Virtuelle Poststelle des Bundes, Version x (OSCI), Sicherheitsvorgaben

Transkript

1 Virtuelle Pststelle des Bundes, Versin x (OSCI), Sicherheitsvrgaben (ST) bremen nline services GmbH & C. KG datenschutz nrd GmbH Versin Zertifizierungs-ID: Bestätigungs-ID: BSI-DSZ-CC-0505 BSI TE.xx.200x

2 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) Histrie Versin Datum geänderte Kapitel Grund der Änderung Geändert durch Erstellung Matthias Intemann Sönke Maseberg Einarbeitung der Kmmentare vn TSI, secunet und BSI; Kryptfunktinalität OSCI-Manager präzisiert Matthias Intemann Sönke Maseberg Fußnte 16 kl. editrische Änderungen Matthias Intemann Sönke Maseberg Integratin der Kmmentare vn BSI und TSI vm bzw Verweise auf TIFF entfernt, kl. editrische Änderungen Verweise auf TIFF eingefügt, kl. editrische Änderungen Matthias Intemann Sönke Maseberg Matthias Intemann Ing Schumann Ing Schumann Dkumenten-Überwachungsverfahren Status: final Przess-/Dkumentbesitzer: Matthias Intemann (bremen nline services GmbH & C. KG) Ing Schumann (bremen nline services GmbH & C. KG) Sönke Maseberg (datenschutz nrd GmbH) bremen nline services GmbH & C. KG datenschutz nrd GmbH 2/99

3 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) Inhaltsverzeichnis 1 ST-Einführung ST-Identifikatin ST-Übersicht Pstulat der Übereinstimmung mit den Cmmn Criteria EVG-Beschreibung Kmpsitive Evaluierung Online Services Cmputer Interface (OSCI) EVG-Umfang Technische Realisierung Signaturgesetz (SigG) und -verrdnung (SigV) Rechtliche Grundlagen Signaturgesetz-Anfrderungen an den EVG Prduktbestandteile und EVG-Abgrenzung Absicherung Auslieferung EVG-Sicherheitsumgebung Rllen Annahmen Bedrhungen Organisatrische Sicherheitsplitiken Sicherheitsziele EVG-Sicherheitsziele Sicherheitsziele für die Umgebung IT-Sicherheitsanfrderungen EVG-Sicherheitsanfrderungen Definitin der funktinalen Sicherheitsplitik (SFP) Funktinale EVG-Sicherheitsanfrderungen Anfrderungen an die Vertrauenswürdigkeit des EVG Sicherheitsanfrderungen an die IT-Umgebung Sicherheitsanfrderungen an die Nicht-IT-Umgebung EVG-Übersichtsspezifikatin...63 bremen nline services GmbH & C. KG datenschutz nrd GmbH 3/99

4 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) 6.1 SF1 Unterstützung bei der Erzeugung qualifizierter elektrnischer Signaturen SF2 Schutz gegen Hashwertmanipulatin SF3 Verifikatin einer qualifizierten elektrnischen Signatur SF4 Verifikatin eines OSCI-Laufzettels bei der Validierung eines qualifizierten Zertifikats SF5 Sichere und zuverlässige Anzeige SF6 Unterstützung bei der Validierung qualifizierter Zertifikate SF7 Identifikatin und Authentisierung SF8 Prüftl Maßnahmen zur Vertrauenswürdigkeit PP-Pstulate Erklärungen Erklärung der rganisatrischen Sicherheitsplitiken Erklärung der Sicherheitsziele Erklärung der Sicherheitsanfrderungen Erklärung zu den funktinalen Sicherheitsanfrderungen Erfüllung der Abhängigkeiten Analyse des Zusammenwirkens der funktinalen Anfrderungen Analyse der Mindest-Stärkestufe Erklärung zu den Anfrderungen an die Vertrauenswürdigkeit Erklärung der EVG-Übersichtsspezifikatin Erfüllung der funktinalen Sicherheitsanfrderungen Knsistenz der Mechanismenstärke-Pstulate Analyse des Zusammenwirkens der Sicherheitsfunktinen Zurdnung der Sicherheitsfunktinen zur Umsetzung der SigG-Anfrderungen Erklärung zu den Maßnahmen der Vertrauenswürdigkeit Definitin der Familie FDP_SVR Glssar Literatur Anhang: Technische Einsatzumgebung Hard- und Sftware Sichere Signaturerstellungseinheiten und Chipkartenleser Zertifikate und private Schlüssel...98 bremen nline services GmbH & C. KG datenschutz nrd GmbH 4/99

5 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) 12.4 Anfrdernde Systeme...99 Abbildungsverzeichnis Abbildung 1: Aufbau der Virtuellen Pststelle des Bundes...7 Abbildung 2: EVG-Übersicht...11 Abbildung 3: Teilsysteme des EVG...17 Tabellenverzeichnis Tabelle 1: Umsetzung der SigG/SigV-Anfrderungen...25 Tabelle 2: Lieferumfang EVG...32 Tabelle 3: Funktinale Sicherheitsanfrderungen an den EVG...51 Tabelle 4: Vertrauenswürdigkeitskmpnenten...60 Tabelle 5: Funktinale Sicherheitsanfrderungen an die IT-Umgebung...60 Tabelle 6: Maßnahmen zur Erfüllung vn EAL Tabelle 7: Zurdnung Sicherheitsumgebung zu -zielen...73 Tabelle 8: Zurdnung Sicherheitsziele zu -umgebung...73 Tabelle 9: Zurdnung Sicherheitsziele zu Sicherheitsanfrderungen an den EVG...76 Tabelle 10: Zurdung fkt. Sicherheitsanfrderungen zu Sicherheitszielen...77 Tabelle 11: Zurdnung Sicherheitsziele zu Sicherheitsanfrderungen an die IT-Umgebung...77 Tabelle 12: Zurdung fkt. Sicherheitsanfrderungen an die IT-Umgebung zu Sicherheitszielen...78 Tabelle 13: Erfüllung der EVG-Abhängigkeiten...80 Tabelle 14: Angestrebten SOF-Stufen für die Sicherheitsfunktinen...82 Tabelle 15: Zurdnung fkt. Sicherheitsanfrderungen durch Sicherheitsfunktinen..85 Tabelle 16: Zurdnung vn Sicherheitsfunktinen zu Teilsystemen...86 Tabelle 17: Zusammenwirken der Sicherheitsfunktinen...87 Tabelle 18: Umsetzung der SigG/SigV-Anfrderungen durch Sicherheitsfunktinen 88 Tabelle 19: Erklärung der Maßnahmen zur Erfüllung vn EAL bremen nline services GmbH & C. KG datenschutz nrd GmbH 5/99

6 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) 1 ST-Einführung 1.1 ST-Identifikatin 1 ST-Name: Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) 2 ST-Versin: Datum: Autren: bremen nline services GmbH & C. KG datenschutz nrd GmbH 5 EVG-Name: Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI) abkürzend mit OSCI-Kmpnente bezeichnet 6 EVG-Versin: CC-Versin: Zertifizierungs-ID: BSI-DSZ-CC Bestätigungs-ID: BSI TE.xx.200x 1.2 ST-Übersicht 10 Im Rahmen des Prjektes BundOnline 2005 wird die Virtuelle Pststelle des Bundes entwickelt. Sie stellt als zentrales Kmmunikatins-Gateway Sicherheitsdienste für die gesicherte Kmmunikatin zwischen Behörden und externen Kmmunikatinspartnern (Bürger, Wirtschaft und andere Behörden) bereit. Entsprechend den zu erwartenden Kmmunikatinsszenarien im E- Gvernment sll die Virtuelle Pststelle des Bundes flgende wesentliche Funktinen serverbasiert zur Verfügung stellen: Signaturbildung und -prüfung; Ver- und Entschlüsselung, wbei zentral entschlüsselte Kmmunikatinsdaten vergleichbar der heute gängigen Praxis im Klartext weitergeleitet der zur Weiterleitung im Hausnetz neu verschlüsselt werden; Abwicklung (des kryptgraphischen Anteils) vn Authentisierungsverfahren; Bereitstellen vn internen und externen Zeitstempeln; Einbindung vn Virenscannern; Dkumentatin aller Aktinen der Virtuellen Pststelle auf einem VPS- Laufzettel; Einbindung interner und externer Verzeichnisdienste; 1 Dieses Dkument berücksichtigt die neue deutsche Rechtschreibung und passt die den CC entnmmenen Texte teilweise an. bremen nline services GmbH & C. KG datenschutz nrd GmbH 6/99

7 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) Bereitstellung vn benutzerfreundlichen Client-Kmpnenten. 11 Abbildung 1 illustriert die vllständige Virtuelle Pststelle des Bundes. Virtuelle Pststelle des Bundes Web-Client Anwendungen OSCI- Biblithek OSCI-Client- Enabler Authentisierungsanwendung Verifikatinsanwendung MTA SMTP Prxy Mail Interface (MI) Mail Mail AnwendungInterface (MI) Backend / Fachverfahren Web-Server Anwendungen Entry OSCI- Backend-Enabler Entry OSCI- Manager Dcument Interface (DI) Kernsystem : Adapter Fachverfahren Verwaltung Externe Benutzer Directry Externe Benutzer Directry Interne Benutzer Lg-Server Zeit-Server (NTP) Externer Zeitstempeldienst Virenscanner OCSP/CRL- Relay OSCI- Pstfächer Authentifizierungsserver Verifikatinsserver fachspezifisch zu implementieren: 1 2 : Authentisierung: Business Delegate Verwaltung Pstbücher Trust-Center Abbildung 1: Aufbau der Virtuellen Pststelle des Bundes 12 Mtivatin für die Entwicklung der Virtuellen Pststelle des Bundes war, dass die Erfahrungen beim Einsatz kryptgraphischer Verfahren um typische IT- Sicherheitsanfrderungen wie Vertraulichkeit, Integrität und Authentizität zu erfüllen gezeigt haben, dass diese bislang eher zögerlich genutzt werden. Idee der Virtuellen Pststelle ist, die zahlreichen praktischen Schwierigkeiten bei der ausschließlichen Anwendung vn Ende-zu-Ende-Sicherheit durch eine Alternative zu überwinden, die darin besteht, kryptgraphische Funktinen innerhalb vn Behörden- und Firmennetzen serverbasiert anzubieten. Dabei darf aber nicht übersehen werden, dass es immer Kmmunikatinsbeziehungen der -inhalte gibt, bei denen aufgrund ihrer Sensitivität eine zentrale kryptgraphische Bearbeitung nicht zweckmäßig der sgar ausgeschlssen ist. Eine vllständige Abschaffung der Ende-zu-Ende-Sicherheit sllte als nicht das Ziel vn Zentralisierungsbemühungen sein. 13 Die Evaluierung der Virtuellen Pststelle des Bundes wird im Rahmen einer kmpsitiven Evaluierung durchgeführt, in der die VPS in drei lgische Einbremen nline services GmbH & C. KG datenschutz nrd GmbH 7/99

8 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) heiten aufgeteilt wird, die jeweils als ein eigenständiger Evaluatinsgegenstand (EVG) evaluiert, zertifiziert und bestätigt werden. Die drei EVGs sind: EVG1: Virtuelle Pststelle des Bundes, Versin 2.2.x.x (Basis); EVG2: Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI); EVG3: Virtuelle Pststelle des Bundes, Versin 2.2.x.x (Verifikatinsmdul). 14 Die vrliegenden Sicherheitsvrgaben (Security Target ST) fkussieren auf den Evaluatinsgegenstand Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI) abkürzend als OSCI-Kmpnente bezeichnet. 15 Der Evaluatinsgegenstand stellt flgende Funktinalitäten zur Verfügung: Unterstützung bei der Erzeugung qualifizierter elektrnischer Signaturen; mathematische Prüfung qualifizierter elektrnischer Signaturen (Verifikatin); Unterstützung bei der Statusprüfung (Validierung) qualifizierter Zertifikate; sichere Anzeige vn zu signierenden und signierten Daten swie Verifikatins- und Validierungsergebnissen. 16 Der Evaluatinsgegenstand stellt als Teil einer Signaturanwendungskmpnente nach SigG/SigV eine Funktinsbiblithek 2 und damit eine Basis für weitere Signaturanwendungskmpnenten dar, die gemäß 15 Abs. 7 und 17 Abs. 4 SigG [SigG] swie 11 Abs. 3 SigV [SigV] evaluiert, zertifiziert und bestätigt werden. 17 Dementsprechend wird im Flgenden ausschließlich die für die Erfüllung des Signaturgesetzes relevante Funktinalität der Virtuellen Pststelle des Bundes nämlich Funktinalitäten zur Signaturbildung und -prüfung betrachtet. 18 Die der Zertifizierung zu Grunde liegende Evaluierung erflgt nach Cmmn Criteria (CC) (ISO/IEC 15408). Für die Bestätigung werden Signaturgesetz [SigG] und -verrdnung [SigV] berücksichtigt. 1.3 Pstulat der Übereinstimmung mit den Cmmn Criteria 19 Der in Abschnitt 2 beschriebene Evaluatinsgegenstand (EVG) Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI) ist zu flgenden Teilen der Cmmn Criteria entwickelt: Teil 2 erweitert [CC-Teil2]; 2 Der Begriff Teil einer Signaturanwendungskmpnente wird in der Auflistung der Prdukte für qualifizierte elektrnische Signaturen auf der Web-Site der Bundesnetzagentur für Elektrizität, Gas, Telekmmunikatin, Pst und Eisenbahnen (Bundesnetzagentur) unter - in Abgrenzung zu einer vllständigen Signaturanwendungskmpnente verwendet und in Funktinsbiblitheken und Chipkartenleser unterteilt. Die Funktinsbiblithek wird vn Client- und Serversystemen genutzt. bremen nline services GmbH & C. KG datenschutz nrd GmbH 8/99

9 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) Teil 3 mit Zusatz, EAL3 [CC-Teil3] mit den Zusätzen ADO_DEL.2, ADV_IMP.1, ADV_LLD.1, ALC_TAT.1, AVA_MSU.3 und AVA_VLA.4 (abkürzend als EAL3+ bezeichnet). 20 Dabei wird die vm EVG zur Verfügung gestellte Sicherheitsfunktinalität swhl aus funktinalen Sicherheitskmpnenten aus dem Teil 2 der CC als auch einer explizit dargelegten Sicherheitskmpnente zur sicheren Anzeige hergeleitet (vgl. Abschnitt 9). 21 Hinsichtlich Teil 3 der CC sll die OSCI-Kmpnente als Teil einer Signaturanwendungskmpnente gemäß SigG/SigV die in Anlage 1 der Signaturverrdnung [SigV] definierte Vertrauenswürdigkeitsstufe EAL3 erreichen, wbei zusätzlich flgende Anfrderungen an die Schwachstellenbewertung bzw. Mechanismenstärke frmuliert sind: Bei den Prüfstufen [ ] EAL3 [ ] ist ergänzend zu den bei dieser Prüfstufe vrgeschriebenen Maßnahmen gegen ein hhes Angriffsptenzial zu prüfen und eine vllständige Missbrauchsanalyse durchzuführen [SigV, Anlage 1]. Daraus ergibt sich, dass die Signaturanwendungskmpnente insgesamt nach EAL3+ mit flgenden Vertrauenswürdigkeitskmpnenten evaluiert wird: Vertrauenswürdigkeitskmpnenten gemäß EAL3: Knfiguratinsmanagement: ACM_CAP.3 Autrisierungskntrlle; ACM_SCP.1 EVG-CM-Umfang; Auslieferung und Betrieb: Entwicklung: Handbücher: ADO_DEL.1 3 Auslieferungsprzeduren; ADO_IGS.1 Installatins-, Generierungs- und Anlaufprzeduren; ADV_FSP.1 Infrmelle funktinale Spezifikatin; ADV_HLD.2 Sicherheitsspezifischer Entwurf auf hher Ebene; ADV_RCR.1 Infrmeller Nachweis der Übereinstimmung; AGD_ADM.1 Systemverwalterhandbuch; AGD_USR.1 Benutzerhandbuch; Lebenszyklus-Unterstützung: Testen: ALC_DVS.1 Identifikatin der Sicherheitsmaßnahmen; ATE_COV.2 Analyse der Testabdeckung; 3 Diese Vertrauenswürdigkeitskmpnente wird durch die höherwertige Systemkmpnente ADO_DEL.2 ersetzt, vgl. [AIS27]. bremen nline services GmbH & C. KG datenschutz nrd GmbH 9/99

10 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) ATE_DPT.1 Testen Entwurf auf hher Ebene; ATE_FUN.1 Funktinales Testen; ATE_IND.2 Unabhängiges Testen Stichprbenartig; Schwachstellenbewertung: AVA_MSU.1 4 Prüfung der Handbücher; AVA_SOF.1 Stärke der EVG-Sicherheitsfunktinen; AVA_VLA.1 5 Schwachstellenanalyse des Entwicklers. Die Prüfung gegen ein hhes Angriffsptential (SOF-hch) krrespndiert gemäß [CC-Teil3, Abschnitt 14.4] und [CEM, Abschnitt B.8] mit der Vertrauenswürdigkeitskmpnente AVA_VLA.4, was über die Abhängigkeiten flgende zusätzliche bzw. höhere Vertrauenswürdigkeitskmpnenten impliziert: Entwicklung: ADV_IMP.1 Teilmenge der Implementierung der TSF; ADV_LLD.1 Beschreibender Entwurf auf niedriger Ebene; zugehörig erweiterter Umfang vn ADV_RCR.1; Lebenszyklus-Unterstützung: ALC_TAT.1 Klar festgelegte Entwicklungswerkzeuge; Schwachstellenbewertung: AVA_VLA.4 Hhe Widerstandsfähigkeit. Die vllständige Missbrauchsanalyse wird durch die flgenden Vertrauenswürdigkeitskmpnenten realisiert: Auslieferung und Betrieb: ADO_DEL.2 Erkennung vn Mdifizierungen; Schwachstellenbewertung: AVA_MSU.3 Analysieren und Testen auf unsichere Zustände. 22 Diese Vertrauenswürdigkeitskmpnenten entsprechen den Anfrderungen aus den im Entwurf vrliegenden Anwendungshinweisen und Interpretatinen zum Schema (AIS) Nr. 27 [AIS27]. In AIS 27 werden Vertrauenswürdigkeitskmpnenten aufgeführt, die zusätzlich zu den in den EAL-Stufen der Cmmn Criteria ausgewählten Kmpnenten auszuwählen d. h. zu augmentieren sind, um den Anfrderungen der ITSEC zu genügen. Relevant für diese Sicherheitsvrgaben sind die in Anlage 1 der Signaturverrdnung [SigV] beschriebenen Anfrderungen hinsichtlich der Stärke der Sicherheitsmechanismen, die mit hch bewertet werden müssen. 4 Diese Vertrauenswürdigkeitskmpnente wird durch die höherwertige Systemkmpnente AVA_MSU.3 ersetzt, vgl. [AIS27]. 5 Diese Vertrauenswürdigkeitskmpnente wird durch die höherwertige Systemkmpnente AVA_VLA.4 ersetzt. bremen nline services GmbH & C. KG datenschutz nrd GmbH 10/99

11 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) 2 EVG-Beschreibung 2.1 Kmpsitive Evaluierung 23 Die Evaluierung der Virtuellen Pststelle des Bundes (VPS) wird im Rahmen einer kmpsitiven Evaluierung durchgeführt, in der die VPS in drei lgische Einheiten aufgeteilt wird, die jeweils als ein eigenständiger Evaluatinsgegenstand (EVG) evaluiert, zertifiziert und bestätigt werden. 24 Die drei EVGs sind in Abbildung 2 illustriert: EVG1: Virtuelle Pststelle des Bundes, Versin 2.2.x.x (Basis); EVG2: Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI); EVG3: Virtuelle Pststelle des Bundes, Versin 2.2.x.x (Verifikatinsmdul). Virtuelle Pststelle des Bundes, Versin 2.2 EVG2: OSCI-Kmpnente OSCI- Client OSCI- Client- Enabler OSCI- Manager OSCI- Backend- Enabler OSCI- Backend Verifikatinsserver Verifikatinsanwendung EVG3: Verifikatinsmdul Kernsystem OCSP/CRL-Relay EVG1: Basiskmpnente Weitere Systeme 25 Diese Sicherheitsvrgaben fkussieren auf den EVG Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI) abkürzend als OSCI-Kmpnente bezeichnet. Trust- Center Abbildung 2: EVG-Übersicht bremen nline services GmbH & C. KG datenschutz nrd GmbH 11/99

12 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) 2.2 Online Services Cmputer Interface (OSCI) 26 Ein wichtiger Standard im E-Gvernment ist das Online Services Cmputer Interface (OSCI) [OSCI]. Das im OSCI-Prtkll realisierte Kmmunikatinsmdell weist eine Architektur über zwei Ebenen auf: Absender- und Empfänger-Seite Auf Absender-Seite erzeugt ein Nutzer der ein Fachverfahren mit Hilfe einer Client-Anwendung eine OSCI-knfrme Nachricht. Die Client-Anwendung übernimmt unter anderem die Verschlüsselung vn Dkumenten, die Unterstützung des Signaturschlüssel-Inhabers beim Signieren vn Daten, die Visualisierung vn Inhaltsdaten swie die Verwaltung vn Zertifikaten und Signaturen. Auf Empfänger-Seite verhält sich die Client-Anwendung spiegelbildlich: Die Client-Anwendung übernimmt die Entschlüsselung der Nachrichten, das Prüfen vn Signaturen und möglicherweise die autmatische Weiterleitung der eingehenden Nachrichten in ein Backend bzw. Fachverfahren, als der elektrnischen Datenverarbeitung in der Behörde. Absender- und Empfänger-Seite wird durch einen OSCI-Client bzw. OSCI-Backend realisiert. OSCI-Intermediär Die Kmmunikatin zwischen Absender und Empfänger wird über einen Intermediär vermittelt, der wichtige Dienste wie die Zertifikatsprüfung, eine beweiskräftige Prtkllierung des Nachrichtenweges der die Zustellung der Nachrichten nach bestimmten Regeln zentral erbringt und damit die an der Kmmunikatin Beteiligten entlastet. 27 Aufgrund der strikten Trennung vn Nutzungs- und Inhaltsdaten (Prinzip des dppelten Umschlags nach OSCI) können beliebig viele Kmmunikatinsprzesse mit unterschiedlichen Beteiligten über den Intermediär abgewickelt werden, hne den datenschutzrechtlichen Grundsatz der Datentrennung zu verletzen (Mehrmandantenfähigkeit). Der Intermediär bzw. die hinter ihm stehenden Systemadministratren sind zu keinem Zeitpunkt in der Lage, auf übermittelte Inhaltsdaten im Klartext zuzugreifen. 28 Weitere Infrmatinen sind unter [OSCI] zu finden. 29 Für die OSCI-Kmmunikatin stellt der EVG wichtige Funktinalitäten zur Verfügung: OSCI-Client-Enabler für einen OSCI-Client; OSCI-Manager für den OSCI-Intermediär 6 ; OSCI-Backend-Enabler für ein OSCI-Backend. 30 Bei der OSCI-Kmmunikatin wird aufgrund des dppelten Umschlags zwischen Inhalts- und Nutzungsdaten unterschieden: 6 Zur Realisierung des OSCI-Intermediärs ist neben dem OSCI-Manager zusätzlich eine SigG-knfrmen Basiskmpnente der Virtuellen Pststelle des Bundes ntwendig (vgl. [bs_basis_st]). bremen nline services GmbH & C. KG datenschutz nrd GmbH 12/99

13 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) Inhaltsdaten können vm Absender mit qualifizierten elektrnischen Signaturen versehen und mit dem öffentlichen Schlüssel des Empfängers verschlüsselt (innerer Umschlag) werden. Nutzungsdaten umfassen den inneren Umschlag swie weitere Kmmunikatinsdaten wie etwa das Zertifikat des Absenders und können mit dem öffentlichen Schlüssel des Intermediärs verschlüsselt (äußerer Umschlag) werden, s dass der Intermediär den. g. Mehrwert für den Empfänger erbringen kann. Das OSCI-Transprt-Prtkll erlaubt eine individuelle Knfiguratin der Nutzung vn Signaturen und Verschlüsselungen. 31 OSCI bedient sich für die Darstellung digitaler Signaturen des XML-Signature-Standards 7. Darüber hinaus wurde für die flexible und perfrmante Verarbeitung vn Attachments die Realisierung als SOAP-Attachment gewählt. Das bedeutet im Wesentlichen, dass zum Anbringen vn Signaturen alle zu signierenden Bereiche (bestehend aus SOAP-Attachments der aus XML- Teil-Strukturen) über eine für die Kmmunikatin eindeutige ID swie dem entsprechenden Hashwert referenziert werden. Über diese Referenzen wird ein Hashwert gebildet, der signiert wird (vgl. [OSCI-Transprt, Kap. 4.1]). 32 Zur Darstellung vn OSCI-Nachrichten: Der OSCI-Client-Enabler bietet eine sichere Anzeige vn flgenden zu signierenden und signierten Daten: 8 plain-text (UTF-8-cdiert): In dieser Darstellung werden die in der XML- Struktur enthaltenen OSCI-Inhaltsdaten vm EVG interpretiert und angezeigt. In dieser Darstellung können in Attachments enthaltene tiff-dateien als Bilddaten nicht angezeigt werden. tiff-dateien: In dieser Darstellung werden Bilddaten vm EVG sicher angezeigt. Unterstützend können die entsprechenden XML-Daten in Rh-Frm, d. h. uninterpretiert, angezeigt werden. Neben der Darstellung der Inhaltsdaten in plain-text (UTF-8-cdiert) der tiff werden weitere Infrmatinen vm OSCI-Client-Enabler dem Benutzer angezeigt beispielsweise das zugehörige Zertifikat swie Verifikatins- und Validierungsergebnisse. 2.3 EVG-Umfang 33 Der Evaluatinsgegenstand Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI) stellt zur Realisierung des OSCI-Transprt-Prtklls (vgl. [OSCI]) für OSCI-Client, OSCI-Intermediär und 7 vgl. 8 Nicht im Umfang der Evaluierung enthalten sind weitere unterstützte Datenfrmate. bremen nline services GmbH & C. KG datenschutz nrd GmbH 13/99

14 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) OSCI-Backend 34 flgende Funktinalitäten für die OSCI-Kmmunikatin bereit: Unterstützung bei der Erzeugung qualifizierter elektrnischer Signaturen; mathematische Prüfung qualifizierter elektrnischer Signaturen (Verifikatin); Unterstützung bei der Statusprüfung (Validierung) qualifizierter Zertifikate; sichere Anzeige vn zu signierenden und signierten Daten swie Verifikatins- und Validierungsergebnissen. 35 Der EVG ist eine Funktinsbiblithek2, die auf geeigneter Hardware mit geeigneten Betriebsmitteln insbesndere mit SigG-knfrmem Chipkartenleser und sicheren Signaturerstellungseinheiten (in diesem Fall Signaturkarten 9 ) betrieben wird. 36 Der EVG nutzt Funktinalitäten einer SigG-knfrmen Basiskmpnente der Virtuellen Pststelle des Bundes mit Kernsystem, OCSP/CRL-Relay und Net- Signer, die ebenfalls innerhalb der kmpsitiven Evaluierung der Virtuellen Pststelle des Bundes evaluiert, zertifiziert und bestätigt wird. Funktinalitäten und Eigenschaften der Basiskmpnente sind in [bs_basis_st] näher beschrieben Der EVG nutzt darüber hinaus Funktinalitäten vn OSCI-Client und -Backend zur Identifikatin und Authentisierung zum Management vn Sicherheitsattributen, d. h. den kryptgraphischen Schlüsseln und (System-)Zertifikaten. 38 Der EVG besteht aus den flgenden Teilsystemen: OSCI-Client-Enabler; OSCI-Manager; OSCI-Backend-Enabler. 39 Der OSCI-Client-Enabler wird auf einem Rechner an einem Arbeitsplatz beispielsweise in einem Bür (in einem geschützten Einsatzbereich (Regelfall/Standardlösung) [BNetzA2005]) mit einem OSCI-Client betrieben, der vn einem Benutzer beispielsweise über eine GUI (Graphical User Interface) benutzt wird. Der OSCI-Client-Enabler verfügt über die Einbindung vn Chipkartenlesern. 40 OSCI-Manager und -Backend-Enabler werden auf Servern in einem Rechenzentrum (in einem geschützten Einsatzbereich (Regelfall/Standardlösung) [BNetzA2005]) betrieben, mit jeweiligen Web-Oberflächen (GUIs) vn Administratren knfiguriert und arbeiten im Prduktivbetrieb autmatisiert und hne menschliche Aktivitäten. Der OSCI-Backend-Enabler wird vn einem OSCI-Backend genutzt. 9 Sichere Signaturerstellungseinheiten gemäß SigG/SigV werden in diesem Kntext ausschließlich als Chipkarten, als Signaturkarten, realisiert, s dass die Begriffe synnym genutzt werden. 10 Darüber hinaus wird die Basiskmpnente für die Gewährleistung der Systemsicherheit genutzt (vgl. Abschnitt 2.4). bremen nline services GmbH & C. KG datenschutz nrd GmbH 14/99

15 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) 41 Die Teilsysteme können räumlich vneinander getrennt betrieben werden. 42 Der Evaluatinsgegenstand stellt flgende Funktinen zur Verfügung: Der EVG stellt Funktinalitäten zur Unterstützung eines Signaturschlüssel-Inhabers bei der Erzeugung einer qualifizierten elektrnischen Signatur (Individualsignaturen im Sinne der Bundesnetzagentur (vgl. [BNetzA_FAQ18])) bereit, die auf Anfrderung des Benutzers lkal erzeugt werden sllen. Der Signaturschlüssel-Inhaber hat an seinem Arbeitsplatz (mit Chipkartenleser) zur Signaturerzeugung unmittelbar Zugriff auf seine Signaturkarte. Zum Signieren steckt der Benutzer seine Signaturkarte in den Chipkartenleser, bestätigt die Aktin wraufhin die zu signierenden Daten der sicheren Signaturerstellungseinheit zugeführt werden, in der sein privater Signaturschlüssel vrgehalten wird und autrisiert das Signieren durch Eingabe seiner PIN am PIN-Pad des Kartenlesegeräts. Anschließend wird die Signatur bzw. eine Fehlermeldung an den EVG zurückgeliefert. Der Benutzer wird durch entsprechende Anzeigen des EVG unterstützt. Der EVG prüft auf Anfrderung des Benutzers die mathematische Krrektheit einer qualifizierten elektrnischen Signatur. Der EVG führt eine Signaturprüfung durch, d. h. prüft die mathematische Krrektheit der Signatur mittels zugehörigem Prüfschlüssel (öffentlichem Schlüssel aus qualifiziertem Zertifikat) und geeigneten kryptgraphischen Verfahren und visualisiert das Verifikatinsergebnis (gültige der ungültige Signatur der Fehlermeldung). Der EVG führt auf Anfrderung des Benutzers die Statusprüfung eines qualifizierten Zertifikats durch. Gemäß OSCI-Prtkll führt der EVG die Statusprüfung als OSCI-Intermediär durch (siehe nächsten Spiegelstrich), prüft anschließend aufgrund der Realisierung des EVG durch u. U. räumlich getrennte Teilsysteme das Ergebnis der Zertifikats-Statusprüfung und visualisiert das Validierungsergebnis. Das Ergebnis der Statusprüfung zum Zeitpunkt der Prüfung beim OSCI- Intermediär die zeitlich vrher erflgte bleibt gültig: Ein zum Prüfzeitpunkt gültiges Zertifikat kann nachträglich nicht ungültig gewrden sein. 11 Der EVG stellt als OSCI-Intermediär die Gültigkeit eines qualifizierten Zertifikats unter Zuhilfenahme einer Basiskmpnente mit Kernsystem und OCSP/CRL-Relay fest. Die Basiskmpnente stellt dabei fest, b das qualifizierte Zertifikat zum Zeitpunkt des Eingangs beim OSCI-Intermediär vrhanden und nicht gesperrt war und der Gültigkeitszeitraum des qualifizierten Zertifikats zu diesem Zeitpunkt bereits begnnen und nch nicht abgelaufen war, und übergibt das Ergebnis der Validierung in Frm des Verzeichnisdienst-Ergebnisses swie einer Interpretatin (gültig und nicht gesperrt, unbekannt der gesperrt) an den EVG. 11 Für eine aktuelle Validierung sei auf EVG3 Verifikatinsmdul verwiesen. bremen nline services GmbH & C. KG datenschutz nrd GmbH 15/99

16 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) Der EVG erhält vn einem OSCI-Backend die Anfrderung 12, die mathematische Krrektheit einer qualifizierten elektrnischen Signatur zu prüfen. Der EVG führt eine Signaturprüfung durch, d. h. prüft die mathematische Krrektheit der Signatur mittels zugehörigem Prüfschlüssel (öffentlichem Schlüssel aus qualifiziertem Zertifikat) und geeigneten kryptgraphischen Verfahren und liefert das Ergebnis (gültige der ungültige Signatur der Fehlermeldung) an das OSCI-Backend zurück. Der EVG erhält vn einem OSCI-Backend die Anfrderung12, eine Statusprüfung eines qualifizierten Zertifikats durchzuführen. Während die eigentliche Statusprüfung gemäß OSCI-Prtkll vm OSCI-Intermediär durchgeführt wird, führt der EVG eine Plausibilitätsprüfung durch, in der der EVG prüft, b das im OSCI-Laufzettel enthaltene Ergebnis der Zertifikats-Statusprüfung zum Zertifikat der OSCI-Nachricht passt, und gibt das Validierungsergebnis an das OSCI-Backend zurück. 43 Die Kmmunikatin zwischen OSCI-Client und OSCI-Client-Enabler swie zwischen OSCI-Backend und OSCI-Backend-Enabler erflgt derart abgesichert, dass die tatsächliche Anfrderung bearbeitet und zutreffende Ergebnisse zurückliefert werden Der EVG wurde ISIS-MTT-knfrm entwickelt ([ISIS-MTT_SigG]). 45 Zum EVG-Umfang gehört darüber hinaus ein Prüftl zum Schutz vr unbefugter Veränderung (vgl. Abschnitt 2.7). 2.4 Technische Realisierung 46 Die OSCI-Kmpnente besteht aus den Teilsystemen OSCI-Client-Enabler, OSCI-Manager und OSCI-Backend-Enabler inklusive einer Administratinsanwendung als Graphical User Interface (GUI) zur Administratin des OSCI-Managers. illustriert die Teilsysteme der OSCI- Kmpnente. 12 Der EVG wird unter der Annahme betrieben, dass das OSCI-Backend, welches auf diesen EVG zugreift, eine Signaturanwendungskmpnente gemäß SigG/SigV darstellt. 13 Die Kmmunikatin zwischen OSCI-Client-Enabler und OSCI-Intermediär swie zwischen OSCI-Backend-Enabler und OSCI-Intermediär ist über das OSCI-Transprt-Prtkll abgesichert. Das OSCI-Transprt-Prtkll ist nicht Bestandteil der Evaluierung. bremen nline services GmbH & C. KG datenschutz nrd GmbH 16/99

17 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) EVG2: OSCI-Kmpnente OSCI- Client OSCI- Client- Enabler OSCI-Manager OSCI- Backend- Enabler OSCI- Backend Administratinsanwendung (GUI) für OSCI-Manager Kernsystem aus Basiskmpnente (EVG1) Abbildung 3: Teilsysteme des EVG 47 OSCI-Client-Enabler, -Manager und -Backend-Enabler können vneinander getrennt betrieben werden, d. h. nicht innerhalb eines LANs (Lcal Area Netwrks), sndern über ein Weitverkehrsnetz (Wide Area Netwrk WAN) verbunden. 48 Die wesentlichen Aufgaben der Teilsysteme: OSCI-Client-Enabler: 14 Signieren: Der OSCI-Client-Enabler wendet auf die zu signierenden Daten eine Hashfunktin gemäß OSCI-Transprt (vgl. Abschnitt 2.2) an und führt den erzeugten Hashwert einer angeschlssenen sicheren Signaturerstellungseinheit zu, die eine qualifizierte elektrnische Signatur erzeugt. Am Arbeitsplatz-PC ist ein Kartenleser installiert. Vr jeder Signaturerzeugung erflgt die Eingabe einer PIN. Signierte Daten werden im inneren Umschlag des OSCI-Prtklls transprtiert. Daten, die dem OSCI-Client- Enabler vm OSCI-Client zum Signieren übergeben werden, sind in einer XML-Struktur cdiert. Nachdem eine qualifizierte elektrnische Signatur durch die Signaturkarte erzeugt wurde, wird die Signatur vm OSCI-Client-Enabler verifiziert; dazu wird das zum 14 Weitere Funktinalitäten, die allerdings nicht Bestandteil der Zertifizierung und Bestätigung sind, sind in Abschnitt 1.2 aufgeführt beispielsweise die Ver- und Entschlüsselung zur Realisierung des dppelten Umschlags gemäß OSCI. bremen nline services GmbH & C. KG datenschutz nrd GmbH 17/99

18 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) privaten Schlüssel krrespndierende Zertifikat genutzt, das sich auf der Signaturkarte befindet und das vr dem Erzeugen der Signatur angezeigt wurde. Verifizieren: Der OSCI-Client-Enabler verifiziert qualifizierte elektrnische Signaturen aus dem inneren Umschlag des OSCI-Prtklls und zeigt das Verifikatinsergebnis swie die signierten Daten an. Validieren: Der OSCI-Client-Enabler validiert nicht selber, sndern nutzt das Ergebnis der Validierung vm OSCI-Manager, welches im OSCI-Laufzettel mit einer elektrnischen Signatur versehen enthalten ist. Der OSCI-Client-Enabler verifiziert diese elektrnische Signatur mit dem dem OSCI-Manager zugerdneten (System-)Zertifikat des OSCI-Managers und prüft, b das vm OSCI-Manager validierte Zertifikat dasjenige Zertifikat ist, welches der Signatur entspricht (Plausibilitätscheck). Der OSCI- Client-Enabler visualisiert das Validierungsergebnis. Das Ergebnis der Statusprüfung zum Zeitpunkt der Prüfung beim OSCI-Intermediär die zeitlich vrher erflgte bleibt gültig: Ein zum Prüfzeitpunkt gültiges Zertifikat kann nachträglich nicht ungültig gewrden sein. Sichere Anzeige: Der OSCI-Client-Enabler bietet eine sichere Anzeige vn flgenden zu signierenden und signierten Daten: plain-text (UTF-8-cdiert; tiff-daten. Darüber hinaus bietet der EVG eine sichere Anzeige vn Verifikatins- und Validierungsergebnis und eine visuelle Unterstützung des Signier-Przesses (insbesndere Autrisieren des Signierens). Der OSCI-Client-Enabler als Funktinsbiblithek nutzt kryptgraphische Schlüssel und (System-)Zertifikate, die vm OSCI-Client zur Verfügung gestellt werden; eine geeignete Identifikatin und Authentisierung zum Management dieser Sicherheitsattribute bliegt dem OSCI-Client. OSCI-Manager:14 Der OSCI-Manager führt als OSCI-Intermediär die Statusprüfung eines qualifizierten Zertifikats durch. Dazu greift der OSCI-Manager auf eine Basiskmpnente (vgl. [bs_basis_st]) 15 zu, der die eigentliche Validierung durchführt. Der OSCI-Manager interpretiert die Antwrt der Basiskmpnente und generiert ein eigenes Ergebnis hne die Original-Verzeichnisdienst-Aus- 15 OSCI-Manager und Kernsystem der Basiskmpnente (vgl. [bs_basis_st]) werden zusammen in einem vertrauenswürdigen Netz betrieben, s dass der OSCI-Manager dem Prüfergebnis des Kernsystems vertraut. bremen nline services GmbH & C. KG datenschutz nrd GmbH 18/99

19 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) künfte der Basiskmpnente, welches der OSCI-Manager im OSCI-Laufzettel ablegt. Der OSCI-Laufzettel wird zur Gewährleistung der Systemsicherheit mit einer elektrnischen Signatur versehen: Dazu nutzt der OSCI-Manager unterstützende Sicherheitsmechanismen 16 des Kernsystems der Basiskmpnente, indem das Kernsystem für den vm OSCI-Manager erzeugten und übergebenen Hashwert eine elektrnische Signatur erzeugt. Anschließend übergibt der OSCI-Manager im Rahmen des OSCI-Prtklls den OSCI-Laufzettel an den OSCI-Client-Enabler bzw. an den OSCI-Backend-Enabler. OSCI-Backend-Enabler:14 Verifikatin: Der OSCI-Backend-Enabler verifiziert qualifizierte elektrnische Signaturen aus dem inneren Umschlag des OSCI- Prtklls. 17 Der OSCI-Backend-Enabler übergibt das Verifikatinsergebnis dem OSCI-Backend. Validieren: OSCI-Backend-Enabler validiert nicht selber, sndern nutzt das Ergebnis der Validierung vm OSCI-Intermediär, welches im OSCI-Laufzettel vm OSCI-Manager mit einer elektrnischen Signatur versehen enthalten ist. Der OSCI-Backend- Enabler verifiziert diese elektrnische Signatur mit dem dem OSCI-Manager zugerdneten (System-) Zertifikat des OSCI- Managers und prüft, b das vm OSCI-Manager validierte Zertifikat der zu prüfenden Signatur zurdenbar ist (Plausibilitätscheck).17 Der OSCI-Backend-Enabler übergibt das Validierungsergebnis dem OSCI-Backend. Der OSCI-Backend-Enabler als Funktinsbiblithek nutzt kryptgraphische Schlüssel und (System-)Zertifikate, die vm OSCI-Backend zur Verfügung gestellt werden; eine geeignete Identifikatin und Authentisierung zum Management dieser Sicherheitsattribute bliegt dem OSCI-Backend. 49 Kmmunikatinssicherheit: 16 Das zur Gewährleistung der Systemsicherheit in diesem Fall die Integrität und Authentizität des OSCI-Laufzettels durch eine vm Kernsystem erzeugte elektrnische Signatur ntwendige Zertifikats- und Schlüssel-Management samt zugehörigen kryptgraphischen Verfahren wurde in [bs-basis_st] beschrieben. Im Rahmen der Evaluierung vn EVG1 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (Basis) wurde geprüft und festgestellt, dass sichergestellt ist, dass nur autrisierte Persnen auf kryptgraphische Schlüssel zugreifen können, sichere kryptgraphische Verfahren eingesetzt werden (vgl. Fußnte 41) und Kernsystem und OSCI-Manager in einem vertrauenswürdigen Netz betrieben werden. 17 Analg zum OSCI-Client-Enabler, allerdings hne jegliche Visualisierung. bremen nline services GmbH & C. KG datenschutz nrd GmbH 19/99

20 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) OSCI-Client und -Enabler resp. OSCI-Backend und -Enabler kmmunizieren über (Java-)Funktinsaufrufe und dadurch integer und vertraulich, da die Daten die Virtual Machine nicht verlassen. OSCI-Client und -Client-Enaber swie OSCI-Backend und -Backend-Enabler werden jeweils zusammen auf einem Rechner betrieben. Der Kartenleser (in der IT-Umgebung) ist physikalisch über ein Kabel an den Rechner angeschlssen, auf dem der OSCI-Client-Enabler betrieben wird. Zusätzlich wird diese Kmmunikatin dadurch abgesichert, dass eine seben erzeugte Signatur vm OSCI-Client-Enabler verifiziert wird. OSCI-Manager und Kernsystem der Basiskmpnente werden zusammen innerhalb eines vertrauenswürdigen Netzes betrieben. Die Kmmunikatin zwischen OSCI-Client und -Intermediär swie zwischen OSCI-Backend und -Intermediär ist über die Mechanismen des OSCI-Transprt-Prtklls 18 abgesichert. Zusätzlich können OSCI-Backend und -Manager zusammen in einem vertrauenswürdigen Netz betrieben werden. 50 Das Prüftl zum Schutz vr unbefugter Veränderung ist in Abschnitt 2.7 beschrieben. 2.5 Signaturgesetz (SigG) und -verrdnung (SigV) Rechtliche Grundlagen 51 Signaturanwendungskmpnenten werden in 2 Nr. 11 SigG definiert als Sftware- und Hardwareprdukte, die dazu bestimmt sind, a) Daten dem Przess der Erzeugung der Prüfung qualifizierter elektrnischer Signaturen zuzuführen der b) qualifizierte elektrnische Signaturen zu prüfen der qualifizierte Zertifikate nachzuprüfen und die Ergebnisse anzuzeigen [...]. 52 Sicherheitsanfrderungen an Signaturanwendungskmpnenten werden in 17 Abs. 2 SigG und 15 Abs. 2 SigV frmuliert: SigG Prdukte für qualifizierte elektrnische Signaturen : (2) Für die Darstellung zu signierender Daten sind Signaturanwendungskmpnenten erfrderlich, die die Erzeugung einer qualifizierten elektrnischen Signatur vrher eindeutig anzeigen und feststellen lassen, auf welche Daten sich die Signatur bezieht. Für die Überprüfung signierter Daten sind Signaturanwendungskmpnenten erfrderlich, die feststellen lassen, 1. auf welche Daten sich die Signatur bezieht, 2. b die signierten Daten unverändert sind, 3. welchem Signaturschlüssel-Inhaber die Signatur zuzurdnen ist, 18 Das OSCI-Transprt-Prtkll ist nicht Bestandteil der Evaluierung. bremen nline services GmbH & C. KG datenschutz nrd GmbH 20/99

21 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) 4. welche Inhalte das qualifizierte Zertifikat, auf dem die Signatur beruht, und zugehörige qualifizierte Attribut-Zertifikate aufweisen und 5. zu welchem Ergebnis die Nachprüfung vn Zertifikaten nach 5 Abs. 1 Satz 2 geführt hat. Signaturanwendungskmpnenten müssen nach Bedarf auch den Inhalt der zu signierenden der signierten Daten hinreichend erkennen lassen. Die Signaturschlüssel-Inhaber sllen slche Signaturanwendungskmpnenten einsetzen der andere geeignete Maßnahmen zur Sicherheit qualifizierter elektrnischer Signaturen treffen SigV Anfrderungen an Prdukte für qualifizierte elektrnische Signaturen : (2) Signaturanwendungskmpnenten nach 17 Abs. 2 des Signaturgesetzes müssen gewährleisten, dass 1. bei der Erzeugung einer qualifizierten elektrnischen Signatur a) die Identifikatinsdaten nicht preisgegeben und diese nur auf der jeweiligen sicheren Signaturerstellungseinheit gespeichert werden, b) eine Signatur nur durch die berechtigt signierende Persn erflgt, c) die Erzeugung einer Signatur vrher eindeutig angezeigt wird und 2. bei der Prüfung einer qualifizierten elektrnischen Signatur a) die Krrektheit der Signatur zuverlässig geprüft und zutreffend angezeigt wird und b) eindeutig erkennbar wird, b die nachgeprüften qualifizierten Zertifikate im jeweiligen Zertifikat-Verzeichnis zum angegebenen Zeitpunkt vrhanden und nicht gesperrt waren. 55 Die Bundesnetzagentur für Elektrizität, Gas, Telekmmunikatin, Pst und Eisenbahnen (Bundesnetzagentur) fasst die Sicherheitsanfrderungen in [BNetzA2005] zusammen und knkretisiert sie in Fußnten: 56 Erzeugung vn Signaturen: Die Signaturanwendungskmpnente muss beim Erzeugen einer Signatur gewährleisten, dass das Erzeugen einer Signatur vrher eindeutig angezeigt wird 19, erkennbar ist, auf welche Daten sich die Signatur bezieht 20, bei Bedarf der Inhalt der zu signierenden Daten hinreichend zu erkennen ist 21, 19 Z. B. durch einen Warnhinweis auf dem Bildschirm. [BNetzA2005] 20 Z. B. durch Anzeigen des Dateinamens. [BNetzA2005] 21 Z. B. bei Texten/Graphiken durch vllständige Anzeige des Inhaltes (keine versteckten Texte ) mit eindeutiger Interpretatin auf Bildschirm/Ausdruck. [BNetzA2005] bremen nline services GmbH & C. KG datenschutz nrd GmbH 21/99

22 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) eine Signatur nur durch die berechtigt signierende Persn erflgt 22, die Identifikatinsdaten nicht preisgegeben und nur auf der jeweiligen sicheren Signaturerstellungseinheit gespeichert werden Prüfung einer Signatur: Die Signaturanwendungskmpnente muss beim Prüfen einer Signatur gewährleisten, dass erkennbar wird, auf welche Daten sich die Signatur bezieht, erkennbar wird, b die Daten unverändert sind, bei Bedarf der Inhalt der signierten Daten hinreichend zu erkennen ist, erkennbar wird, welchem Signaturschlüssel-Inhaber die Signatur zuzurdnen ist, erkennbar wird, welche Inhalte das qualifizierte Zertifikat, auf dem die Signatur beruht, und zugehörige qualifizierte Attribut-Zertifikate aufweisen, erkennbar wird, b die nachgeprüften qualifizierten Zertifikate im jeweiligen Zertifikatverzeichnis zum angegebenen Zeitpunkt vrhanden und nicht gesperrt waren, die Krrektheit der Signatur zuverlässig geprüft und zutreffend angezeigt wird. 58 Schutz vr unbefugter Veränderung: Sicherheitstechnische Veränderungen an der Signaturanwendungskmpnente müssen für den Nutzer erkennbar 24 werden. 22 Als berechtigt signierende Persn gilt, wer sich in der vrgesehenen Weise authentisiert hat (z. B. durch Besitz = Karte und Wissen = PIN). Es muss sichergestellt sein, dass nach Authentifizierung und der damit verbundenen Scharfschaltung des Signaturschlüssels nicht eine andere Persn eine Signatur auslösen kann, indem mittels Hacking der eines trjanischen Pferdes ein elektrnisches Dkument (= Hashwert) untergeschben wird. [BNetzA2005] 23 Dies erfrdert einen gesicherten Übertragungsweg vn der Eingabe der Identifikatinsdaten zur Signaturerstellungseinheit. [BNetzA2005] 24 Dies kann abhängig vn der Art des Einsatzbereiches (vgl. Abschnitt 4 [BNetzA2005]) z. B. auf flgende Weise erreicht werden: Zugriffsicheres Verwahrgelass/zugriffsicherer (Betriebs-)Raum für die Aufbewahrung der Signatur-Arbeitstatin, s dass ein Zugriff Unbefugter ausgeschlssen ist der zumindest mit hher Sicherheit erkennbar wird, Prüfsftware, mit der sicherheitstechnische Veränderungen mit hher Sicherheit festgestellt werden (dies erfrdert, dass auch das Prüfwerkzeug entsprechend vr Manipulatin geschützt ist) der elektrnische Selbstsicherung der Signaturanwendungskmpnente, s dass diese im Falle sicherheitserheblicher Veränderungen z. B. autmatisch funktinsunfähig wird und die Funktinsfähigkeit nur durch autrisiertes Wartungs-/Reparaturpersnal wieder hergestellt werden kann. [BNetzA2005] bremen nline services GmbH & C. KG datenschutz nrd GmbH 22/99

23 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) Signaturgesetz-Anfrderungen an den EVG 59 Der EVG ist eine Funktinsbiblithek zur Erzeugung und Prüfung qualifizierter elektrnischer Signaturen. 60 Im Flgenden wird aufgezeigt und in Tabelle 1 zusammenfassend dargestellt, in welchem Umfang die Sicherheitsanfrderungen des SigG und der SigV an Signaturanwendungskmpnenten vm EVG erfüllt werden und welcher Anteil vn der IT-Umgebung umgesetzt werden muss. Zur Erzeugung vn Signaturen 61 Die Sicherheitsanfrderungen, dass eine Signaturanwendungskmpnente beim Erzeugen einer Signatur gewährleisten muss, dass das Erzeugen einer Signatur vrher eindeutig angezeigt wird, erkennbar ist, auf welche Daten sich die Signatur bezieht und bei Bedarf der Inhalt der zu signierenden Daten hinreichend zu erkennen ist ([BNetzA2005]) werden durch den EVG umgesetzt: Der OSCI-Client-Enabler unterstützt den OSCI-Client bei der Erzeugung vn qualifizierten elektrnischen Signaturen durch eine geeignete Anzeige der przeduralen Abläufe. Der OSCI-Client- Enabler wendet auf die zu signierenden Daten eine Hashfunktin gemäß OSCI-Transprt (vgl. Abschnitt 2.2) an und nutzt eine sichere Signaturerstellungseinheit, auf die er über einen angeschlssenen Chipkartenleser zugreift. Darüber hinaus kann der OSCI-Client-Enabler dem Benutzer bei Bedarf die zu signierenden Daten anzeigen. 62 Die Sicherheitsanfrderungen, dass eine Signaturanwendungskmpnente beim Erzeugen einer Signatur gewährleisten muss, dass eine Signatur nur durch die berechtigt signierende Persn erflgt und die Identifikatinsdaten nicht preisgegeben und nur auf der jeweiligen sicheren Signaturerstellungseinheit gespeichert werden ([BNetzA2005]) bliegen Chipkartenleser und sichere Signaturerstellungseinheiten in der IT- Umgebung, die per Annahme/Auflage die SigG/SigV-Anfrderungen erfüllen: Vm Chipkartenleser und der sicheren Signaturerstellungseinheit muss gewährleistet werden, dass eine Signatur nur durch die berechtigt signierende Persn erflgt und dass Identifikatinsdaten nicht preisgegeben und nur auf der jeweiligen sicheren Signaturerstellungseinheit abgespeichert werden. Zur Prüfung einer Signatur 63 Die Sicherheitsanfrderungen, dass eine Signaturanwendungskmpnente beim Prüfen einer Signatur gewährleisten muss, dass erkennbar wird, auf welche Daten sich die Signatur bezieht, erkennbar wird, b die Daten unverändert sind, bei Bedarf der Inhalt der signierten Daten hinreichend zu erkennen ist, bremen nline services GmbH & C. KG datenschutz nrd GmbH 23/99

24 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) erkennbar wird, welchem Signaturschlüssel-Inhaber die Signatur zuzurdnen ist, erkennbar wird, welche Inhalte das qualifizierte Zertifikat, auf dem die Signatur beruht, aufweist, 25 erkennbar wird, b die nachgeprüften qualifizierten Zertifikate im jeweiligen Zertifikatverzeichnis zum angegebenen Zeitpunkt vrhanden und nicht gesperrt waren und die Krrektheit der Signatur zuverlässig geprüft und zutreffend angezeigt wird ([BNetzA2005]) werden vm EVG umgesetzt: OSCI-Client-Enabler und -Backend- Enabler prüfen die Krrektheit qualifizierter elektrnischer Signaturen. Die Anzeige ist nur beim OSCI-Client-Enabler verfügbar, da nur hier Benutzer invlviert sind. 64 Die Validierung, b die geprüften qualifizierten Zertifikate im jeweiligen Zertifikat-Verzeichnis zum angegebenen Zeitpunkt vrhanden und nicht gesperrt waren ( 15 Abs. 2 SigV) erflgt hinsichtlich der Validierung bei einer SigG-knfrmen Basiskmpnente in der IT-Umgebung und beim OSCI-Manager, hinsichtlich der Plausibilitätsprüfung (Gehört das validierte Zertifikat zur Signatur?) bei OSCI-Client-Enabler und -Backend-Enabler und hinsichtlich der Anzeige beim OSCI-Client-Enabler. Schutz vr unbefugter Veränderung 65 Die Sicherheitsanfrderungen zum Schutz vr unbefugter Veränderung um sicherheitstechnische Veränderungen an der Signaturanwendungskmpnente [BNetzA2005] für den Nutzer erkennbar zu machen sind hinsichtlich des EVG in der Weise umzusetzen, dass swhl die Client-Kmpnenten am Arbeitsplatz als auch die Server-Kmpnenten im Serverraum in einem geschützten Einsatzbereich eingesetzt werden (vgl. nach [BNetzA2005]). Darüber hinaus wird für den OSCI-Client-Enabler ein Prüftl zur Verfügung gestellt (EVG-Umfang), um die Integrität zu gewährleisten. 25 Attributzertifikate werden vm EVG nicht unterstützt. bremen nline services GmbH & C. KG datenschutz nrd GmbH 24/99

25 Virtuelle Pststelle des Bundes, Versin 2.2.x.x (OSCI), Sicherheitsvrgaben (ST) Tabelle 1: Umsetzung der SigG/SigV-Anfrderungen Sicherheitsanfrderungen an Signaturanwendungskmpnenten [BNetzA2005] Umsetzung der Anfrderungen aus SigG und SigV in EVG in der IT-Umgebung Erzeugung vn Signaturen: Die Signaturanwendungskmpnente muss beim Erzeugen einer Signatur gewährleisten, dass zum Erzeugen wendet der OSCI-Client-Enabler auf die zu signierenden Daten eine Hashfunktin gemäß OSCI- Transprt an und führt den erzeugten Hashwert der angeschlssenen sicheren Signaturerstellungseinheit zu; eine erzeugte Signatur wird anschließend verifiziert qualifizierte elektrnische Signatur wird durch sichere Signaturerstellungseinheit erstellt das Erzeugen einer Signatur vrher eindeutig angezeigt wird, 26 der OSCI-Client-Enabler unterstützt den Benutzer durch entsprechende Anzeigen - erkennbar ist, auf welche Daten sich die Signatur bezieht, 27 wird im OSCI-Client-Enabler angezeigt - bei Bedarf der Inhalt der zu signierenden Daten hinreichend zu erkennen ist, 28 kann im OSCI-Client-Enabler angezeigt werden - eine Signatur nur durch die berechtigt signierende Persn erflgt, 29 - wird durch sichere Signaturerstellungseinheit gewährleistet 26 vgl. Für die Darstellung zu signierender Daten sind Signaturanwendungskmpnenten erfrderlich, die die Erzeugung einer qualifizierten elektrnischen Signatur vrher eindeutlich anzeigen lassen [...] [ 17 Abs. 2 SigG] swie Signaturanwendungskmpnenten nach 17 Abs. 2 des Signaturgesetzes müssen gewährleisten, dass [...] bei der Erzeugung einer qualifizierten elektrnischen Signatur [...]die Erzeugung einer Signatur vrher eindeutig angezeigt wird [...]. [ 15 Abs. 2 Nr. 1c SigV] 27 vgl. Für die Darstellung zu signierender Daten sind Signaturanwendungskmpnenten erfrderlich, die die Erzeugung einer qualifizierten elektrnischen Signatur [...] feststellen lassen, auf welche Daten sich die Signatur bezieht. [ 17 Abs. 2 SigG] 28 vgl. Signaturanwendungskmpnenten müssen nach Bedarf auch den Inhalt der zu signierenden [...] Daten hinreichend erkennen lassen. [ 17 Abs. 2 SigG] 29 vgl. Signaturanwendungskmpnenten nach 17 Abs. 2 des Signaturgesetzes müssen gewährleisten, dass [...] bei der Erzeugung einer qualifizierten elektrnischen Signatur [...] eine Signatur nur durch die berechtigt signierende Persn erflgt [...]. [ 15 Abs. 2 Nr. 1b SigV] bremen nline services GmbH & C. KG datenschutz nrd GmbH 25/99