Whitepaper D-TRUST onlinera 2010

Transkript

1 Whitepaper D-TRUST onlinera 2010 Bundesdruckerei GmbH c/o D-TRUST GmbH Kommandantenstraße 15 D Berlin vertrieb@bdr.de Tel.: +49 (0) 30 / Fax: + 49 (0) 30 /

2 Inhalt 1. Einleitung 3 2. Leistungen zur onlinera 3 3. Kartendetails 4 4. Optionen Kartenlayout 4 5. Folgekarten 4 6. Hard - und Software Anforderungen 4 7. Sperrmöglichkeiten 5 8. Schulungen 5

3 1. Einleitung Was ist eine D-TRUST onlinera? Eine D-TRUST onlinera ist ein beim Kunden installierter Registrierungsarbeitsplatz mit dessen Hilfe qualifizierte Signaturkarten oder fortgeschrittene Softtoken personalisiert und ausgegeben werden können. 2. Leistungen zur OnlineRA Das SigG (Signaturgesetz) legt fest, dass jede Person, die eine qualifizierte Signaturkarte erhalten soll, persönlich identifiziert werden muss. Um diesen Anforderungen nachzukommen, bietet D-TRUST den onlinera Service als externe Identifizierungs-, Personalisierungs- und Ausgabestelle an. Die Nutzung der dargestellten Dienstleistungen setzt vor aus, dass: Der Auftraggeber mit der D-TRUST einen Vertrag zur externen Identifizierung abschließt Die vom Auftraggeber zu bestimmenden Identifizierungs-Mitarbeiter (ID-MA) ein gültiges polizeiliches Führungszeugnis vorlegen und die gesetzlich vorgeschriebene Schulung absolviert haben. Damit erhält der Auftraggeber die Möglichkeit, Karten selbst zu personalisieren. D-TRUST stellt dem Auftraggeber vorpersonalisierte Karten zur Verfügung, die die Identifizierungs-Mitarbeiter (ID-MA) vor Ort je nach Bedarf personalisieren können. Der Gesamtprozess umfasst: die Beantragung der Signaturkarte durch den Antragsteller bei den durch den Auftraggeber zu bestimmenden Identifizierungs-Mitarbeitern (ID-MA) die Identifizierung des Antragstellers durch den ID-MA an einem separaten Arbeitsplatz die Weitergabe der Anträge an die D-TRUST durch die ID-MA die Personalisierung der Karte am onlinera-arbeitsplatz die Ausgabe der personalisierten Karten durch die ID-MA an die Antragsteller Zum Service der D-TRUST onlinera gehört ein kompletter Registrierungsarbeitsplatz zur Beantragung und sofortigen Personalisierung und Ausgabe von qualifizierten Signaturkarten (D-TRUST card). Von D-TRUST werden vorpersonalisierte Karten bereitgestellt. Die Personalisierung ist ausschließlich für Standardkarten mit einer Laufzeit von zwei und vier Jahren möglich. (Mehrfachsignaturkarten dürfen nur innerhalb eines Trustcenters personalisiert werden.) Sicherheitsvorkehrungen Die Anmeldung am PC ist über einen Usernamen und ein Passwort geschützt, das nur den RA- und CC-Officern bekannt sein darf. Die Bedienung der D-TRUST onlinera ist nur möglich mittels D-TRUST RA- und CC-Officer Karten, die für die Nutzung der onlinera von D-TRUST freigegeben wurde. An die USB - Anschlüsse dürfen nur die von D-TRUST mitgelieferten Geräte angeschlossen werden. Der D-TRUST onlinera-arbeitsplatz muss in einem verschlossenem Raum gelagert werden. 3

4 3. Kartendetails D-TRUST wird qualifizierte Signaturkarten mit 2048 Bit Schlüssellänge liefern. Diese enthalten standardmäßig zwei X.509 Zertifikate mit den dazugehörigen Schlüsselpaaren (ein qualifiziertes Zertifikat für die qualifizierte Signatur; ein fortgeschrittenes Zertifikat zum Authentifizieren, Verschlüsseln und fortgeschrittenem Signieren). Die Spezifikationen von ISIS-MTT für Endnutzerzertifikate werden erfüllt. Als Signaturkarte kommt derzeit das Produkt der Firma Siemens mit dem Betriebssystem CardOS V4.3b zum Einsatz. Der SLE66CX322P Chip mit integriertem Security Controller für asymmetrische Kryptografie und echtem Zufallszahlengenerator wurde erfolgreich gegen die Anforderungen der Stufe EAL5+ der Common Criteria zertifiziert und ist als D-TRUST Card 2.2 als qualifizierte Signaturkarte zugelassen. Für jedes Zertifikat erhält der Nutzer eine PIN, sowie einen PUK für beide PINs. Der PUK dient zum Zurücksetzen des Fehlbedienungszählers der PIN. Die Karten haben eine Gültigkeitsdauer von zwei und vier Jahren. 4. Optionen Kartenlayout D-TRUST bietet dem Auftraggeber - ohne zusätzlichen Kostenaufwand - die Möglichkeit, seine eigene Firmenbezeichnung auf der Kartenvorderseite nach Vorgaben der D-TRUST mit aufdrucken zu lassen. D-TRUST ist gern bereit, auch darüber hinaus gehende Layout-Vorgaben des Auftraggebers zu berücksichtigen. Dieser Service ist jedoch kostenpflichtig und bedarf der individuellen Vereinbarung. 5. Folgekarten Nach Ablauf der Zertifikatsgültigkeit müssen die Signaturkarten erneuert werden. Wenn sich die Antragsdaten nicht geändert haben, kann ein vereinfachtes Antragsverfahren über die D-TRUST erfolgen. Die D-TRUST onlinera stellt keine Folgekarten aus, damit ist nach Ablauf der Kartenlaufzeit eine erneute Identifikation des Antragsteller nötig. Die Zertifikatsausstellung kann dann bei D-TRUST auf Grundlage der bereits vorliegenden Antragsdaten ohne erneute Identifizierung erfolgen. Haben sich die Antragsdaten geändert, dann muss wieder eine Identifizierung erfolgen. 6. H a r d - u n d S o f t w a r e Der D-TRUST onlinera-arbeitsplatz wird von D-TRUST eingerichtet und kann per Fernwartung administriert und aktualisiert werden. Der Aufbau der VPN Verbindung zum Trustcenter erfolgt über eine VPN Verbindung. Der VPN Client ermöglicht eine sehr sichere Kommunikation zwischen onlinera und Trustcenter. Als Identifikationsarbeitsplatz muss ein internetfähiger Arbeitsplatz vom Kunden gestellt werden. Hier werden über ein Webinterface mit Verbindung zum Trustcenter die Daten des Antragstellers erfasst. Hardware Notebook 15.4 (aktuell Fujitsu Siemens, Stand Q1/2010) Kartenleser intern Internetanschluss über UMTS (SIM card ist vom Kunden zu stellen) Software Lizenz Betriebssystem Windows XP prof. Lizenz Nexus Personal Lizenz Nexus Registration Authority Lizenz Nexus Certificate Controller Lizenz NCP Secure VPN/PKI Client 4

5 Zur Integration in vorhandene Signaturanwendungen stellt D-TRUST die Middleware Nexus Personal (unterstützt Microsoft Crypto API, PKCS#11 und OCF) inklusive einem kostenlosem Update innerhalb der gültigen Softwareversion für zwei Jahre zur Verfügung. Anwendungsbeispiele für fortgeschrittene Signaturen: PDF-Signatur mittels Acrobat Reader und -Signatur- und Verschlüsselung mit Microsoft Outlook und OutlookExpress. 7. Sperrmöglichkeiten Der Antragsteller wählt bei der Antragstellung ein Sperrpasswort, das zum sofortigen telefonischen Sperren der Karte, z.b. bei Verlust oder Diebstahl, verwendet wird. Organisationen, die im Zertifikat genannt sind, benennen bei der Antragstellung einen sperrberechtigten Dritten, der zur schriftlichen und telefonischen Sperrung berechtigt ist und dem dazu von D-TRUST das Sperrpasswort mitgeteilt wird. Die Anmeldung zum Sperren erfolgt mit einer zweiten Officer-Karte (CC-Officer). Key Compromise bei Kompromittierung des privaten Schlüssels oder bei Verlust und Verdacht auf Kompromittierung. Superseeded es liegt keine Kompromittierung des privaten Schlüssels vor, das Zertifikat ist noch gültig, soll aber nicht mehr verwendet werden. Cession Of Operation es liegt keine Kompromittierung des privaten Schlüssels vor, das Zertifikat ist noch gültig, wird aber nicht mehr benötigt. 8. Schulungen Wenn ein Kunde eine eigene Registrierungsstelle für qualifizierte Zertifikate betreiben möchte, so muss sich gemäß Signaturgesetz der Registrierungsmitarbeiter für diese Tätigkeit schulen lassen. D-TRUST bietet dazu eine Schulung für externe Identifizierungsmitarbeiter an, damit diese gesetzeskonform beraten und alle Sicherheitsbestimmungen im Umgang mit der digitalen Signatur kennen und diese anwenden können. Sie müssen in der Lage sein, die entsprechende Registrierungssoftware zu bedienen und die Identifizierung ordnungsgemäß durchzuführen. Die Teilnehmer/innen werden in der ganztätigen Schulung zu kompetenten Identifizierungsmitarbeitern ausgebildet und erhalten das entsprechende Schulungsmaterial. 5