Dr. Martin Wind, TZI-ISI Hochschul- verwaltung elektronischer Studentenausweis Studierende Terminal auf Campus

41 Dr. Martin Wind, TZI-ISI Vor- und Nachteile aus Kundensicht + Einfache Handhabung (in der Regel) + Begrenzter Schaden bei Verlust + Bedarfsgerechte (Multi)Funktionalität -Unkomfortable Kartensammlungen -Unterschiedliche PIN/TAN -Ungewißheit über Sicherheitskonzept des Anbieters

42 Dr. Martin Wind, TZI-ISI Vor- und Nachteile aus Anbietersicht + Sichere Identifizierung der Kunden + Bedarfsgerechte (Multi)Funktionalität + Imagegewinn, Marketinginstrument -Sehr hoher Aufwand für Karten-Infrastruktur -Abhängigkeit von einzelnen Systemanbietern -Unklare Beweislage vor Gericht -Zukunftsoffenheit?

43 Dr. Martin Wind, TZI-ISI

44 Dr. Martin Wind, TZI-ISI Internet Studierende Trust Center Signaturkarte Hochschul- verwaltung ? Selbstbedienung mit Signaturkarte

45 Dr. Martin Wind, TZI-ISI StudierendeSachbearbeitung in der Hochschulverwaltung Vorläufige Variante des Online-Dienstes Trust Center So sieht es die Sachbearbeitung

46 Dr. Martin Wind, TZI-ISI Studierende Ziel: Automatisierter Dialog mit Fachverfahren + Matr.nr. 1 Trust Center 2 Fachverfahren der Hochschulverwaltung

47 Dr. Martin Wind, TZI-ISI Geschäftsvorfälle Übermittlung von Zulassungs- und Immatrikulationsdaten Mitteilung von Adressänderungen Beantragung von Urlaubssemestern Exmatrikulation auf eigenen Antrag Ausdruck zusätzlicher Studienbescheinigungen Anmeldung zu Prüfungen (Mail/Office) SB-Funktionalitäten von Prüfungsverwaltungssystemen Korrespondenz mit Studentenwerk (BAföG, Wohnheime) Online-Gremienwahl (Erprobung an Hochschule BHV)

48 Dr. Martin Wind, TZI-ISI Gebührenregelung bremer-online-service: -pro Karte: 10,- (TeleSec: ca. 250 DM für 2 Jahre) -pro Kartenleser: 20,- DM (Marktpreis: 200 DM) Sonderregelung für Studierende: -keine Kartengebühr, wenn Registrierung im dafür vorgesehenen Zeitraum (Aktionswoche) erfolgt -keine Sonderregelung bei Gebühr für Kartenleser

49 Dr. Martin Wind, TZI-ISI 1. Elektronische Signaturen: Stand der Dinge 2. Signaturbasierte Online-Dienste: Probleme und Lösungen 3. OSCI und OSCAR 4. Signaturbasierte Online-Dienste für Studierende in Bemen und Bemerhaven 5. Erfolgsmodell Elektronische Signatur?

50 Dr. Martin Wind, TZI-ISI Fortschritte - Entwicklung prototypischer Anwendungen - Sammlung wertvoller Erfahrungen bei Aufbau und Betrieb von Public-Key-Services zunehmende Zahl von Trust Centern senkt die Kosten und fördert Wettbewerb um nutzerfreundliche Produkte Lockerungen beim Schriftformerfordernis eröffnen weitere Anwendungsfelder OSCI-Kernel kann Karten verschiedener Trust Center verarbeiten und Lesegeräte unterschiedlicher Anbieter ansprechen Interesse an Nutzungsmöglichkeiten elektronischer Signaturen nimmt zu

51 Dr. Martin Wind, TZI-ISI Probleme Unsicherheiten durch neues Gesetz, z.B.: Wann sind qualifizierte, wann akkreditierte Signaturen erforderlich? wenig eingängige Thematik für Gelegenheitsnutzer (Terminologie, Funktionsweise...) vor der ersten Online-Transaktion sind aufwändige Vorbereitungen der Nutzer erforderlich (Karte, Software, Kartenleser) Kosten-Nutzen-Relation aus Nutzersicht weiterhin inakzeptabel

52 Dr. Martin Wind, TZI-ISI

53 Ja, denn mit zunehmender Häufigkeit elektronischer Transaktionen (E-Commerce, E-Government) steigt der Bedarf nach Sicherheit und Rechtsverbindlichkeit. Ja, denn es ist unakzeptabel, den Nutzern für jeden Online- Dienst spezielle Zugangslösungen (PIN/TAN, Chipkarten plus passende Leser...) anzubieten. Aber wir sollten nicht vergessen, dass wir uns erst am Anfang eines komplizierten Diffusionsprozesses befinden. Elektronische Signaturen – auf dem Weg zum Erfolgsmodell?

54 Dr. Martin Wind, TZI-ISI Kontakt


Herunterladen ppt "Dr. Martin Wind, TZI-ISI Elektronische Signaturen für Online-Dienste Dr. Martin Wind."

Ähnliche Präsentationen


Google-Anzeigen