Bürgerportale Hintergründe und Risiken

Transkript

1 16. DFN-Workshop "Sicherheit in vernetzten Systemen" Bürgerportale Hintergründe und Risiken Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit Hamburg, 17. März 2009 Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 1

2 Zur Person: Dr. Christoph Wegener Mitarbeiter am Horst Görtz Institut für IT-Sicherheit (HGI) Gründer der wecon.it-consulting Gründungsmitglied der Arbeitsgruppe Identitätsschutz im Internet (a-i3) Auditor und Sachverständiger CISA, CISM, CBP Fachautor/-lektor/-gutachter Verschiedene Lehrtätigkeiten Web: Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 2

3 Was werde ich heute vorstellen? Technische Aspekte Bürgerportale das Konzept Problembereich "D " (fka "D-Mail") Problembereich "Dokumentensafe" Problembereich "E-Ident" Zusammenfassung und Fazit Rechtliche Aspekte Ausgangssituation Das geplante Bürgerportalgesetz Lösungen? Ausgewählte Fragen Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 3

4 Was werden ich heute vorstellen? Technische Aspekte Bürgerportale das Konzept Problembereich "D " (fka "D-Mail") Problembereich "Dokumentensafe" Problembereich "E-Ident" Zusammenfassung und Fazit Rechtliche Aspekte Ausgangssituation Das geplante Bürgerportalgesetz Lösungen? Ausgewählte Fragen Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 4

5 Bürgerportale Das Konzept Teil der High-Tech-Strategie der Bundesregierung "Das Projekt Bürgerportale soll die elektronische Kommunikation so vertraulich und verbindlich machen wie die Papierpost." Bausteine (Zuverlässigen und sichere) D (Sichere) Dokumentenablage (Benutzerfreundlicher) Identitätsnachweis Bürgerportal zum Anfassen Bald live im Internet! ;) Bei -> aktuell leider "Error 404" ;) Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 5

6 D-Mail vs. D Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 6

14 Bürgerportale Die Beteiligten "Otto Normalverbraucher" und "Lieschen Müller" Kommunizieren zuverlässig und vertraulich mit Behörden, Dienstleistern, anderen Bürgern Bezahlen die Bürgerportale Aufbau auch durch Steuern Nutzung durch Gebühren(!) für D -Postfach Bürgerportaldiensteanbieter (BPDAs) Können (vom BSI) zertifiziert sein Es gibt bereits Streitigkeiten darum Dienstleister (Service Provider) Können neue Geschäftsmodelle umsetzen Haben enorme Kostenersparnis! Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 14

15 Bürgerportale Authentifizierung in mehreren Stufen Niveau "Normal" (vgl. Grobspezifikation Version 0.96) Mittels User-ID und Passwort Kein Sicherheitsgewinn Niveau "Hoch" (vgl. Grobspezifikation Version 0.96) Mittels Besitz (Token) und Wissen Sicherheitsgewinn methodenabhängig Niveau "Sehr hoch" (vgl. Grobspezifikation Version 0.96) Mittels eines hoheitlichen Dokumentes (epa) Sicherheitsgewinn nur dann, wenn Methoden mit bidirektionaler Authentifizierung verwendet werden (etwa epa mit PACE) Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 15

16 "D " Das Konzept im Überblick Quelle: Transport der s im "SSL-Tunnel" Signatur der s erfolgt beim BPDA Verifikation auch über optionale Client-Komponente Adressierungsschema: Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 16

17 "D "-Adressen (1) Natürliche Personen Adressformate <BP-Domain des BPDA>.d .de <BP-Domain des BPDA>.d .de <BP-Domain des BPDA>.d .de des BPDA>.d .de Beispiele Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 17

18 "D "-Adressen (2) Juristische Personen Adressformat Beispiele Auch Sonderbares gültig ;) Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 18

19 "D " (1) SPAM-Problematik Adressen haben eine fest vorgegebene Struktur <BP-Domain>.d .de Namen der Diensteanbieter (BPDAs) sind öffentlich Namen der Teilnehmer sind beschaffbar Resultat: D -Adressen werden vorhersagbar Gute Nachricht für SPAMmer (valide Adressen (!)) Einschränkung bei Niveau "normal" Maximal 100 Nachrichten / 300 Empfänger pro Tag(!) Empfangene(r) SPAM/Malware wird zugestellt Malware: Benachrichtigung des Absenders/Empfängers SPAM: Markierung der Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 19

20 "D " (2) Empfangsbestätigung Bestätigt wird der -Inhalt, der beim absendenden bzw. empfangenden D -Anbieter vorliegt Ist das der Inhalt, der auch abgeschickt wurde? Wie kann der Absender das einfach überprüfen? Zugang = Zugang? Bestätigt wird die Zustellung beim empfangenden D -Anbieter, nicht aber der Abruf der D Was passiert etwa bei Hardware-Problemen nach dem Empfang, aber vor dem Abruf? Was passiert bei Problemen mit SPAM-Filtern? Vergleich mit der realen Welt "Zugang eines Briefes bei Eingang in der Poststelle"? Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 20

21 "D " (3) Kommunikationsbeziehungen Verwendung von Standard- -Clients (Oft) nur Signatur des Inhalts, aber nicht der Header Kein vertrauenswürdiger "Intermediär" beim Versand (vgl. Virtuelle Poststelle des Bundes (VPS)) Kommunikationsbeziehungen sind direkt nachvollziehbar Problematisch bei Anfragen an Behörden Akzeptierbar (für höchstpersönliche) Kommunikation? Vgl. Diskussion zur Vorratsdatenspeicherung Wird D überhaupt freiwillig genutzt werden? Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 21

22 "D " (4) Gesammelte Probleme Viele bekannte Probleme bleiben erhalten... Standard-Software ohne Hardware ist nicht sicher Zertifikats-/Signaturprüfung durch den Nutzer für versendete s. Kommunikation mit dem BPDA-Mail-Server. Identitäts-/Datendiebstahl weiterhin problematisch...und neue kommen möglicherweise hinzu "Verbindlichkeit" der D s per Gesetz Erweiterte SPAM-Problematik (Valide) Adressdatensammlung Wann wird D genutzt werden müssen? Rechnungsversand, BAFöG, Lohnabrechnungen,... Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 22

23 "Dokumentensafe light" (1) Gesicherter Zugriff auf die Daten Aus dem Grobkonzept in Version 0.96: "Aus funktionaler Sicht brauchen die Dokumente im Dokumentensafe der Bürgerportale standardmäßig nicht verschlüsselt werden." "Optional: Key-Recovery als Möglichkeit zur Sicherung der Verfügbarkeit der Daten bei Verlust des clientseitig gespeicherten Verschlüsselungsschlüssels" Key Recovery (vgl. Key-Escrow) Es gibt einen Nachschlüssel (zum Schlüssel) Alltagsbeispiel: Schließanlage Data Recovery "Daten" sind mehrfach verschlüsselt (Hybrid-Verfahren, nicht die Daten selbst werden mehrfach verschlüsselt, sondern nur der zugehörige "Session Key") Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 23

24 "Dokumentensafe light" (2) Grobkonzept contd. Aus dem Grobkonzept Version 0.98: "Aus funktionaler Sicht werden die Dokumente im Dokumentensafe der Bürgerportale standardmäßig durch den BPDA ver- bzw. entschlüsselt. Bei Bedarf soll der Nutzer auch einzelne, alle oder bestimmte Kategorien seiner Dokumente clientseitig verschlüsseln und im Dokumentensafe ablegen können." Gut: Verschlüsselung auf Anbieterseite! :) Aber E2E-Verschlüsselung OPTIONAL! :( Wie werden diese Optionen aussehen? Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 24

25 "Dokumentensafe light" (3) Schlüsselmanagement Sichere, dauerhafte Speicherung wichtiger Dokumente Zugriff bei Verlust des Schlüssels? Existenz eines "Master-Schlüssels"? Organisation des Umschlüsselns? Zeitlich begrenzte Freigabe von Dokumenten Trügerische Sicherheit In der Praxis Unsinn! Was passiert bei Verkauf/Insolvenz eines BPDA? BPDA hat Weiterbetrieb sicherzustellen ;) Zugriff auf die Daten? Wird im Extremfall durch zuständige Behörde gewährleistet. Zugriff auf die Überschlüssel? Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 25

26 "Dokumentensafe light" (3) Sicherheit der Server "Dokumentensafe" im Internet Server zur Datenspeicherung stehen im Internet Ablage von höchstpersönlichen Daten "Tresor mit sehr wichtigem Inhalt auf offener Straße" Server bieten ein extrem attraktives Ziel Höchst-persönliche Daten sehr vieler Personen Zentrale Sammelstelle Attraktivität für Kriminelle steigt, je höher die Akzeptanz durch die Bevölkerung ist. je weniger BPDAs beteiligt sind. Wann wird der erste "Dokumentensafe" geknackt? Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 26

27 "Identifizierungsdienst light" (1) Remote ausweisen Ident-Nachweis Auf Anforderung des Bürgers durch den BPDA an den Service-Provider Funktion Registrierung Altersnachweis Prinzipieller Ablauf Bürger wählt Merkmale aus Quelle: Nicht frei-wählbaren(!) Ident-Karten Zustellung per signierter D an D -Account Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 27

28 "Identifizierungsdienst light" (2) Datenschutzaspekte Zukünftig direkte Einbindung des epa Nutzung der eid-funktion Dabei Sicherheitsgewinn durch PACE Identifikation bietet dann auch "Wiedererkennung" Tracking wird ermöglicht Analyse von Käuferverhalten Aus dem Grobkonzept "Identifizierungsdienst light" "Die[] Zuordnung [von Identitätsbestätigung und Geschäftsvorfall] liegt außerhalb des Einflussbereiches der BPDA und damit auch außerhalb des Identifizierungsdienst[es] Light. Aber der BPDA muss für eine sichere Gestaltung dieser Bindung den Service Provider sensibilisieren." Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 28

29 Bürgerportale im Blick Weitere bedenkenswerte Punkte (1) Bürgerportal Infrastruktur "Für die technische Adressierung der Dienste bzw. deren Server der Bürgerportale untereinander muss jeder Bürgerportal-Diensteanbieter einen vertrauensvollen Name Service bereitstellen." Was genau ist ein "vertrauensvoller Name Service"? ;) Ist der DNS auch für Nutzer vertrauenswürdig? Keine Im-/Exportmöglichkeit beim "Persönlichen Adressbuch" und dem "Öffentlichen Verzeichnisdienst"? Identifizierungsdienst light Keine zusätzliche Erfassung der IBAN! PLZ-Felder unterschiedlich lang ;) Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 29

30 Bürgerportale im Blick Weitere bedenkenswerte Punkte (2) Account-Management Zuständige Behörde (=BSI) kann Sperrung veranlassen Zu kurzes Passwort kann zu Sperrung des Accounts führen Wer trifft dort die Entscheidung? Woher weiß der BPDA das Passwort? ;) Einschränkung der Nutzung auf IP-Bereiche möglich Nur T-Online-Kunden können D bei T-Online nutzen D Kein direkter Empfang/Versand von Internet- s durch Nutzung der D -Adresse Empfang: Weiterleitung an assoziierte Internet- -Adresse Verwirrung beim Nutzer? Versand: assoziierte Internet- -Adresse als Absender Weiterleitung auf eine andere D -Adresse OPTIONAL Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 30

31 Zusammenfassung Technische Aspekte Technische Fragen und offene Probleme Sind die technischen Probleme adäquat zu lösen? Darf/sollte man diese per Gesetz lösen? Akzeptanz durch die Bevölkerung / die Behörden Was bringt das endgültige Bürgerportalgesetz? Probleme wie beim "Signaturgesetz"? Wird das System freiwillig genutzt werden? Schleichende Erzwingung in der Zukunft? Lohnendes Geschäftsmodell Wie wird der "Markt" aufgeteilt werden? Wie viele BPDAs werden überleben? Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 31

32 Fazit aus Technikersicht ;) Bürgerportale sind ein wichtiger (=richtiger) Schritt! (Technische) Probleme aber dringend beachten! Bisherige Vorgänge in die virtuelle Welt abbilden Papier- und Internetwelt sind zwei Welten 1:1-Übertragung funktioniert nicht Papier (=Gesetze) ist geduldig Eine offene(re) Diskussion ist dringend notwendig! Der erste Schritt ist getan: Leider fehlen noch wesentliche Teile :( Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 32

33 Was werde ich heute vorstellen? Technische Aspekte Bürgerportale das Konzept Problembereich "D " (fka "D-Mail") Problembereich "Dokumentensafe" Problembereich "E-Ident" Zusammenfassung und Fazit Rechtliche Aspekte Ausgangssituation Das geplante Bürgerportalgesetz Lösungen? Ausgewählte Fragen Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 33

34 I. Ausgangssituation Das Vertrauen der Bürger in die Internetkommunikation sinkt - trotz aller technischer und rechtlicher Bemühungen. Grund: Der elektronischen Kommunikation bleibt in weiten Teilen die Anerkennung durch die Rechtsordnung verwehrt. Ausnahme: Qualifizierte elektronische Signatur ( 371a ZPO). Konsequenz: Im Fall eines Prozesses meist keine verwertbaren Beweismittel => Rechtsunsicherheit Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 34

35 I. Ausgangssituation Die im Prozess aus heutiger Sicht: (P) Zugang Eine Willenserklärung ist zugegangen, wenn sie derart in den Machtbereich des Empfängers gelangt ist, dass dieser Kenntnis von ihr nehmen kann und damit auch unter gewöhnlichen Umständen zu rechnen ist. Lösung: Brief: Briefkasten Mailserver des Empfängers Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 35

36 I. Ausgangssituation Die im Prozess aus heutiger Sicht: (P) Nachweis des Zugangs Lösung: Brief: Bote / Einschreiben mit Rückschein (-) Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 36

37 I. Ausgangssituation Die im Prozess aus heutiger Sicht: (P) Widmung für Zustellungen? Lösung: Brief: Briefkasten (-), nur bei besonderem Widmungsakt (Angabe auf Briefkopf u.ä.) Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 37

38 I. Ausgangssituation Missbrauch von Nutzer-Accounts: (P) Urheberschaft von Erklärungen Lösung: Zur Zeit nicht möglich Rechtsprechung: Kein Anscheinsbeweis bei Benutzername/Passwort-Systemen, fraglich bei PIN/TAN-Systemen Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 38

39 II. Das geplante Bürgerportalgesetz Ziel: Bürgerportale und D -Dienste sollen eine sichere und rechtlich verbindliche Authentifizierung und elektronische Kommunikation für E-Commerce und E-Government-Szenarien garantieren. Ziel: Rechtssicherheit für Verbraucher, Unternehmen und Behörden Ziel: Gleichwertigkeit von papierbasierten und elektronischen Übermittlungsverfahren Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 39

40 II. Das geplante Bürgerportalgesetz Verpflichtendes und optionales Angebot der BPDA nach 1 Abs. 2 Bürgerportalgesetz: Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 40

41 II. Das geplante Bürgerportalgesetz Verpflichtendes und optionales Angebot der BPDA nach 1 Abs. 2 Bürgerportalgesetz: Verpflichtung: Sichere Anmeldung Postfach- und Versanddienst Verzeichnisdienst Sperrdienst Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 41

42 II. Das geplante Bürgerportalgesetz Verpflichtendes und optionales Angebot der BPDA nach 1 Abs. 2 Bürgerportalgesetz: Verpflichtung: Optional: Sichere Anmeldung Identitätsbestätigungsdienst Postfach- und Versanddienst Speicherplatzdienst Verzeichnisdienst Sperrdienst Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 42

43 II. Das geplante Bürgerportalgesetz Aufsicht: Bundesamt für Sicherheit in der Informationstechnik (BSI) nach 2 i.v.m. 21 Abs. 1 Bürgerportalgesetz Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 43

44 II. Das geplante Bürgerportalgesetz Regelung der technischen Details: Rechtsverordnung des Bundesministeriums des Inneren (BMI), 25 Bürgerportalgesetz Vorteil: Schnelle Reaktionsmöglichkeit Nachteil: Ausschluss des Gesetzgebers Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 44

45 III. Lösungen? (P) Zugang? Lösung: D -Einschreiben liefert einen rechtssicheren Zustellnachweis. Bedeutung vor allem bei fristgebundenen Willenserklärungen Frage: Ist das Bürgerportal noch der Machtbereich des Empfängers? Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 45

46 III. Lösungen? (P) Widmung? Lösung: Zur Zeit keine konkrete Regelung geplant => Nicht mehr Rechtssicherheit als vorher Evtl. Klärung durch Rechtsprechung Offene Fragen: Ggf. Widmung durch Angabe im Verzeichnisdienst? Ggf. Widmung durch Veröffentlichung im Melderegister? Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 46

47 III. Lösungen? (P) Urheberschaft von Willenserklärungen? Lösung: Anscheinsbeweis nicht gesetzlich geregelt Könnte von der Rechtsprechung bei den Niveaus "hoch" und "sehr hoch" angenommen werden. => Zunächst keine höhere Rechtssicherheit. Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 47

48 III. Ausgewählte Fragen Schleichender Zwang zur Nutzung? Versand der Steuerbescheide per D ? Freiwillige Akkreditierung nach 17 Bürgerportalgesetz? Haftungsfragen? Anpassungen der Zivilprozessordnung? des Verwaltungsverfahrensgesetzes? des Verwaltungszustellungsgesetzes???? Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 48

49 Danke für Ihre Aufmerksamkeit :) Kontakt per Mehr Infos im Web: Dr. Christoph Wegener Horst Görtz Institut für IT-Sicherheit wecon.it-consulting a-i3 49