Digitale Signatur. Technische und organisatorische Umsetzung im operativen Tagesgeschäft. Malte Naumann

Transkript

1 Digitale Signatur Technische und organisatorische Umsetzung im operativen Tagesgeschäft Malte Naumann LESSING & PARTNER Unternehmensberatung für EDV-Sicherheit GmbH Deutschland Schloß Kellenberg D Jülich-Barmen Germany Tel.: (++49)-(0) Fax: (++49)-(0) Internet: AG Schweiz Eichstrasse 50 CH-6330 Cham Switzerland Tel.: (++41)-(0) Fax.: (++41)-(0) Internet:

2 Inhalte des Vortrags Angriffsmöglichkeiten Zielerreichung der digitalen Signatur Grundlagen Signaturerzeugung / -verifizierung Tools Digitale Zertifikate Trustmodell Funktionsbereiche der PKI Sicherheitsanforderungen Trust Infrastructure Organisatorische Tätigkeiten Auszug Projektarbeitsschritte 2

3 Angriffsmöglichkeiten / Gefahrenpotentiale Spionage der Nachricht Teilnehmer A Netz Nachricht Teilnehmer B Vortäuschen einer falschen Identität Manipulation der Nachricht Abstreiten des Empfangs der Nachricht VHaspaPS1H.vsd 3

4 Zielerreichung der digitalen Signatur Digitale Signatur: Schutz vor Integritätsverlust der Nachricht plus Zertifikat Schutz vor Authentizitätsverlust des Kommunikationspartners plus Zeitstempel Schutz vor dem Verlust der Verbindlichkeit (Abstreitbarkeit des Empfangs) 4

5 Grundlagen Eigenschaften einer digitalen Signatur: Verbindung von digitaler Signatur und Dokument Eindeutige Zuordnung der digitalen Signatur zu einer Person Nachweis der Integrität des Dokumentes Nachweis der Authentizität des Absenders Realisierung durch asymmetrische Signaturalgorithmen Teilnehmer besitzt ein Schlüsselpaar mit einem privaten Schlüssel = Signaturschlüssel öffentlichen Schlüssel = Signaturprüfschlüssel 5

6 Grundlagen Die Signatur eines Dokumentes erfolgt mit dem privaten Schlüssel. Kein anderer Teilnehmer kann diese Signatur zu diesem Dokument herstellen. Jeder Teilnehmer kann mit dem öffentlichen Schlüssel des Unterzeichners die Signatur zu dem Dokument überprüfen. 6

7 Erzeugung einer digitalen Signatur Dokument Message Digest Signaturschlüssel Hashfunktion Signatur- Verfahren Digitale Signatur 7

8 Verifizierung der digitalen Signatur Sender Signaturschlüssel (privater Schlüssel) Empfänger Signaturprüfschlüssel (Öffentlicher Schlüssel des Senders) Hashwert / Message Digest Netz Hashwert (A) Hashwert (B) Wenn A = B, dann gilt: Nachricht authentisch Nachricht Nachricht Signatur Erstellung Signatur Überprüfung VHaspaDS1H.vsd 8

9 Welche Tools gibt es Produkt Pretty good Privacy (PGP) Authent MULTISEC Mail Safeguard Sign & Crypt PEMPro Editor Hersteller NAI SECUDE CoCoNet Utimaco Siemens 9

10 Beispiel einer Signatur mit PGP -----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1 Sehr geehrter Hr. Bienemann hiermit bestätige ich den Termin am , Uhr. Mit freundlichen Grüßen Naumann -----BEGIN PGP SIGNATURE----- Version: PGP iqa/awubpgflr+wbnqcrt4uueqldegcfwmqfno0wqlq8piovy0qqjjoylvoaoie2 pod/b0ttgosuawahkfbwkal4 =q60t -----END PGP SIGNATURE

11 Problematik bei der Verifizierung der digitalen Signatur Sicherstellung der Authentizität des Signaturprüfschlüssels (öffentlicher Schlüssel des Kommunikationspartners) Realisierung durch: Übermittlung des öffentlichen Schlüssels über einen authentischen und integeren Kanal Einsatz von vertrauenswürdigen Zertifikaten 11

12 Digitale Zertifikate Zertifikate : sind elektronische Bescheinigungen, die von einer vertrauenswürdigen Instanz angefertigt werden. Sie ordnen einen Signaturprüfschlüssel einer Person zu und bestätigen die Identität dieser Person. 12

13 Inhalt eines digitalen Zertifikates (X.509 V3) Versionsnummer Seriennummer des Zertifikates Angaben zum Signaturverfahren Algorithmus / Parameter Name des Ausstellers Name des Zertifikatseigentümers / Subjekt Gültigkeitszeitraum für das Zertifikat Signaturprüfschlüssel der Subjekts Zusätzliche standardisierte Extensions Overall Signatur der Zertifizierungsinstanz 13

14 14

15 Trustmodell / Vertrauensinfrastruktur Hierarchische-Struktur Root-CA (Holding) CA (West) CA (Süd) CA (Ost) TN TN TN TN TN TN TN TN Netzstruktur CA (West) Cross-Zertifizierung CA (Ost) CA (Süd) TN TN TN TN TN TN VTrustmodel001h TN TN Root CA = Root Certification Authority CA = Certfication Authority TN = Teilnehmer 15

16 Funktionsbereiche einer Public Key Infrastructure Key Management / Schlüsselmanagement Certification Authority / Zertifizierungsstelle Registration Authority / Registrierungs- bzw. Annahmestelle Directory / Verzeichnis Time Stamping Service / Zeitstempeldienst 16

17 Public Key Infrastructure Funktionseinheiten Kontrolle und Beobachtung Vertrauenswürdige Instanzen Trust Center Schlüsselmanagement Key Management Center Zertifizierungsstelle Certification Authonty Verzeichnisdienst Directory Zeitstempeldienst Time Stamping Service Schlüssel Archive Key Recover Center Kontrolle & Beobachtung VPKI001h 17

18 Key Management Schlüsselgenerierung optional beim Trust Center oder dem Teilnehmer sichere und vertrauenswürdige Schlüsselerzeugung geheimer Schlüssel darf höchstens dem Teilnehmer bekannt sein Lösung: Generierung und Speicherung der Schlüssel auf Chipkarte, die durch Identifikationsprozedur (PIN, Fingerabdruck,...) geschützt ist. Schlüsselverteilung Schlüsselwiderruf 18

19 Zentrale Schlüsselgenerierung beim Trust Center 19

20 Dezentrale Schlüsselgenerierung beim Teilnehmer 20

21 Zertifizierungsstelle Erstellung von vertrauenswürdigen Teilnehmerzertifikaten Zertifikatserneuerung Zertifikatsverwaltung /-archivierung Zertifikatssperrung Sperrlistenverwaltung 21

22 Verzeichnisdienste Führen einer Zertifikatssperrliste frei zugänglich und lesbar für alle Teilnehmer Verzeichnis mit öffentlichen Schlüsseln ggf. frei zugänglich und lesbar für alle Teilnehmer Verändernde Operationen dürfen nur nach Freigabe durch die Zertifizierungsstelle erfolgen. 22

23 Kern-Sicherheitsanforderungen an die Funktionsbereiche der PKI Physikalischer und logischer Schutz vor Angriffen Protokollierung sämtlicher Aktivitäten Laufende Kontrolle & Beobachtung aller sicherheitsrelevanten Aktivitäten durch Einführung von Kontrollkreisläufen Einrichtung einer unabhängigen Kontrollinstanz Vertrauenswürdiges und geschultes Betriebspersonal Rollen- und Funktionstrennung Implementierung einer Trust Infrastructure 23

24 Komponenten der Trust Infrastructure Ebenen TI Trust Infrastructure Organisation / Trustmanagement Policies / Richtlinien / Vorgaben Rollendefinition / Funktionstrennung Prozeßdefinionen etc. Anwendungsumgebung Speichermedien Dienste / Funktionseinheiten RA Registration Authority SmartCard Personalisierung KMC Key-Management- Center Anwendungen / Hardwareumgebung (SecureMessaging / Chipkartenlesegerät /...) USB-Token Personalisierung KRC Key- Recovery- Center CA Certification Authority etc. DIR Directory OCSP TSA Time-Stamping- Authority Kontrolle und Beobachtung Technische Basis PKI Public-Key- Infrastructure SKI Secret-Key- Infrastructure 24

25 Dokumentenhierarchie einer Trust Infrastructure Ebene Strategie Sicherheitsaussagen für Kunden Arbeitsgebiet Systeme & Tools Parameter Allgemeine IT-Security Policy Certification Policy Trust Infrastructure Policy Key Recovery Policy Key Mgmt Policy Arbeitsgebietsbezogene Richtlinien CA / KM / KR / TS / DIR / Objektschutz Systemtechnische Richtlinie z.b. Entrust, Baltimore, Secure Messaging etc. Parameterspezifische Vorgaben Allgemeine Sicherheitsarchitektur (ASiA) Digitale_Signatur.ppt 25

26 "Policy"-Instanzen der Trust Infrastructure Policy Approving Authority Erhöhte Sicherheit Kontrolle & Beobachtung Registration Authority Key Management Center Policy Certification Authority Certification Authority Time Stamping Authority Normale Sicherheit Key Recovery Center TN (Teilnehmer) VTI_Policies002h 26

27 Organisatorische Aufgaben Erarbeitung / Verabschiedung Trustmodell Policies und Richtlinien Notfallkonzept Namenskonzept Definition der Ablauforganisation Prozesse Aufgaben / Rollenfestlegung und -trennung Managementaufgaben Schlüsselmanagement Zertifikatsmanagement Sperrmanagement 27

28 Auszug Projektarbeitsschritte (1) Machbarkeitsstudie / Anforderungen Produktevaluierung und Auswahl Festlegung der Pilotgebiete und Anwendungen Festlegung Zertifizierungshierarchie u. PKI- Funktionsbereiche Festlegung der Räumlichkeiten für den Trust Center Betrieb Definition der Kernprozesse (Registrierung / Schlüsselmanagement / Zertifizierung etc.) Verantwortlichkeitsfestlegung / Rollendefinition 28

29 Auszug Projektarbeitsschritte (2) Erarbeitung / Verabschiedung der TI- bzw. Certificate-Policy Festlegung/Erarbeitung der Regelwerke / Betriebshandbücher Erarbeitung Backup- und Notfallkonzept Testinstallation / Testbetrieb in verschieden Phasen Schulung der Testanwender Rollout Schulung der Anwender 29