Auf der Suche nach der Identität. Jens Fromm. Fraunhofer FOKUS. Forschungsgruppe Elektronische Identitäten. 3. Tag der IT-Sicherheit, Karlsruhe

Transkript

1 Auf der Suche nach der Identität Jens Fromm Forschungsgruppe Elektronische Identitäten 3. Tag der IT-Sicherheit, Karlsruhe

2 Niveau der Interaktion Neuer Personalausweis Evolution im Internet Internet bestimmt verstärkt unsere Welt Communities Dienste Portal Uni/ Militär Inside Connected Individual Zeit

3 Identitätsmanagement Jeder Mensch ist Viele!

4 Vision: Bürgerfreundliches Identitätsmanagement Jeder Bürger hat eine digitale Identität mit verschiedenen Attributen, die er nutzen kann, um Interaktionen in der digitalen Welt durchzuführen. Er kann frei entscheiden, wem er welche Attribute aus seiner Digitalen Identität für wie lange überlässt und hat das Vertrauen, dass der Empfänger dieser Informationen, z.b. der Dienstanbieter, authentisch ist. Der Bürger kann den weiteren Fluss der eigenen Informationen auch über mehrere Instanzen hinweg steuern. Ist es für die Transaktion nicht notwendig, einen Bezug zur realen Person dem Besitzer der Digitalen Identität herzustellen, so kann er es verhindern. Die Nutzung seiner Digitalen Identität und die Auswahl der passenden Attribute für die jeweilige Transaktion sind für den Bürger einfach möglich.

5 Identitätsmanagement erfordert Vertrauen in die Identität selbst den Diensteanbieter den Identitätsanbieter die Technologie Sind meine Daten/ Attribute sicher?? Wer erhält meine Daten/ Attribute?? Was passiert mit meinen Daten/ Attributen???

6 Evolution von Identitätsmanagement Nutzername Passwort Federated Id Architekturansatz um den Austausch von Informationen über SingleSignOn Unternehmen hinweg Einmalanmeldung: zu ermöglichen. Durch eine einmalige Authentifizierung kann der Nutzer auf alle Rechner und Dienste zugreifen, für die er berechtigt ist. Nutzer-zentrierter Ansatz Der Nutzer steht im Mittelpunkt des Identitätsmanagements und behält die Kontrolle über seine Daten. Identity Convergence Einbindung, Kopplung und Integration unterschiedlicher Identity-Lösungen (beispielsweise biometrische Daten) Zeit

7 Und nun noch nationale elektronische Identitätsdokumente?

8 Grundbegriffe des Identitätsmanagements Identität Was ist eine digitale Identität? Aussagen über eine Person Langlebender Bezeichner (Identifier) Satz an Attributen, die Eigenschaften und Berechtigungen beschreiben Personen haben verschiedene digitale Identitäten für verschiedene Zwecke Die jeweils relevante wird verwendet Die Benutzung bedingt, dass der rechtmäßige Gebrauch nachgewiesen wird

9 Identitätsmanagement Welche Rolle kann der neue Personalausweis spielen? Für den Umgang mit Identitäten in der virtuellen Welt ist sicheres Identitätsmanagement wichtig Es umfasst die Verwaltung aller elektronischer Identitäten von Personen und Objekten in ihrem gesamten Lebenszyklus Identifizieren / Registrieren Der neue Personalausweis kann hierzu einen Beitrag leisten und die Punkte Identifikation, Registrierung und Authentifizierung abdecken. Authentifizieren Autorisieren Audit Managen

10 Personalausweis als Metaidentifikation Personalausweis als vertrauenswürdige Instanz zur Identifikation in der realen Welt Nachweis und Ausweis für die Identität PA eröffnet Möglichkeiten für zusätzliche Dienstleistungen Identifikation = Ich bin Ich

11 Der PA als Metaidentifikation im Netz

12 Der neue Personalausweis» Merkmale Im Inneren des neuen Personalausweises ist ein Chip untergebracht, der die neuen Funktionen ermöglicht und folgende Daten des Ausweisinhabers sichert: Das Logo auf der Rückseite kennzeichnet Internetanwendungen, Automaten und Lesegeräte, die mit dem neuen Personalausweis genutzt werden können. Wie auch der alte Personalausweis enthält auch der neue Ausweis zahlreiche Sicherheitsmerkmale.

13 Physische Sicherheitsmerkmale Zu den wichtigsten Sicherheitsmerkmalen des neuen Ausweises gehören: Guillochen: komplexe Linienmuster als mehrfarbiger Sicherheitsdruck (1 + 14) Mikroschriften (2 + 15) Taktile Merkmale (13) Oberflächenprägungen (19) Laser-Kippbild (21) Integrierter Sicherheitsfaden (23) Komplexes holografisches Schutzmerkmal: Identigram : Kinematische Bewegungsstrukturen (7) Holografisches Portrait (5) 3D-Bundesadler (6) Name des Ausweisinhabers und Seriennummer

14 Der neue Personalausweis Funktionen Zum 1. November 2010 Einführung des neuen Personalausweises. Er vereint den herkömmlichen Sichtausweis mit drei neuen elektronischen Funktionen im Scheckkartenformat

15 Die neuen Funktionen eid und QES eid Elektronischer Identitätsnachweis QES - Qualifizierte elektronische Signatur Das bin ich Anzeige der Identität des Dienstanbieters Anzeige der angefragten Daten Personendaten-Freigabe mit PIN Personendaten-Übertragung Beispiele: Anmeldung /Registrierung, Altersnachweis, Pseudonym Gegenseitiger Identitätsnachweis Das habe ich unterschrieben Anzeige des zu unterschreibenden Dokuments oder der Signieren des Dokuments mit Signatur-PIN Eingabe Überprüfen der Signatur durch Empfänger Beispiele: Unterschreiben von Verträgen, Vollmachten, s Rechtsichere elektronische Unterschrift

16 Die neuen Funktionen eid, QES und D eid Elektronischer Identitätsnachweis QES - Qualifizierte elektronische Signatur D Versand elektronischer Nachrichten Das bin ich Anzeige der Identität des Dienstanbieters Anzeige der angefragten Daten Personendaten- Freigabe mit PIN und Personendaten- Übertragung Gegenseitiger Identitätsnachweis Das habe ich unterschrieben Anzeige des zu unterschreibenden Dokuments oder der E- Mail Signieren des Dokuments mit Signatur- PIN Eingabe Überprüfen der Signatur durch Empfänger Rechtsichere elektronische Unterschrift Das habe ich versendet Versand und Empfang der D ist nachweisbar Möglichkeit der Verwendung einer qualifizierten elektronischen Signatur Möglichkeit der Nutzung einer Ende-zu-Ende- Verschlüsselung Rechtsverbindlicher elektronischer Versand

17 Innovation Gegenseitiger Identitätsnachweis (Online-Ausweisfunktion) BürgerInnen Ist das Unternehmen real? Diensteanbieter weist sich mit Berechtigungszertifikat aus Diensteanbieter Wer ist die anfragende Person? Sowohl Bürger als auch Diensteanbieter können sich bei Nutzung des neuen PA auf die Identität ihres Gegenübers verlassen Bürger weist sich mit neuem PA aus

18 Beantragung von Berechtigungszertifikaten Diensteanbieter Beantragung einer Berechtigung für das Auslesen von eid-daten aus dem Chip des Personalausweises Antrag Bescheid Gebühr Vergabestelle für Berechtigungszertifikate Antragsprüfung (Zweckbindung, Erforderlichkeit, Plausibilität usw.) Entscheidung, auf welche Daten der Diensteanbieter zugreifen darf Genehmigung oder Versagung Berechtigung Zertifizierungsdiensteanbieter Verwendung des Berechtigungszertifikats für den elektronischen Identitätsnachweis (Diensteanbieter weist sich damit gegenüber dem Ausweisinhaber aus) Bereitstellung Bereitstellung Ausstellung von Berechtigungszertifikaten (mit kurzen Laufzeiten) Sperrlisten für gestohlene/ verlorene Personalausweise

19 Die Infrastruktur Ablauf eid-funktion Diensteanbieter Nutzer authentisiert 1 Aufruf der Webseite 8 Weiterleitung zum eid-service Provider 7 Datenübermittlung an Diensteanbieter 2 4 BürgerInnen Anzeige Formular Vorname 4 3 AusweisApp starten Terminal- und Chipauthentisierung, Übermittlung der eid-daten 6 Nachname Alter... oder: PA- Geheimnis + Anbieternummer = Pseudonym 5 Bestätigung durch PIN, PACE Protokoll eid-service Provider

20 Infrastruktur Online-Ausweisfunktion Bürger Diensteanbieter Online-Ausweisfunktion PC Browser SSL SSL Webserver PIN-Brief (PIN, PUK, Sperrkennwort) Kartenleser ecard Client Initiator AusweisApp Verschlüsselter Kanal SSL ecard- API eid-server Dies ist eine dienstespezifische Sperr-liste. Dies ist eine dienstespezifische Sperr-liste Dienstespezifische Sperrliste Berechtigung Name des Dienstes Seriennummer Zugriffsrecht Berechtigungs- Zertifikat Berechtigung Herstellung Bürgeramt Personalausweisbehörde Antragstellung, Ausgabe, Änderung, Sperren & Entsperren Dies ist eine globale Sperrliste Dies ist eine globale Sperrliste Dies ist eine globale Sperrliste Berechtigungszertifikate Anbieter Globale Sperrliste Sperrdienst Umrechnung Dies ist eine dienstespezifische Sperr-liste. Dies ist eine dienstespezifische Sperr-liste Dienstespezifische Sperrliste Bundesverwaltungsamt VfB Name des Dienstes Seriennummer Zugriffsrecht Sperren & Entsperren Sperrinformation Berechtigungszertifikat Akkreditierung Personalausweis PIN- Brief Bundesdruckerei Sperrsumme Sperrschlüssel Country Signing Certificate Authority (CSCA) Sperrsumme Sperrschlüssel Datenbank BSI Dies ist eine globale Sperrliste Dies ist eine globale Sperrliste Dies ist eine globale Sperrliste Globale Sperrliste Vergabestelle für Berechtigungszertifikate Document Verifier Certificate Authority (DVCA)

21 Die neuen Funktionen Daten Auf dem neuen Personalausweis sind nur die Daten gespeichert, die außen sichtbar sind und nicht mehr als auf früheren Ausweisen! PIN-Eingabe notwendig! 2 Faktor Authentisierung Man braucht Wissen (PIN) und Besitz (PA)

22 Der Personalausweis Kartenlesegeräte Basisleser (Cat-B) Einfacher Chipkartenleser mit kontaktloser Schnittstelle Kein PIN-Pad Qualifizierte elektronische Signatur wird nicht unterstützt Preis: ca. 35 Euro BSI: TR Anforderungen an Chipkartenleser mit epa Unterstützung Standardleser (Cat-S) Multifunktionaler Chipkartenleser mit kontaktloser und optional kontaktbehafteter Schnittstelle PIN-Pad zur sicheren PIN-Eingabe Preis: ca 37* bzw. 68 Euro Komfortleser (Cat-K) Multifunktionaler Chipkartenleser mit kontaktloser und kontaktbehafteter Schnittstelle PIN-Pad zur sicheren PIN-Eingabe und Display Qualifizierte elektronische Signatur wird unterstützt Preis: ca. 120* bzw. 160 Euro Quelle: BearingPoint * Mit staatlicher Förderung

23 Datensparsamkeit und Datenschutz Informationelle Selbstbestimmung PIN-Eingabe notwendig! Datenschutz und Datensicherheit - Konzept und Umsetzung eine Weltneuheit! Dienstanbieter benötigen eine Berechtigung zur Datenabfrage Es werden nur Daten übermittelt, die der Ausweisinhaber freigibt! Datenschutzfreundliche Technikgestaltung Datensparsamkeit durch spezielle Funktionen: Altersbestätigung, Zugang mit Pseudonym Wohnortabfrage Besondere Rolle der Datenschutzbeauftragten

24 Der neue Personalausweis wurde ausführlich erprobt Labor- und Funktionstests Test elektronischer Identitätsnachweis Test Zusammenspiel der Hardware und Software- Komponenten Konformitätstest Spezifikation Test- und Demonstrationszentrum neuer Personalausweis Studien/ Wissenschaftliche Untersuchungen Restrisiken beim Einsatz des Bürgerclients auf dem Bürger-PC Diverse White Paper zu Themen rund um den neuen Personalausweis Haftungsstudie Usabilitystudie Anwendungs- und Feldtest Ab Zentral koordinierter Anwendungstest für ausgewählte Teilnehmer Ab Offener Anwendungstest für alle Interessenten Feldtest in ca. 30 Personalausweisbehörden, ab

25 Ökosystem etabliert sich 2 Berechtigungs-CA 3 eid-server-anbieter Über 5 eid-service-anbieter Viele kleinere und größere Support-Anbieter Siehe unter:

26 Verschiedene Kategorien von Kartenlesern Basiskartenleser 7 zertifiziert: Gemalto, Reiner SCT, SCM, HID, IDvation Standardkartenleser 1 zertifiziert: Reiner SCT Komfortkartenleser 1 zertifiziert: Reiner SCT Links zu den geeigneten Kartenlesern:

27 AusweisApp Durchwachsender Start Download unter: Seit 3. Januar online für Microsoft-Betriebssysteme Linux-Variante für Debian und Ubuntu seit Juni verfügbar Erstmal ohne QES-Funktionalität Mac-OS-Variante noch nicht verfügbar Aber: Spannende OpenSource-Projekte, Java-Applet

28 Berechtigungszertifikate/ Online Stand Mai 2011: Über 75 Diensteanbieter haben Anträge gestellt Über 70 Berechtigungszertifikate wurden beantragt und genehmigt Es sind derzeit 26 Unternehmen online, weitere werden folgen Weiterhin großes Interesse an der Online-Ausweisfunktion Mehr Informationen unter: Anwendungen online:

29 Eckdaten aus dem Livebetrieb 6 Mio. beantragte Ausweise seit 1. November 2011 Durchschnittliche Bearbeitungszeit ca. 6 Arbeitstage Ca. 30 Live-Anwendungen Fast die Hälfte der Bürger hinterlegt ihre Fingerabdrücke 30-50% Freischaltung der eid-funktion

30 80 Anträge auf staatliche Berechtigungen Anträge auf Berechtigungen Kalenderwoche

31 Anwendungsszenarien in der Einführungsphase Sonstige 16% Onlineshops, Portale, Soziale Netzwerke 26% E-Government Anwendungen 19% Bankensektor 7% Versicherungen 32%

32 Live Anwendungen Gothaer Gothaer Internetantrag Kfz (Ausstellung einer Versicherungsbestätigung) LVM Authentisierung/Registrierung im Internetportal Deutsche Rentenversicherung Abfrage von persönlichen Informationen Bundesagentur für Arbeit/INIT Abfrage von Informationen zum Kindergeld mulare/buerger/kindergeld/kindergeld-nav.html CosmosDirekt Registrierung/Login Stadt Hagen Abwicklung verschiedener Behördengänge (Hundesteuer, Bibliotheksdienste, etc.) allyve GmbH Registrierung und Login bei mein-cockpit Schufa Registrierung/Login am Kundenportal GDV Maklerportal Registrierung/Login am Kundenportal Tönjes Einrichten eines Benutzerkontos und Login

33 Live Anwendungen (2) Bremen Online Services (bos) Login am Kundenportal VDG Registrierung/Login am Kundenportal easy Login Registrierung/Login bei Extranets teilnehmender Unternehmen der Finanz- und Versicherungsbranche Kraftfahrt-Bundesamt Onlineantrag Punkteauskunft aus dem Verkehrszentralregister (VZR) Stadt Bremen ebürgersafe für Dateien und Dokumente REINER SCT Einsatz im Onlineshop bei Zahlung per Lastschrift Umweltbundesamt - Deutsche Emissionshandelsstelle (DEHST) Registrierung/Identitätsfeststellung HUK24 Registrierung/Login Stadt Münster Abwicklung verschiedener Behördengänge (Bestellung Katasterauszüge, Anmeldung Elektroschrott, etc.) Innenministerium Baden- Württemberg Registrierung/Login bei mein service-bw

34 Öffentliches Interesse: Besuche auf Besuche Mai 10 Jun 10 Jul 10 Aug 10 Sep 10 Okt 10 Nov 10 Dez 10 Jan 11 Feb 11 Trend»

35 eid-integrationsschritte Verständnis des Ablaufs zur eid-integration (Technische Richtlinien) Auswahl eid-server bzw. eid-service Anbieter Anbindung eid per SAML oder WebService

36 Nicht heute, vielleicht auch nicht morgen, aber zukünftig: Online-Ausweisfunktion: Nutzen für Bürger, Verwaltung und Wirtschaft Sichere Identifikation auch im Internet möglich Vertrauenswürdige Geschäftsabwicklung Bürokratieabbau durch medienbruchfreie Prozesse und Dienstleistungen Identitätsdiebstahl ist eine der am stärksten zunehmenden Kriminalitätsformen Altersbeschränkte Dienste möglich neue Geschäftsfelder Unkomplizierte regionale Dienstangebote -> Vorteile für kleine- und mittelständische Unternehmen

37 Jens Fromm Forschungsgruppe eidentitäten Kaiserin-Augusta-Allee 31, Berlin, Deutschland Tel Fax Internet: jens.fromm@fokus.fraunhofer.de