Smartcards in Thin Client-Umgebungen wie smart sind aktuelle Lösungen?

Transkript

1 Smartcards in Thin Client-Umgebungen wie smart sind aktuelle Lösungen? Session-Roaming, PKI, digitale Signatur der Einsatz von Smartcards im Server-based Computing zeichnet sich durch anwendungsspezifische Anforderungen aus, die nicht alle Thin-Client-Lösungen erfüllen. Dieses Whitepaper gibt einen Überblick über die wichtigsten Anwendungszenarien und Auswahlkriterien. Der Einsatz von Smartcards in Server-based Computing-Umgebungen verspricht einen zusätzlichen Gewinn an Sicherheit und Flexibilität. Mittels Session Roaming steigern Smartcards Produktivität;in Verbindung mit Identifizierungs- und Authentifizierungsverfahren verbessern sie den Datenschutz und bereiten letztendlich auch den Weg zur Nutzung der digitalen Signatur oder der kommenden Gesundheits- bzw. Bürgerkarte. Smartcard ist nicht gleich Smartcard Der Begriff Smartcard bezeichnet eine Klasse von Plastikkarten in Kreditkartengröße, die einen Speicher oder einen Mikroprozessor mit einer Hardware-Logik enthalten. Smartcards stellen somit begrenzte Speicher- bzw. Rechenkapazitäten bereit, um Daten ein- und auszulesen bzw. zu verarbeiten. Grundsätzlich wird zwischen zwei Typen unterschieden: Speicherkarten (auch Memory Cards oder synchrone Chipkarten) bestehen im Wesentlichen aus einem mehrfach beschreibbaren Speicher. Damit lassen sich zwar Datensätze ein- und auslesen, ein hoher Schutz vor unbefugtem Zugriff oder Veränderung der Daten besteht jedoch nicht. Typische Beispiele für Speicherkarten sind Zugangskarten für Bibliotheken oder die aktuellen deutschen Krankenversicherungskarten (KVK). Die Smartcard im engeren Wortsinn wird aufgrund des integrierten Chips zur Programmierung und Datenverarbeitung auch Prozessorkarte genannt. Ihrer programmierten Intelligenz verdankt die Smartcard ursprünglich ihren Namen. Beispiele für Prozessorkarten sind Geldkarten, elektronische Ausweise, PayTV- Dekoderkarten, die neue elektronische Gesundheitskarte (egk) oder die österreichische e-card. SIM-Karten (Subscriber Identity Module) für mobile Endgeräte sind ebenfalls Prozessorkarten, werden aber aufgrund ihres kleinen Formats im gängigen Sprachgebrauch nicht als Smartcard bezeichnet. Daneben gibt es noch eine Reihe von Speichermedien, die oft mit Smartcards verwechselt werden, wie zum Beispiel die SD-Karte, CF (Compact Flash) oder Memory Stick. Dieser Kurzname steht für die von der Firma Sandisk entwickelte Secure Digital Memory Card und dient als digitales Speichermedium, das nach dem Prinzip der Flash-Speicherung arbeitet.

2 Für jede Anwendung die richtige Smartcard Die technischen Anforderungen an Smartcard-Lösungen im Thin Client-Umfeld leiten sich von den gewünschten Anwendungen ab. Eine besonders beliebte und praktische Smartcard-Anwendung stellt das so genannte Session-Roaming dar. Damit lassen sich laufende Sitzungen mit dem Herausziehen der Karte unterbrechen und an einem anderen Arbeitsplatz durch das erneute Einschieben automatisch wiederherstellen. Die Folge sind eine flexible Arbeitsplatzwahl und eine höhere Produktivität in Arbeitsumgebungen mit häufigen Ortswechseln, wie z.b. in Krankenhäusern. Während das Citrix Session Roaming die zertifikatsbasierte Anmeldung via Prozessorkarte erfordert, begnügen sich proprietäre Session Roaming-Lösungen in der Regel mit Speicherkarten. Das gilt auch für weniger sichere Anmeldeverfahren, die auf einem Benutzernamen und einem auf der Speicherkarte abgelegten Passwort basieren. Sichere bis hoch sichere Identifizierungs- und Authentifizierungsverfahren erfordern hingegen zwingend Prozessorkarten. Beispiele hierfür sind PKI-Verfahren (Public Key Infrastructure), die zertifikatbasierte Anmeldung für virtuelle private Netzwerke (VPNs) oder digitale Signaturen zum rechtsgültigen Unterzeichnen elektronischer Dokumente. PKI ist ein asymmetrisches Verschlüsselungsverfahren, das im Gegensatz zur symmetrischen Verschlüsselung nicht mit zwei identischen Schlüsseln (Session Key) für Sender und Empfänger arbeitet, sondern mit einem öffentlichen und einem privaten Schlüssel. Der öffentliche Schlüssel wird über ein Zertifikat bereitgestellt, das ihn einer bestimmten Person zuordnet. Die Smartcard enthält den geheimen privaten Schlüssel. Die nötigen Zertifikate werden von einer internen oder externen Zertifizierungsstelle ausgestellt und mittels digitaler Signatur gegen Veränderungen geschützt. Zertifizierungsstellen werden auch Trust Center oder Certification Authority (CA) genannt. Mit Hilfe des privaten Schlüssels und eines auf der Smartcard gespeicherten Programms wird die richtige Antwort für den Challenge/Response-Mechanismus des PKI- Verfahrens errechnet. Auf jede Anfrage muss die Smartcard stets die passende Antwort zurückgeben. Alternativ zur Reader-Smartcard-Kombination lassen sich auch USB-Tokens nutzen, die beides in einer Einheit integrieren. Lesegeräteklassen und digitale Signatur Im Prinzip sind Smartcards vollständige Computer im Kreditkartenformat. Sie besitzen Mechanismen, die sie gegen physische und logische Angriffe schützen und die enthaltenen Informationen im Notfall zerstören, bevor sie für einen Angreifer zugänglich sind. Nachdem der private Schlüssel in die Smartcard geladen wurde, ist der Zugriff nur noch mittels Eingabe einer spezifischen PIN (Personal Identification Number) möglich. Nach wiederholter Falscheingabe wird die Karte endgültig gesperrt und somit unbrauchbar.

3 Die physische Schnittstelle zwischen Smartcard und Thin Client bzw. PC bilden Chipterminals, die auch als Reader oder Lesegeräte bezeichnet werden. Diese Geräte gibt es je nach gewünschter Sicherheitsstufe in unterschiedlichen Klassen: Ein Reader der Klasse 1 entspricht einer einfachen Kontaktiereinheit und stellt im simpelsten Fall lediglich die elektrische Verbindung zwischen Rechner und Chipkarte her. Die nötigen Protokolle und Anwendungen kommen dann vom Rechner. Eine PIN, die den Anwender gegenüber der Smartcard als rechtmäßigen Benutzer authentifiziert, wird ebenfalls direkt über den Rechner eingegeben. Für die digitale Signatur ist ein Klasse 2 Reader erforderlich, der sich durch ein integriertes Tastaturfeld auszeichnet. Mittels dieses PIN-Pads wird die Geheimzahl direkt in das Gerät eingeben. Eine kostengünstige Alternative zu Klasse 2 Terminals stellen Computertastaturen mit integriertem Reader dar. Ein LED zeigt an, wenn das Lesegerät aktiv ist und ermöglicht die PIN-Eingabe über den Nummernblock der Tastatur. Die Kommunikation zwischen Karte und Reader verbleibt damit wie für die digitale Signatur vorgeschrieben im Gerät. Reader ohne PIN-Pad, wie sie häufig von Thin Client Herstellern angeboten werden, können nur Klasse 1 Lösungen realisieren und scheiden daher für typische Klasse 2-Anwendungen wie die digitale Signatur oder die Gesundheitskarte aus. Ein weiterer Nachteil bei der Authentifizierung via Klasse 1 Reader ist der doppelte Administrationsaufwand, da die verwendeten Passwörter jeweils in Smartcard und Nutzerverwaltung geändert werden müssen. Chipterminals der Klasse 3 müssen zusätzlich zu den Eigenschaften der Klasse 2 ein eigenes Display besitzen, auf dem es authentisch eigene Texte darstellen kann. Die Fähigkeit, intern eigene Applikationen auszuführen, verschafft Readern dieser Klasse ein Höchstmaß an Sicherheit, um beispielsweise mit der Geldkarte via Internet zu bezahlen. Chipterminals der Klasse 4 bilden derzeit das obere Ende der Klasseneinteilung. Sie verfügen zusätzlich zu den Eigenschaften der Klasse 3 über eine eigene Identität, die nicht manipuliert werden kann. Smartcard-Einsatz in Citrix Umgebungen In Verbindung mit Thin Clients und PCs bieten Citrix-Umgebungen gute Vorrausetzungen für den kostengünstigen Aufbau Smartcard-basierter Lösungen. Über die Citrix Smooth Roaming Funktion, lassen sich aktive Sitzungen per Smartcard von einem Arbeitsplatz zum anderen übertragen. Darüber hinaus sind Windows 2003 Server und Citrix Presentation Server bereits für PKI- Authentifizierung und die Anwendung der digitalen Signatur vorbereitet. Die erforderlichen Investitionen beschränken sich hierfür auf Klasse 2 Reader (USB- Terminal oder Spezialtastatur) und die Softwarelösung eines Crypto Service Provider (CSP-Lösung), die als serverseitig installierte Middleware die Benutzung der Chipkarten gestattet. Typische Crypto Service Provider sind Smartcard- Hersteller oder spezialisierte Drittanbieter. Die CSP-Lösung stellt der Smartcard

4 die nötigen kryptografische Funktionen zur Verfügung. Mögliche Schnittstellen hierfür bieten Microsofts Standardkomponente CryptoAPI oder der weiter gefasste PKCS#11 Standard. Windows identifiziert den zur Chipkarte passenden CSP über den Answer to Reset (ATR) der Karte, sprich: der ersten Information, welche die Chipkarte an den Chipkartenleser übermittelt, nachdem dieser einen Reset der Karte durchgeführt hat. Der Datenaustausch zwischen Reader und CSP-Lösung erfolgt in der Regel gemäß PC/SC Standard. Dieser muss vom Thin Client firmwareseitig unterstützt werden. Für Linux-basierte Thin Clients gibt es hierfür den sog. Muscle Treiber. Über die PC/SC Forwarding Funktion machen die RDP- bzw. ICA-Clients das lokal angeschlossene Chipkartenterminal für die CSP-Lösung am Terminal Server sichtbar. Die User-Authentifizierung erfolgt über den Windows Domaincontroller, den auch Citrix nutzt. Mittels Windows Smartcard Logon Dienst lässt sich das System im Folgenden so konfigurieren, dass dem Anwender beim Anmeldeverfahren als Alternative zur Passworteingabe auch eine Aufforderung zum Einschieben der Smartcard erteilt wird. Ferner lassen sich die Sicherheitsrichtlinien in Windows so konfigurieren, dass ausschließlich Smartcard-Anmeldungen akzeptiert werden. Je nach gewünschtem Sicherheitsgrad kann anstelle einer internen Zertifizierungsstelle wie z.b. der Microsoft Certificate Server auch ein externes Trustcenter (z.b. S-Trust (Sparkassen), TeleSec (Deutsche Telekom) oder Signtrust (Post / Datev) in die PKI-Lösung miteinbezogen werden. Auch öffentliche Organisationen oder Regierungsstellen wie z.b. die Bundesnetzagentur können als Zertifizierungsstelle dienen. Qualifizierte elektronische Signatur und Bürgerkarte Die digitale Signatur wird auch elektronische Signatur genannt und gewinnt zunehmend an Bedeutung. Dabei wird zwischen einer fortgeschrittenen und einer qualifizierten elektronischen Signatur unterschieden. Die fortgeschrittene elektronische Signatur ist ausschließlich dem Signaturschlüssel-Inhaber zugeordnet, ermöglicht die Identifizierung des Signaturschlüssel-Inhabers und muss mit Mitteln erzeugt werden, die der Signaturschlüssel-Inhaber unter seiner alleinigen Kontrolle halten kann. Außerdem muss sie mit den Daten, auf die sie sich beziehen, so verknüpft sein, dass eine nachträgliche Veränderung der Daten erkannt werden kann. Die qualifizierte elektronische Signatur muss darüber hinaus die Identität des Unterzeichners durch ein qualifiziertes Zertifikat einer offiziellen Zertifizierungsstelle erkennbar machen und mit einer sicheren Signaturerstellungseinheit (Klasse 2 oder höher) erstellt werden. Nur die qualifizierte elektronische Signatur ist rechtlich der eigenhändigen Unterschrift gleichgestellt und bewirkt eine Beweiskraft gegenüber Dritten, insbesondere bei Streitfällen vor Gericht. Das digitale Zertifikat dient gewissermaßen als ein

5 virtuelles Abbild des Personalausweises. Die Zertifizierungsstelle ordnet damit einer bestimmten Person einen öffentlichen Schlüssel zu und beglaubigt dies, indem sie diese Zuordnung mit ihrer eigenen digitalen Unterschrift versieht. In naher Zukunft soll in Deutschland die Bürgerkarte als Web-Ausweis eingeführt werden. Neben einem qualifizierten Signaturzertifikat wird sie ein Ident- und ein Adress-Zertifikat mit den Daten des Melderegisters enthalten. Damit vereint sie die Funktionen einer Signaturkarte und einer digitalen Meldebescheinigung. Die österreichische Bürgerkarte ist bereits verfügbar und stellt eine erweiterte Funktion der Gesundheitskarte e-card dar, deren Funktion wiederum an eine vorhandene Geldkarte gekoppelt werden kann. Mit der Bürgerkarte kann sich der Karteninhaber beispielsweise im Internet ausweisen, darüber bezahlen oder Steuererklärungen rein elektronisch abgeben. Branchentypische Anwendungszenarien Auch das deutsche Gesundheitswesen nutzt in naher Zukunft eine elektronische Gesundheitskarte. Die egk löst dann die bisherige Krankenversicherungskarte (KVK) ab. Die neue Chipkarte erfordert mindestens einen Reader der Klasse 3. Weitere Anwendungszenarien für die Smartcard im Healthcare-Bereich bietet das Session Roaming als Weg zur Flexibilisierung der Arbeitsplatzwahl. In Kliniken und Krankenhäusern werden Röntgenbilder und andere Befunde (z.b. im Rahmen der elektronischen Patientenakte) zentral vom Server aus bereitgestellt. Der Zugriff darauf erfolgt ortsungebunden von einem beliebigen Thin Client innerhalb der Arbeitsplatzinfrastruktur. Die Gesundheitskassen profitieren ebenfalls von den Standardisierungs-, Sicherheits- und Flexibilisierungseffekten, die Thin Clients und Smartcards bieten. Versicherungs- und Finanzunternehmen, aber auch öffentliche Behörden können mittels Smartcards nicht nur sensible, personenbezogene Daten schützen, sondern auch hochsichere PKI-Verfahren zur sicheren Abwicklung von Transaktionen aufbauen. In Forschung- und Bildung können Smartcard-Anwendungen nicht nur die Zugriffe auf IT-Systeme, sondern auch den Zutritt zu bestimmten Gebäuden, wie z.b. Bibliotheken oder Sicherheitsbereichen, regeln. Die Anbindung von Telearbeitsplätzen an zentrale Rechenzentren lässt sich in Verbindung mit Smartcards und VPNs noch sicherer gestalten. Im Handel- und Einzelhandel helfen Smartcards typischerweise die Abrechnung in Verbindung mit Kassensystemen zu vereinfachen oder die Verkäufe personalabhängig aufzuschlüsseln. Darüber hinaus lassen sich noch weitere Funktionen auf der Smartcard integrieren, wie zum Beispiel eine Kontooder Zahlfunktion für die Betriebskantine. Zukunftssicher investieren Smartcards erweitern die Vorzüge des SBC um eine Menge von Anwendungen, die zur Verbesserung von Produktivität und Sicherheit führen. Mittels digitaler

6 Signatur gestatten sie letztendlich auch den rechtskräftigen Vertragsabschluss. Um dieses weite Anwendungsspektrum nicht leichtfertig zu beschneiden, empfiehlt es sich, im Vorfeld eine genaue Analyse durchzuführen, um die zukünftigen Anforderungen mit den am Markt verfügbaren Lösungen abzugleichen und von Beginn an auf das richtige Pferd zu setzten. Insbesondere sind auf die Einhaltung technischer Standards und die Homogenität der Lösung im Zusammenhang mit Mischinfrastrukturen aus Thin Clients und PCs zu achten. Die Wahl des Thin Client Herstellers hat strategischen Charakter. Geeignete Hersteller zeichnen sich insbesondere durch gute Partnerschaften im Reader- und CSP-Bereich aus und bieten somit eine hohe Investitionssicherheit. Werden diese Kriterien beachtet, sind die Anwender auch für kommende Sicherheitslösungen gerüstet. Denn auch die Fortführung oder Ergänzung Smartcard-basierter Authentifizierungsverfahren wie zum Beispiel biometrische Verfahren bauen in der Regel auf denselben Standards und Protokollen auf wie Smartcard-Lösungen. Glossar: ATR (engl.: Answer to Reset) ist die erste Information, die eine Chipkarte an einen Chipkartenleser übermittelt, nachdem dieser einen Reset der Karte durchgeführt hat. Vereinfacht gesprochen handelt es sich beim ATR um eine Reihe von Parametern, mit denen die Chipkarte dem Chipkartenleser mitteilt, wie er mit ihr kommunizieren kann. CA Eine Zertifizierungsstelle (engl.: Certificate Authority, kurz CA) ist eine Organisation, die digitale Zertifikate herausgibt. CSP Der Crypto Service Provider (CSP) stellt kryptografische Funktionen zur Verfügung. Diese können sich auch auf eine Chipkarte (Smart Card) erstrecken. Ein Smart Card CSP ist das Microsoft Pendant zu PKCS #11, also eine Middleware zur Benutzung von Chipkarten. Windows identifiziert den zu verwendenden CSP zu einer Chipkarte über den Answer to Reset der Karte, da dieser in die Registry eingetragen ist. PC/SC Die Spezifikation unter dem Kurznamen für Personal Computer / Smart Card regelt die Verbindung von PC (bzw. TC) und Smart Card. Voraussetzung für den Einsatz der weit gehaltenen PC/SC-Spezifikation ist, dass für das Terminal ein passender Treiber vorhanden ist, und die Smart Card PC/SC kompatibel ist. PC/SC 2.0 soll auch kontaktlose Karten unterstützen. PKCS #11 Cryptographic Token Interface Standard, der eine Cryptoki (sprich cryptokey ) genannte API für Hardware-Module beschreibt, die kryptographische Operationen durchführen, wie z.b. Smartcards. PKI Mit Public-Key-Infrastruktur (PKI, engl.: Public Key Infrastructure) bezeichnet man ein System, welches es ermöglicht, digitale Zertifikate auszustellen, zu verteilen und zu prüfen. Die innerhalb einer PKI ausgestellten Zertifikate sind meist auf Personen festgelegt. Mit Hilfe eines asymmetrischen Kryptosystems lassen sich damit unter u.a. elektronische Nachrichten und Dokumente signieren und verschlüsseln.

7 SD-Karte Die SD Card (engl.: Secure Digital Memory Card) ist ein digitales Speichermedium, das nach dem Prinzip der Flash-Speicherung arbeitet. Die SD-Card ist keine Smartcard. SIM-Karte Die u.a. in Mobiltelefonen verwendete SIM-Karte (engl.: Subscriber Identity Module) dient der Identifikation des Nutzers im Mobilnetz. Sie ist zwar eine Chipkarte, wird aber aufgrund ihres unterschiedlichen Formats nicht als typische Smartcard bezeichnet. Klasse 1 einfache Kontaktiereinheit Klasse 2 wie Klasse 1 mit zusätzlichem PIN-Pad Klasse 3 wie Klasse 2 mit zusätzlichem Display Klasse 4 wie Klasse 3 mit zusätzlichem Authentifikations modul Abb. 1: Klasseneinteilung Lesegeräte

8 Abb. 2: Grafik Authentifizierungslösungsszenario (analog zu Kobil Integration Guide)

9 Zukunftssicher und kostengünstig Smartcard-Einsatz mit Neoware Strategische Partnerschaften mit Citrix, Cherry, Kobil und anderen erleichtern Neoware-Kunden den Aufbau von Smartcard-Lösungen. Smartcard-ready mit Neoware, Citrix und Windows 2003 Server Server-based Computing-Umgebungen auf Basis von Citrix Presentation Server und Neoware Thin Clients bieten alle Voraussetzungen für die kostengünstige Einführung Smartcard-basierter Lösungen wie z.b. Session Roaming via Citrix Smooth Roaming, PKI-basierte Authentifizierungslösungen oder die Nutzung der digitalen Signatur. Citrix stellt in Verbindung mit Windows 2003 Server und Neoware Thin Clients alle notwendigen Softwarekomponenten bereit, um Smartcards selektiv oder flächendeckend einzusetzen. Abgesehen von den Lesegeräten bildet die CSP-Software zur Kommunikation mit der Smartcard die einzige Kaufkomponente. Umfassende CSP-Lösungen von Kobil Die strategische Partnerschaft mit dem führenden Sicherheitslöungsanbeiter und Crypto Service Provider (CSP) KOBIL Systems bietet Neoware je nach gewünschtem Sicherheitsgrad und Verfahren eine umfassende Lösungsauswahl. Die in Worms ansässige Kobil Systems GmbH agiert bereits seit 1986 als Hersteller hochsicherer Basistechnologie im Umfeld von Smartcards, Einmalpasswörtern (OTP) und Zertifikaten. Die CSP-Lösung KOBIL Smart Key garantiert die sichere und digitale Signatur-konforme Kommunikation zwischen Neoware Thin Clients oder PCs und der Smartcard. Diese Lösung unterstützt Thin Clients mit dem Betriebsystem Windows XPe ebenso, wie Linux-basierte Geräte sowie PCs und eignet sich somit auch für heterogene IT-Infrastrukturen. Für Linux-Modelle bietet das Unternehmen mit KOBIL midentity zudem eine Alternative zum Smartcard-Einsatz. Die Funktion von Klasse 1 Kartenleser und Smartcard übernimmt ein USB-Token, der an den Thin Client angeschlossen wird. Dieser übernimmt die Ausweisfunktion und integriert zudem einen Memory Stick mit Datenverschlüsselung. PC-Tastatur mit integriertem Kartenleser von Cherry Der führende PC-Tastaturhersteller Cherry steht ebenfalls auf der Liste strategischer Neoware-Partner. Selbstverständlich bietet das Unternehmen mit der Cherry SmartBoard-Reihe Tastaturen mit integriertem Smartcard-Reader der Klasse 2 oder 3 an, die auch neuere Smartcard-Anwendungen wie beispielsweise die österreichische e-card oder die elektronische Gesundheitskarte (egk) unterstützen. Der günstige Preis liegt nur unwesentlich über dem einer

10 Standardtastatur und bietet dabei den Platzvorteil einer integrierten Einheit aus Tastatur und Reader. Neoware Thin Clients zukunftssichere Basis Dank strategischer Partnerschaften mit Citrix, Kobil, Cherry und anderen sowie der Unterstützung aktueller Standards bietet Neoware beste Voraussetzungen zur Einführung kundenspezifischer Smartcard-Lösungen. Mit der kontinuierlichen Weiterentwicklung in diesem Bereich fördert Neoware außerdem die Verfügbarkeit homogener Lösungen für alle Endgeräte egal ob Linux-, oder Windows XP-basierte Thin Clients oder PCs. Abb. 3: Grafik Authentifizierungslösungsszenario (analog zu Abb. 2 aber mit konkreten Produktbildern und Logos)