Der neue Personalausweises Anwendungen und Architektur

Transkript

1 Der neue Personalausweises Anwendungen und Architektur Jens Fromm Forschungsgruppe Elektronische Identitäten IHK, München Oktober 2010

2 Niveau der Interaktion Neuer Personalausweis Evolution im Internet Internet bestimmt verstärkt unsere Welt Communities Dienste Portal Uni/ Militär Inside Connected Individual Zeit

3 Identitätsmanagement Jeder Mensch ist Viele!

4 Evolution von Identitätsmanagement Nutzername Passwort Federated Id Architekturansatz um den Austausch von Informationen über SingleSignOn Unternehmen hinweg Einmalanmeldung: zu ermöglichen. Durch eine einmalige Authentifizierung kann der Nutzer auf alle Rechner und Dienste zugreifen, für die er berechtigt ist. Nutzer-zentrierter Ansatz Der Nutzer steht im Mittelpunkt des Identitätsmanagements und behält die Kontrolle über seine Daten. Identity Convergence Einbindung, Kopplung und Integration unterschiedlicher Identity-Lösungen (beispielsweise biometrische Daten) Zeit

5 Grundbegriffe des Identitätsmanagements Identität Was ist eine digitale Identität? Aussagen über eine Person Langlebender Bezeichner (Identifier) Satz an Attributen, die Eigenschaften und Berechtigungen beschreiben Personen haben verschiedene digitale Identitäten für verschiedene Zwecke Die jeweils relevante wird verwendet Die Benutzung bedingt, dass der rechtmäßige Gebrauch nachgewiesen wird

6 Der neue Personalausweis mit elektronischer Identitätsfunktion

7 Physischer Ausweis Alle Sichtausweisfunktionen bleiben erhalten Langlebiges Polykarbonat für den Kartenkörper Verkleinerung auf Scheckkartenformat ID-1 und Neuartige Sicherheitsmerkmale im Kartenkörper/ Chip Kontaktlose Chipkarte (ISO 14443)

8 Neuer PA Hintergründe Historie Geschichte des Personalausweises 1938: Einführung einer Kennkarte (Vorläufer vom Personalausweis) 1939: Ausweispflicht 1946: US-Militärregierung ordnet in ihrer Besatzungszone die Einführung neuer Kennkarten (Personalausweise) für die deutsche Bevölkerung an bis 31. März 1987: Personalausweis in der damaligen Bundesrepublik und West-Berlin in Buchform : Personalausweis als kunststofflaminierte Karte mit Papierinlett im ID-2-Format : zusätzliches Sicherheitsmerkmal Identigram (holografische Elemente) 2002: Gesetzesänderung - Verwendung biometrischer Daten erlaubt : Elektronischer Personalausweis

9 PA Hintergründe Historie Geschichte der elektronischen Identitäten 1997: Signaturgesetz als Teil des Informations- und Kommunikationsdienste-Gesetzes 1999: Europäische Signaturrichtlinie 1999/93/EG (EU) : Gesetz über Rahmenbedingungen für elektronische Signaturen : Signaturbündnis :IDs in ELENA/JobCard, Gesundheitskarte, ELSTER, digitaler PA : Bundeskabinett beschließt Eckpunkte für eine gemeinsame E-Card-Strategie : Aktionsplan E-Government der europäischen Initiative i2010 Eine europäische Informationsgesellschaft für Wachstum und Beschäftigung (EU) : Programm E-Government : Neuer Personalausweis

10 Chip Kontaktloser Chip kommuniziert mit einem passenden Kartenterminal, welches als Leseoder Schreibgerät fungiert Datenübertragung mittels induktiver Kopplung Kryptographisch starker Zufallszahlengenerator unterstützt Kryptographie basierend auf elliptischen Kurven Neuer Personalausweis ist eine nach Signaturgesetz [SigG] bzw. Signaturverordnung [SigV] bestätigte sichere Signaturerstellungseinheit. ISO Schnittstelle, Typ A oder B bei 13,56 MHz Energieübertragung durch induktive Kopplung Datenübertragung durch Lastmodulation Übertragungsrate 106, 212, 424 oder 847 kbit/s Unique Identifier bei jeder Aktivierung zufällig Reichweite max. 3-5 cm

11 Der neue Personalausweis Zeitschiene bis zur Einführung

12 Der neue Personalausweis wird ausführlich erprobt Labor- und Funktionstests Test elektronischer Identitätsnachweis Test Zusammenspiel der Hardware und Software- Komponenten Konformitätstest Spezifikation Test- und Demonstrationszentrum neuer Personalausweis Studien/ Wissenschaftliche Untersuchungen Restrisiken beim Einsatz des Bürgerclients auf dem Bürger-PC Diverse White Paper zu Themen rund um den neuen Personalausweis Haftungsstudie Usabilitystudie Anwendungs- und Feldtest Ab Zentral koordinierter Anwendungstest für ausgewählte Teilnehmer Ab Offener Anwendungstest für alle Interessenten Feldtest in ca. 30 Personalausweisbehörden, ab

13 Teilnehmer am offenen Anwendungstest E-Government E-Finanzservice E-Business Am zentral koordinierten Anwendungstest nehmen 30 Institutionen aus unterschiedlichen Geschäftsbereichen teil. Im offenen Anwendungstest nehmen weitere 200 Institutionen am Test teil.

14 Teilnehmer am Anwendungstest Zuwachs des Interesses Registrierte Firmen und Verwaltungen (gesamt) Sep 09 Okt 09 Nov 09 Dez 09 Jan 10 Feb 10 Mrz 10 Apr 10 Mai 10 Jun 10 Jul 10 Aug 10

15 Identitätsmanagement Welche Rolle kann der neue Personalausweis spielen? Für den Umgang mit Identitäten in der virtuellen Welt ist sicheres Identitätsmanagement wichtig Es umfasst die Verwaltung aller elektronischer Identitäten von Personen und Objekten in ihrem gesamten Lebenszyklus Identifizieren / Registrieren Der neue Personalausweis kann hierzu einen Beitrag leisten und die Punkte Identifikation, Registrierung und Authentifizierung abdecken. Authentifizieren Autorisieren Audit Managen

16 Lesbare Datenfelder sichtbar maschinenlesbar Chip 1) a) "IDD" für Personalausweis x x b) "ITD" für vorläufigen Personalausweis x x 2) Familienname und Geburtsname x x x 3) Vorname(n) x x x 4) Doktorgrad x x 5) Geburtstag x x x 6) Geburtsort x x 7) Lichtbild x (x) 8) Unterschrift x 9) Größe x 10) Augenfarbe x 11) Anschrift, bei Anschrift im Ausland die Angabe "keine Hauptwohnung in Deutschland / WohnortID 12) Staatsangehörigkeit x 13) Abkürzung "D" für deutsche Staatsangehörigkeit x x 14) Seriennummer x x (x) 15) Ordens- oder Künstlername x x 16) letzter Tag der Gültigkeitsdauer x (x) 17) Prüfziffern x (x) 18) Leerstellen x (x) 19) Fingerabdrücke, Bezeichnung der erfassten Finger, Angabe zur Qualität der Abdrücke (x) x x (x)

17 Der neue Personalausweis Funktionen Zum 1. November 2010 Einführung des neuen Personalausweises. Er vereint den herkömmlichen Sichtausweis mit drei neuen elektronischen Funktionen im Scheckkartenformat

18 Master File (Root) CardAccess Frei lesbare Infos zu Algorithmen & Parametern CardSecurity Signierte Infos inkl. öffentl. Schlüssel für CA; Lesbar nach PACE, TA; verifizierbar mit PA Answer-To-Reset (ATR) Frei lesbare Infos zur Kartentechnik Liste der Kartenapplikationen Frei lesbare Infos zu den Anwendungen - Lesbar mit hoheitlichem Terminal nach Eingabe der CAN oder MRZ - Verifizierbar mit PA Info Files DF.ICAO Hoheitliche Anwendung DG1: Maschinenlesbare Zone (MRZ) DG2: Digitales Gesichtsbild - Lesbar mit Terminal des Diensteanbieters nach Eingabe der Benutzer-PIN - Lesbar mit hoheitlichem Terminal nach Eingabe der CAN oder MRZ - Aktualisierbar (Adresse, Wohnort-ID) mit Terminal der Meldebehörde nach CAN-Eingabe DG3: Zwei Fingerabdrücke (optional) DF.eID Identitätsnachweis DG1: Dokumententyp DG2: Ausgebender Staat DG3: Ablaufdatum - Aktivierbar mit Terminal des ZDA nach Eingabe der Benutzer-PIN - Nutzbar mit Signaturterminal nach Eingabe der CAN und Signatur-PIN DF.QES Signaturanwendung Signaturschlüssel Signaturzertifikat (X.509) Signatur-PIN Benutzer-PIN Personal Unblocking Key (PUK) Card Acccess Number (CAN) MRZ-Password *) Passwords for PACE Document Security Object (SOD) Signierte Hash-Werte aller Datengruppen; + zugehöriges DS-Zertifikat (X.509) DG4: Vorname(n) DG5: Familienname DG6: Ordens-/Künstlername DG7: Doktorgrad DG8: Geburtsdatum DG9: Geburtsort DF.CIA Cryptographic Information Frei lesbare Infos zur QES-Anwendung Öffentlicher CVCA-Schlüssel (Sicherheitsanker) Privater Schlüssel für Chip-Authentisierung Privater Schlüssel für Pseudonym Schlüssel nutzbar nach PACE, TA, CA Privater Schlüssel für Sperrmerkmal Schlüssel nutzbar nach PACE, TA, CA Kryptografische Schlüssel für Sicherheitsprotokolle *) SHA-1 (Serial Number Date of Birth Date of Expiry) DG17: Adresse DG18: Wohnort-ID DG10 - DG16 und DG19-DG21 im Ausweis nicht verwendet; Daten nicht signiert CA = Chip Authentication, CAN = Card Access Number, CIA = Cryptographic Information Application, DF = Dedicated File, DG = Data Group, DS = Document Signer, ECC = Elliptic Curve Cryptography, ICAO = International Civil Aviation Organization, MRZ = Machine Readable Zone, PA = Passive Authentication, PACE = Password Authenticated Connection Establishment, QES = Qualifizierte Elektronische Signatur, RI = Restricted Identification, TA = Terminal Authentication Quelle: FhG SIT

19 Die neuen Funktionen eid und QES eid Elektronischer Identitätsnachweis QES - Qualifizierte elektronische Signatur Das bin ich Anzeige der Identität des Dienstanbieters Anzeige der angefragten Daten Personendaten-Freigabe mit PIN Personendaten-Übertragung Beispiele: Anmeldung /Registrierung, Altersnachweis, Pseudonym Gegenseitiger Identitätsnachweis Das habe ich unterschrieben Anzeige des zu unterschreibenden Dokuments oder der Signieren des Dokuments mit Signatur-PIN Eingabe Überprüfen der Signatur durch Empfänger Beispiele: Unterschreiben von Verträgen, Vollmachten, s Rechtsichere elektronische Unterschrift

20 Vergleich eid und QES (1/3) Online-Ausweisfunktion (eid) Unterschriftsfunktion (QES) Ausgabe Funktionalität steht mit der Ausgabe des npa zur Verfügung Ggf. Ausschalten des elektronischen Identitätsnachweises auf dem Ausweischip npa mit eid wird von der Personalausweisbehörde ausgegeben (Staat) eid-funktion gibt es nur in Verbindung mit dem npa (und eat) npa für QES vorbereitet, allerdings ist die Signaturfunktion nicht aktiviert Nachträgliche Aktivierung der Signaturfunktion und ggf. Nachladen des Signaturzertifikats QES wird durch Zertifizierungsdiensteanbieter bereitgestellt (Privatwirtschaft) QES kann auf npa, aber auch auf andere Signaturkarten, aufgebracht werden Kosten Keine zusätzlichen Kosten Zusätzliche Kosten (abhängig vom Zertifizierungsdiensteanbieter)

21 Vergleich eid und QES (2/3) Nutzung Online-Ausweisfunktion (eid) Nutzung der Funktionalität nur mit nicht gesperrten npa und eid-pin für Personendatenfreigabe Komponenten BürgerClient und Kartenleser (Basis-, Standard- oder Komfortleser) Nutzung des elektronischen Identitätsnachweises für E-Government und E-Business Dienste Unterschriftsfunktion (QES) Erstellen der QES mit gültigem Signaturzertifikat und Signatur-PIN für die Signaturfunktion Komponenten BürgerClient (Signaturanwendung, Trusted Viewer) und Kartenleser (Komfortleser) erforderlich Nutzung der qualifizierten elektronischen Signatur als rechtsverbindliche digitale Unterschrift Sperrung Einheitlich über staatliche Stellen (Hotline, Personalausweisbehörde) Abhängig vom Zertifizierungsdiensteanbieter

22 Vergleich eid und QES (3/3) Online-Ausweisfunktion (eid) Unterschriftsfunktion (QES) Gesetze Personalausweisgesetz Signaturgesetz Einsatzzweck Login, Zugang zu Diensten mit personenbezogenen Daten oder Pseudonym, Übermittlung von Daten aus dem npa Unterschreiben von z.b. Dokumenten, E- Mails, rechtsverbindlichen Verträgen, Vollmachten

23 Innovation Gegenseitiger Identitätsnachweis (Online-Ausweisfunktion) BürgerInnen Ist das Unternehmen real? Diensteanbieter weist sich mit Berechtigungszertifikat aus Diensteanbieter Wer ist die anfragende Person? Sowohl Bürger als auch Diensteanbieter können sich bei Nutzung des neuen PA auf die Identität ihres Gegenübers verlassen Bürger weist sich mit neuem PA aus

24 PA-Funktionen Anwendungsbeispiele Pseudonymisierung Wiedererkennung eines Personalausweises ohne erneute Übermittlung der personenbezogenen Daten Pseudonymer Zugang zu Dienstleistungen, die keine personenbezogenen Daten benötigen (z.b. bei Downloaddiensten) Altersbestätigung Zugangsbeschränkungen und altersabhängige Inhaltsfilterung Wohnortbestätigung Wohnort kann aus der Anschrift ermittelt werden Amtlicher Gemeindeschlüssel kann direkt ausgelesen werden

25 Die neuen Funktionen Daten Auf dem neuen Personalausweis sind nur die Daten gespeichert, die außen sichtbar sind und nicht mehr als auf früheren Ausweisen! PIN-Eingabe notwendig! 2 Faktor Authentisierung Man braucht Wissen (PIN) und Besitz (PA)

26 Datensparsamkeit und Datenschutz Informationelle Selbstbestimmung PIN-Eingabe notwendig! Datenschutz und Datensicherheit - Konzept und Umsetzung eine Weltneuheit! Dienstanbieter benötigen eine Berechtigung zur Datenabfrage Es werden nur Daten übermittelt, die der Ausweisinhaber freigibt! Datenschutzfreundliche Technikgestaltung Datensparsamkeit durch spezielle Funktionen: Altersbestätigung, Zugang mit Pseudonym Wohnortabfrage Besondere Rolle der Datenschutzbeauftragten

27 eid Beispiele in Europa Wirtschaftliche Aspekte Bereits 8 Mitgliedsstaaten mit eids, weitere werden folgen Nationale und grenzüberschreitende elektronische Dienstleistungen Neue Geschäftsfelder im Internet durch sichere und vertrauenswürdige Identifikation möglich

28 eid Beispiele in Europa Finnland: FINEID seit 2000 Estland: ecard seit 2002 Belgien: eid seit 2003 Österreich: ecard seit 2004 Schweden: National eid seit 2005 Italien: CIE & CNS seit 2006 Portugal: Cartão de Cidadão seit 2007 Zwei unterschiedliche Konzepte: Lösungen, die eine bestimmte Karte für bestimmte Anwendungen einsetzen (z.b. belgische eid, deutscher npa) Lösungen, die auf Zertifikaten und Prozeduren beruhen, die keine bestimmte Karte erfordern (österreichische Bürgerkarte)

29 Online-Ausweisfunktion im Kontext Nutzen für Verwaltung und Wirtschaft Sichere Identifikation auch im Internet möglich Vertrauenswürdige Geschäftsabwicklung Bürokratieabbau durch medienbruchfreie Prozesse und Dienstleistungen Identitätsdiebstahl ist eine der am stärksten zunehmenden Kriminalitätsformen Altersbeschränkte Dienste möglich neue Geschäftsfelder Unkomplizierte regionale Dienstangebote -> Vorteile für kleine- und mittelständische Unternehmen

30 Architektur eid Server eid-service: eid Schnittstelle Diensteanbieter Nutzer authentisiert 1 Aufruf der Webseite 8 Weiterleitung zum eid-service Provider 7 Datenübermittlung an Dienstanbieter 2 BürgerInnen 4 Anzeige Formulare Vorname Nachname Alter... 4 oder: PA- Geheimnis + Anbieternummer = Pseudonym 3 5 Bestätigung durch PIN Chip- und Terminalauthentisierung 6 Datenübermittlung eid-service Provider

31 Protokolle Password Authenticated Connection Establishment (PACE): Aufbau eines verschlüsselten und integritätsgesicherten Kanals zwischen dem lokalen Kartenlesegerät und dem kontaktlosen Chip Verwendung der PIN zur Schlüsselableitung Terminalauthentisierung (TA): Dienstanbieter authentifiziert sich mit Berechtigungszertifikat Berechtigungszertifikate vom Ausweis-Chip verifizierbar Chipauthentisierung: (CA) Prüfung des Ausweis-Chips auf Echtheit und somit auch der auf dem Chip gespeicherten Daten Aufbau eines stark gesicherten Ende-zu-Ende-Kanals zwischen Ausweis und eid-server. Die angefragten Daten des Personalausweises werden erst nach dem erfolgreichen Ablauf von PACE, TA und CA übertragen!

32 EAC-PKI (Extended Access Control - Public Key Infrastructure) CVCA (Root) Country Verifying CA DVCA (ZDAs) Document Verifier CA IS = Hoheitlich AT = eid-anwendung Quelle: FhG SIT

33 EAC-PKI (Extended Access Control - Public Key Infrastructure) CVCA (Country Verifying Certificate Authority) - BSI Nationaler Vertrauensanker (Root) der Berechtigungs-PKI für den PA Erstellt selbstsigniertes CV-Zertifikat Öffentlicher Schlüssel der CVCA wird auf PA aufgebracht Erstellt DV-Zertifikate Von DVCA zu vergebende Berechtigungen werden festgelegt DVCA (Document Verifier Certificate Authority) - ZDAs Erstellt Berechtigungszertifikate (sog. Terminal-Zertifikate) Berechtigungen werden von DV-Zertifikat der CVCA vererbt Berechtigungszertifikat nur kurze Zeit gültig (~2 Tage) Generelle Berechtigung länger gültig Quelle: FhG SIT

34 EAC-PKI (Extended Access Control - Public Key Infrastructure) Validierung der Berechtigungszertifikate durch den PA Start der Authentifizierung mittels eid-anwendung eid-server sendet Zertifikatskette Berechtigungszertifikat DV-Zertifikat PA validiert Zertifikatskette mit CVCA-Zertifikat eid-server überprüft Echtheit des PA passiv Quelle: FhG SIT

35 eid-funktion Komponenten und Nutzungsvoraussetzungen Beim Bürger Komponenten Computer (mit aktuellem Virenschutz) Internetbrowser und anbindung Client-Software AusweisApp Kontaktloses Kartenlesegerät Neuer Personalausweis Beim Diensteanbieter Komponenten beim Dienstanbieters Berechtigungszertifikat Anbindung an eid-server Integration in eigenes Dienstangebot Nutzungsvoraussetzungen PA mit aktivierter eid-funktion Kontaktloser Kartenleser (ISO14443) Klasse-1-Leser ohne PIN-Pad Klasse-3-Leser mit PIN-Pad Client-Software (z.b. Identitätsnachweis) Browser Nutzungsvoraussetzungen Berechtigungszertifikat Anbindung an eid-server Integration in eigenes Dienstangebot

36 Beantragung von Berechtigungszertifikaten Diensteanbieter Beantragung einer Berechtigung für das Auslesen von eid-daten aus dem Chip des Personalausweises Antrag Bescheid Gebühr Vergabestelle für Berechtigungszertifikate Antragsprüfung (Zweckbindung, Erforderlichkeit, Plausibilität usw.) Entscheidung, auf welche Daten der Diensteanbieter zugreifen darf Genehmigung oder Versagung Berechtigung Zertifizierungsdiensteanbieter Verwendung des Berechtigungszertifikats für den elektronischen Identitätsnachweis (Diensteanbieter weist sich damit gegenüber dem Ausweisinhaber aus) Bereitstellung Bereitstellung Ausstellung von Berechtigungszertifikaten (mit kurzen Laufzeiten) Sperrlisten für gestohlene/ verlorene Personalausweise

37 Der eid-server Der technische Manager wichtigstes Element neben der eigenen Infrastruktur Stellt sichere Verbindung zum Chip des Personalausweises und ist damit das Bindeglied zwischen dem Bürger und dem Diensteanbieter während des Identifizierungsprozesses Verschlüsselt persönliche Daten des Ausweises für die Übermittlung Überprüft, welche Datenfelder des Personalausweises der jeweilige Diensteanbieter abfragen darf (dies entscheidet vorab die Vergabestelle für Berechtigungszertifikate) Überprüft, ob der Personalausweis echt ist oder als Verlust gemeldet wurde = nur berechtigte Diensteanbieter dürfen auf den Personalausweis zugreifen!

38 Der eid-server Facts Hard- und Softwarekomponente zur Nutzung des elektronischen Identitätsnachweises Ermöglicht Diensteanbietern, die Nutzung der eid-funktion in bereits existierenden IT-Systeme zu integrieren. Mit ecard-api konformer Serversoftware ausgestattet Beschrieben in BSI TR-03129

39 Optionen für Diensteanbieter eid-service als Dienstleistung? eid-server kaufen oder mieten? eid-server als "do it-yourself" Projekt Implementierung gem. TRs Sicherheitsanforderungen für den Betrieb Sicherheitsanforderungen an die Räumlichkeiten (Zertifizierung gemäß ISO (Information Security Management System) Zertifizierung TÜV Trusted Site Level 3)

40 Mögliche Anwendungen Zugang mit Pseudonym Altersverifikation Bürgerdienste Kiosksysteme / Infoterminals Authentizierung Elektronische Signatur Online-Registrierung Zutrittskontrollen Barrierefreie Internetdienste

41 Unser Beitrag: Test- und Demonstrationszentrum im und SIT Aufbau und Angebot eines zentralen Anlaufpunktes und InfoPoint rund um den neuen Personalausweis zahlreiche Anwendungen mit dem neuen Personalausweis (plattformunabhängig, OpenSource, Automaten, mobile Geräte und vieles mehr) Evaluierung und Analyse von zukünftigen Produkten für den neuen Personalausweis Sicherheitstest

42 Live-Anwendungen

43 Was benötigt der Bürger? Neuer Ausweis mit aktivierter eid-funktion Kenntnis der geheimen 6-stelligen eid-pin PC mit Internetzugang und Anti-Virensoftware/ Firewall Vom BSI empfohlene Hard- und Software: Kontaktloser Kartenleser Software BürgerClient

44 Identitätsnachweis - Anbieterinformationen Angaben des Anbieters Anbieterinformationen Datenauswahl PIN-Eingabe Übermittlung Name und Anschrift Buchhandel OpenLimit SignCubes, Online, Hauptstraße Saarbrücker 5, Straße Berlin38a, Berlin info@buchhandel.de anwendungszentrum@openlimit.com Datenschutzerklärung Zweck der Datenanfrage Online-Kauf von Büchern (ggf. mit Altersbeschränkung) Betrieblicher Datenschutzbeauftragter Max Armin Mustermann, Lunkeit, armin.lunkeit@openlimit.com max.musterman@buchhandel.de Zuständige Datenschutzaufsicht Berliner Beauftragter für Datenschutz und Informationsfreiheit Dr. Alexander Dix, An der Urania 4 10, Berlin mailbox@datenschutz-berlin.de Die Berechtigung zur Abfrage von Daten ist gültig vom 18. Februar :00 Uhr (MEZ) bis 5. April :00 Uhr (MEZ) Hilfe Zurück Weiter Abbrechen

45 Identitätsnachweis - Datenauswahl Angefragte Datenfelder Anbieterinformationen Datenauswahl PIN-Eingabe Übermittlung Für den genannten Zweck bitten wir Sie, die folgenden Daten aus Ihrem Personalausweis zu übermitteln: Datenschutzerklärung Vorname(n) Ordens- oder Künstlername Familienname Ausweistyp Doktorgrad Ausstellendes Land Anschrift Wohnortbestätigung Geburtstag Altersbestätigung Geburtsort Pseudonym / Kartenkennung Wenn Sie mit der Übermittlung der ausgewählten Daten einverstanden sind, geben Sie bitte Ihre 6-stellige Personalausweis-PIN ein. Personalausweis-PIN Hilfe Zurück Weiter Abbrechen

46 Identitätsnachweis - PIN-Eingabe Datenauswahl Angefragte Datenfelder Anbieterinformationen Datenauswahl PIN-Eingabe Übermittlung PIN-Pad aus Für den genannten Zweck bitten wir Sie, die folgenden Daten aus Ihrem Personalausweis zu übermitteln: Datenschutzerklärung Vorname(n) Ordens- oder Künstlername Familienname Ausweistyp Doktorgrad Ausstellendes Land Anschrift Wohnortbestätigung Geburtstag Altersbestätigung Geburtsort Pseudonym / Kartenkennung Wenn Sie mit der Übermittlung der ausgewählten Daten einverstanden sind, geben Sie bitte Ihre 6-stellige Personalausweis-PIN ein: ein. Personalausweis-PIN Hilfe Zurück Absenden Weiter Abbrechen

47 Live Anwendungsszenarien

48 Minimale Datenfreigabe: Funktion der Altersbestätigung Funktion Überprüfung eines Mindestalters ohne Preisgabe des Geburtsdatums Altersabfrage ist pro Eingabe der Geheimnummer nur einmal möglich Anwendungsgebiete Zugangsbeschränkungen und altersabhängige Inhaltsfilterung

49 Minimale Datenfreigabe: Funktion der Pseudonymisierung Funktion Dienst- und kartenspezifisches Kennzeichen, dient als Wiedererkennungskennzeichen npa Chip erzeugt Pseudonym aus der eindeutigen Kennung des Dienstes im Berechtigungszertifikat und einem chip-individuellen gespeicherten Geheimnis (dem privaten Schlüssel für Restricted Identification) Anwendungsgebiete Wiedererkennung eines Personalausweises ohne erneute Übermittlung der personenbezogenen Daten Pseudonymer Zugang zu Dienstleistungen, die keine personenbezogenen Daten benötigen (z.b. bei Downloaddiensten)

50 Back-Up: Bedrohungen & Protokolle

51 Neuer Personalausweis Bedrohungsszenarien Abhören der Kommunikation ("Eavesdropping", "Sniffing"), z.b. Benutzer-PIN, Signatur-PIN Unberechtigter Auslesen ("Skimming") Unberechtigtes Manipulieren ("Man-in-the-Middle", "Spoofing", "Replay") Profilbildung ("Tracking") Cloning & Emulation Dienstblockade ("Denial of Service") Intermediate Network Reader Ausweis ( 3 cm) Ausweis Terminal ( 10 cm) ( 15 cm) Angreifer 1 Relay-Angriff Angreifer 2 Ausweis- Inhaber ( 1 m) Quelle: RFID-Studie 2007, -> Presse/Download -> Texte/Studien Quelle: FhG SIT

52 Architektur eid Server Protokolle herkömmliches SSL Unternehmensinterne Anwendungen Lokale Datenbanken SOAP auf Basis SSL-Client-Zertifikat des DA Unternehmen TLS auf PSK-Basis PACE +TA + CA Secure Messaging Quelle: BSI-TR PA eid-server / Terminal Anforderungen an die Datensicherheit Anforderungen an den Datenschutz PC / Kartenleser API = Application Programming Interface, CA = Chip Authentication, CSCA = Country Signing Certification Authority, DVCA = Document Verifying Certification Authority, HSM = Hardware Security Module, PACE = Password Authenticated Connection Establishment, PKI = Public Key Infrastructure, PSK = Pre-Shared Key, SOAP = Simple Object Access Protocol (ursprünglich), SSL = Secure Sockets Layer, TA = Terminal Authentication, TLS = Transport Layer Security Quelle: FhG SIT

53 Jens Fromm Forschungsgruppe eidentitäten Kaiserin-Augusta-Allee 31, Berlin, Deutschland Tel Fax Internet: jens.fromm@fokus.fraunhofer.de