Fraunhofer IBMT. D2D goes KV-SafeNet (2) D2D aktuell (im Backbone, mit HBA, in der Zukunft)

Transkript

1 D2D goes KV-SafeNet (2) D2D aktuell (im Backbone, mit HBA, in der Zukunft)

2 Seit wann läuft D2D via VPN? Die Nutzung von D2D über VPN-Verbindungen ist möglich seit Indienststellung des D2D-Serverknotens in Stuttgart Ende 2003! Zunächst KV-spezifische Anbindungen Mit Verfügbarkeit von KV-SafeNet V.3 KVübergreifende Anbindung mit öffentlichen IP- Adressen Serverknoten der KVWL von Beginn an nur per KV- SafeNet (V.2) erreichbar

3 KV-SafeNet als zeitgemäße Lösung Gesunkene / sinkende Kosten Zunehmende Anbieterzahl Einfache Konfiguration des lokalen Systems Gestiegene Zuverlässigkeit Zunehmende Anzahl von Dienstangeboten der KVen Unabhängigkeit von DSL- Anschlüssen (nicht an neuen DSL-Anschluss gebunden) z.b.:

4 Zugangs- Knoten Ddf. KVNo KVNo KV-SafeNet aus D2D-Sicht Zugangs- Knoten Hessen KVWL KVWL KVNi KVNi KVBaWü KVBaWü KVBY KVBY Zugangs- Knoten Bayern

5 KV PORTAL Anbindung in der KV Dienste- Dienste- Netz Netz KVNo KVNo D2D-DMZ D2D-DMZ KVNo KVNo - - Netz Netz KVNo KVNo Zugangs- Knoten Ddf. Zugangs- Knoten Hessen KV-RZ

6 Ablauf einer D2D-Übertragung D2D-( Home )-Server: - Weiterleitung oder - lokale Speicherung Kommandos D2D-Daemon: - verarbeitet Kommandos - kommuniziert mit Server Kommandos Nutzdaten Nutzdaten Quittungen Quittungen Nutzdaten Nutzdaten Lokale Software: - erstellt Dokument - steuert D2D Weiterleitung D2D-Server (Empfänger): -lokale Speicherung - Warten auf Abruf Kommandos D2D-Daemon: - verarbeitet Kommandos - kommuniziert mit Server Kommandos Nutzaten Nutzaten Quittungen Quittungen Nutzdaten Nutzdaten Lokale Software: - steuert D2D - verarbeitet Dokument

7 Düsseldorf Das D2D-Server Dortmund Hannover Stuttgart München

8 Düsseldorf Das D2D-Server Dortmund Hannover Stuttgart München

9 D2D- D2D- DMZ DMZ Düsseldorf Das D2D-Server D2D- D2D- DMZ DMZ Dortmund D2D- D2D- DMZ DMZ Hannover D2D- D2D- DMZ DMZ D2D- D2D- DMZ DMZ Stuttgart München

10 Aktuelle Backbone-Verbindungen aktueller Stand der Sichtbarkeit der D2D-Server im KV-Backbone:

11 praktisch: Umstellung auf KV-SafeNet 2 Möglichkeiten der Anpassung von D2D: manuelle Änderung der D2Dd2.ini D2DConnect.exe

12 Manuelle Anpassung D2Dd2.ini: : [ISDN] Type=2 IP= Destination=D2DServer ; obsolet Timeout=30 ConnectMode=vpn-router/lan ; optional Gateway= ; optional : Routen-Eintrag in Windows: C:> route p add MASK

13 D2DConnect.exe (Showcase) Bestandteil künftiger D2D-Installationsskripte (vorauss. ab 2/2011) stand-alone lauffähig zur Anpassung / Prüfung von D2D-Client-Server-Verbindungen verfügbar vorauss. Ende Januar 2011

14 Basis: Server-Stammdatei <?xml version="1.0" encoding="iso "?> <D2D_Serverliste> <Datum> </Datum> <D2D_Server> <Name>Demo</Name> <AnzeigeName>Öffentlicher D2D-DemoServer im IBMT</AnzeigeName> <Standort>St. Ingbert</Standort> <KeyID>1000</KeyID> <ServerIPs> <ServerIP> </ServerIP> </ServerIPs> <LDAPIPs> <LDAP_IP> </LDAP_IP> </LDAPIPs> </D2D_Server> <D2D_Server> <Name>KVNo</Name> <AnzeigeName>D2D-Server der KV Nordrhein</AnzeigeName> <Standort>Düsseldorf</Standort> <KeyID>1015</KeyID> <ServerIPs> <ServerIP> </ServerIP> <ServerIP> </ServerIP> <ServerIP>d2d.kvno.kv-safenet.de</ServerIP> </ServerIPs> :

15 Neben KV-SafeNet Aktuelles zu D2D

16 D2D auf der Zeitskala 1.4.x (04 / / 2010) 1.7.x (08 / / 2010) 1.8.x (03 / / 2011) 1.9.x (08 / / 2011) 2.x (02 / 2009 ) Mitte 2011 werden 1.x-er Versionen auslaufen (Versionen < 1.8 bereits per ) Ausblick: Wesentliche Features der Version 3.x: Software-Zertifikate statt Software-Schlüssel Anbindung an PKI der KVen Fileschnittstelle nur noch in XML vorbereitet für KV-Link keine DFÜ-Unterstützung mehr 3.x (07 / 2011 )

17 D2D Version 2.x Stärkere Orientierung an Standards bei Nachrichten- Formaten Elektronischer Heilberufsausweis (HBA) als (optionale) Alternative zu Software-Schlüsseln einsetzbar Neue Signaturformate Entsprechend erweiterte Schnittstellen (Signaturformate, Hierarchien, Prüfprotokolle, )

18 D2D 1.x: Adressen: Adressdatei vom Server en bloc zum Client Ab V 1.8 zwei Adressbuchgrößen (minimal 3k, lokal k) Ab V globales Adressbuch (850k) Schlüssel: Zusammen mit Adressbuch als Arztliste (bis 14 MB!!!) ab V 1.9.x Einzelschlüssel nur noch bei Bedarf D2D 1.x und 2.x D2D 2.x: Adressen: Adressdatei vom Server en bloc zum Client zwei Adressbuchgrößen (minimal 3k, lokal k) Ab V x globales Adressbuch (850k) Schlüssel: Abfrage per LDAP!!! bei HBA Zertifikate an Stelle von Schlüsseln

19 Signaturwerkzeuge Version 1.x: Softwareschlüssel im PaDok -Format NetKey -Karten (z.b. TCOS 2.0) Version 2.x: Softwareschlüssel im PaDok -Format HBA

20 Signaturanwendungskomponenten Version 1.x: Interne Krypto- Komponenten (nicht bestätigt) Version 2.x: Interne Krypto- Komponenten (nicht bestätigt) Bestätigte Standard- SAK für qualifizierte Signaturen

21 Version 1.x: Proprietäre PaDok - Signatur Signaturformate Version 2.x: Proprietäre PaDok - Signatur (nur mit SoftKey) Mit HBA: PKCS#7-Signatur PDF-Signatur XML-DSig lt. ÄK unsigned

22 Version 1.x sendet an Version 2.x Uneingeschränkte Nutzung Alte Formate werden komplett bei Version 2.x durch PaDok -Formate abgebildet

23 Version 2.x sendet an Version 1.x Sehr eingeschränkt: Nur PaDok -Signatur möglich, daher Beschränkung auf SoftKey-Nutzer Kein unsignierter Versand möglich Beschränkungen werden bei adressierter Übermittlung automatisch schon beim Versandversuch abgeblockt (error 40) Mechanismus: PKCS#7-Flag im Adressbuch

24 Nicht-adressierter Versand Generell gilt: mit einem 1.x-Daemon lassen sich HBAsignierte Dokumente nicht vom Server anfordern. Entsprechende Abrufbefehle liefern Fehler Gilt sowohl für das Abholen gerichteter Nachrichten ( Vorgänge ) wie auch für den Zugriff auf Dokumente in Netzakten

25 Neuerungen im Daemon (1) Erzeugen eines Servicelogs ab Version bzw. 2.x

26 Neuerungen im Daemon (2) Einstellung des Protokoll-Niveaus zur Laufzeit Kein Neustart des Daemons Wird als statische Einstellung übernommen Ab Version bzw

27 Neuerungen im Daemon (3) RangeAddressList=3 wirksam ab Version bzw x Server-übergreifendes Adressbuch Aktuell ca Einträge Download via KV-SafeNet ca. 15 Sekunden

28 Vielen Dank! Copyright: The content of this presentation, parts of it or the presentation itself may be copied or used without permission only together with the Fraunhofer original logo and impressum.