Weltweite PKI-Aktivitäten. Bernhard Esslinger

Transkript

1 Weltweite PKI-Aktivitäten Bernhard Esslinger

2 Überblick: Weltweit produktive PKI-Aktivitäten 1. ebusiness: Marktsituation und Hindernisse 2. Lessions learned bei der Deutschen Bank beim Aufbau einer PKI (Public-Key Infrastruktur) 3. Real existierende Kunden-Lösungen - Hardware-basierte Zertifikate: Identrus (verschiedene Anwendungen) - Software-basierte Zertifikate: db-order, Secure für EIB und Mitarbeiter 4. Einbindung in globale Infrastrukturen: ja // Signaturgesetzkonformität? - Identrus - Bridge-CA (Initiative von Deutscher Telekom / Deutscher Bank / BSI ) 5. Sensibilisierung, Awareness (weiche Faktoren) sind mindestens so wichtig zur Erreichung von IT-Sicherheit wie Technik FZI-Workshop Die Bank von morgen, Heidelberg, Seite 2

3 The New Yorker Collection 1993 Peter Steiner from cartoonlink.com. All rights reserved. FZI-Workshop Die Bank von morgen, Heidelberg, Seite 3

4 Mangel an akzeptierten Identity-Trust -Systemen Hindernisse für Einführung von Electronic Commerce (survey of corporate treasury professionals, no consumer focus) Lack of Security/Trust Privacy Availability of Content Lack of Standards/ Infrastructure Social Acceptance Don t Understand Potential Organizational Barriers Reg. Constraints e.g. Digital Sign 27% 20% 12% 11% 7% 6% 6% 6% Source: Giga Information Group/ AD Little FZI-Workshop Die Bank von morgen, Heidelberg, Seite 4

5 Grundlegende Sicherheitsanforderungen (nicht nur für das ecommerce!) Authentifizierung Partner können sich gegenseitig eindeutig identifizieren Verschlüsselung Die Informationen und Daten bleiben vor dem Zugriff Dritter verschlossen Integrität Datenmanipulation während und nach der Transaktion sind ausgeschlossen bzw. werden transparent Unabstreitbarkeit Interoperabilität Einzelne signierte Transaktion sind unabstreitbar und somit rechtlich bindend Weltweit einheitliche Systeme, Schnittstellen, Regeln, Prozesse und Verträge FZI-Workshop Die Bank von morgen, Heidelberg, Seite 5

6 Komponenten einer Public Key-Infrastruktur (PKI) Billing Smart Card Handling PIN-letter Handling Hotline Certificate Issuance Monitoring Registration Directory Service Firewall Time-Stamping Certification Authority Registration (customer-side) Signature- and certificate verification FZI-Workshop Die Bank von morgen, Heidelberg, Seite 6

7 PKI als ein integrativer Ansatz Der Geschäftsnutzen von PKI Nachweis der Identität einer Person oder Instanz gegenüber einer anderen Person oder Instanz (deutlich sicherer als U und Passwort) Anerkennung von elektronischen Nachrichten (können nicht geleugnet werden) Bindende Digitale Signaturen Garantie, dass Nachrichten nicht verändert wurden Wo ist der Business Case, der die umfangreichen Investitionen in die Infrastruktur rechtfertigt? Schnellere und glattere Prozesse für alle Teilnehmer Zusätzliche Dienstleistungen, für die der Kunde bereit ist zu zahlen Konzentration auf den B2B- (A2B)-Bereich Gleiche Prozesse für intern und Kunden FZI-Workshop Die Bank von morgen, Heidelberg, Seite 7

8 Der Nutzen einer PKI Durchdringen des Wertschöpfungsprozesses Einkaufsprozeß Anbieter suchen Auswahl Anbieter Konditionen aushandeln Kredit beantragen Bestellung versenden Rechnung/ Güter erhalten Zahlung veranlassen Rechnungswesen Verkäufer Verkäufer Verkäufer Verkäufer Verkäufer Verkäufer Verkäufer Bank Käufer Käufer Käufer Käufer Käufer Käufer Bank Käufer Kunden suchen Angebot erstellen Konditionen aushandeln Kredit bewerten Bestellung empfangen Rechnung/ Güter versenden Zahlung empfangen Rechnungswesen Verkaufsprozeß FZI-Workshop Die Bank von morgen, Heidelberg, Seite 8

9 Lessons learned beim Aufbau einer PKI Vorgehen der Deutschen Bank Gestartet mit einer internen CA für Mitarbeiter Umfangreiche Erfahrungen gewonnen Durchdenken/Definieren der gesamten Prozesse Architektur Anwendungsintegration -> Software- UND Hardware-Zertifkate anbieten!!! Gelernt: das ganze muß vom Business getrieben sein ( Best-of-bread-Komponenten: stay at your core business! ) die Unternehmensbereiche bestimmen, wofür sie PKI brauchen, und sind damit zur Finanzierung bereit -> KISS -Anwendungen zuerst! die CAs für die Mitarbeiter, Partner und Kunden werden von TC Trustcenter ( betrieben ( gehostet ) einheitliche Kryptographie-Schicht in allen Anwendungen durch SECUDE ( inklusive der Zugriffe auf Directories (LDAP) als auch inklusive der Zugriffe auf Smartcards (PKCS#11). Die Registrierung ist entscheidend: Integration in die Prozesse (Billing) m.h des emagine Registration Servers. FZI-Workshop Die Bank von morgen, Heidelberg, Seite 9

10 Erfolgreiche Beispiel-Anwendung Aufträge verschlüsseln (auch mit SW-Zertifikaten) 1 Die Müller KG schreibt einen Garantie-Auftrag mit Ihrem Textverarbeitungsprogramm 2 db-order ist über das Menü Datei zu erreichen; mit einem Mausklick kann der Auftrag verschlüsselt und digitalisiert werden Für beliebig viele Dateien und mit Workflow für die Signierung (Gegenzeichnen, Vieraugenprinzip, Prüfung). 3 Diese verschlüsselte und signierte Datei wird an ein ganz normales gehängt und an die Bank gesandt 4 Dort kann das Attachment mit db-order zunächst auf die Echtheit hin überprüft und dann wieder entschlüsselt werden FZI-Workshop Die Bank von morgen, Heidelberg, Seite 10

11 Erfolgreiche Beispiel-Anwendung Signatur verifizieren Kunde unterzeichnet den Auftrag mit seiner digitalen Signatur (privater Schlüssel) Das Zertifikat garantiert, dass es sich tatsächlich um den öffentlichen Schlüssel der Müller KG handelt Sachbearbeiter prüft die digitale Signatur des Kunden mit dem öffentlichen Schlüssel der Müller KG FZI-Workshop Die Bank von morgen, Heidelberg, Seite 11

12 Globale Infrastrukturen: Identrus Zielsetzung Internationale Infrastruktur und globales Bezugssystem für vertrauenswürdiges B2B ecommerce Bereitstellung der Identität involvierter Parteien Sicherstellung der Integrität und Unleugbarkeit von Nachrichten Genehmigung durch US FED Board Unterstützt und ermöglicht neue Geschäftsmöglichkeiten Nutzt Standards des Internet und ist damit unabhängig von einzelnen Anbietern Vereinfacht Sicherheits- und Vertrauensparameter für ecommerce, z.b. Einkauf, Finanzhandel,... FZI-Workshop Die Bank von morgen, Heidelberg, Seite 12

13 Globale Infrastrukturen: Identrus Organisationsstruktur Identrus stellt ein root certificate zur Verfügung, und verifiziert damit als oberste Zertifizierungsinstanz die Identität einer Bank Identrus root- Zertifizierungsstelle Kreditinstitute stellen Ihren Kunden Zertifikate aus und verifizieren diese gegenseitig über ihre Verzeichnisse Banken Die Unternehmen lassen für Mitarbeiter, die Geschäft über das Internet abwickeln sollen, Zertifikate ausstellen Unternehmen Mitarbeiter benutzen die auf Chipkarten gespeicherten Zertifikate für ihre Internet- Transaktionen Sendet Datei m.h. des Client- Toolkits über das Internet (die Datei ist mit Identrus-Zertifikat signiert) FZI-Workshop Die Bank von morgen, Heidelberg, Seite 13 Berechtigte Mitarbeiter Geschäftstransaktionen Empfängt die Datei m.h. des Server- Toolkits über das Internet, und prüft die digitale Signatur der Transaktion

14 Globale Infrastrukturen: Corporate Bridge-CA Deutsche Telekom / Deutsche Bank / Secure Die Deutsche Telekom und die Deutsche Bank haben eine Initiative zur Informationssicherheit für die elektronische Kommunikation in und zwischen Unternehmen gegründet. Seit Mitte Januar 2001 läuft bei der Telesec die Bridge-CA, die als Dach für vorhandene Firmen-PKIs genutzt werden kann und die so die Einschränkungen der PKI-Inseln auflöst. Schon jetzt können Mitarbeiter der Deutschen Bank und der Telekom sichere s auf Basis des S/MIME bzw. des MailTrusT v2-standards austauschen. Anwender-getrieben, Standard-orientiert, neutral, Branchen-übergreifend! FZI-Workshop Die Bank von morgen, Heidelberg, Seite 14

15 Corporate Bridge-CA - Vernetzung vorhandener Corporate PKIs / Investitionsschutz Diese Verbindung der vorhandenen Firmen-CAs ist unkompliziert, pragmatisch und ökonomisch akzeptabel. Firmen-CA beinhaltet sowohl von den Firmen selbstbetriebene CAs als auch gekaufte Zertifikate. Sie steht allen Firmen offen und ist nicht auf Deutschland beschränkt. Firmen, die schon eine PKI und ein S/MIME-fähiges Mailingsystem haben, können ohne Zusatzkosten sicher auch nach außen kommunizieren. Die technischen Komponenten profitierten vom Sphinx-Projekt des Bundesamtes für Sicherheit in der Informationstechnik (BSI, Die Deutsche Bank und die Deutschen Telekom nutzen als Mail-Systeme Lotus Notes und Microsoft Outlook -- jeweils ergänzt um ein Plugin (MailProtect von Lotus und Authent von SECUDE bestanden sehr erfolgreich auch den Sphinx-Interoperabilitätstest). Auf Seiten der Telekom nutzt jeder MA die Telesec-Smartcard; bei der Deutschen Bank werden SW-Zertifikate und die Telesec-SC eingesetzt. FZI-Workshop Die Bank von morgen, Heidelberg, Seite 15

16 Bridge-CA - das Missing Link - offen für weitere Firmen / Organisationen Die Bridge-CA wird von einem neutralen Board geleitet. Eine Ausdehnung dieser offenen Infrastruktur auf weitere Unternehmen steht kurz bevor. Interoperabilitätstests laufen z.b. mit Siemens, BMW, G&D etc. Interesse bekundeten bisher 20 weitere Großorganisationen. Die Bundes-PCA (Sphinx-PKI) hängt sich in die Bridge-CA ein. Das BSI und die Industrieverbände TeleTrusT ( und BITCOM ( unterstützen diese Initiative. Ansprechpartner: bernhard.esslinger@db.com bernd.kowalski@telekom.de FZI-Workshop Die Bank von morgen, Heidelberg, Seite 16

17 Zertifikate nach (deutschem/eu-)signaturgesetz Deutsches SigG und SigV, Formvorschriften: Regelung dafür, dass die entsprechende elektronische Signatur in ihrer Wirkung der klassischen Schriftform gleichgestellt ist geringere Flexibilität SigG-konformer PKIs keine Cross-Zertifizierung möglich, Einschränkungen im Naming Keine eigene PKI-Hierarchie konstruierbar sehr hohe Kosten für die Realisierung Rechtslage allerdings noch nicht gefestigt 1999 EU-Richtlinie macht Änderungen nötig: Haftung statt Zertifizierung Novellierung SigG/SigV bis spätestens August 2001 Reaktion der Zertifikate-Anbieter ist abzuwarten Haftungsregeln neu Haftungsbeschränkungen Auch die Verwaltung diskutiert, ob nicht Stufe 2 ausreicht!!! Stufe 3 ist eigentlich ein Systembruch FZI-Workshop Die Bank von morgen, Heidelberg, Seite 17

18 Nicht-SigG-konforme Zertifikate Bereits verfügbar Einsatz und Haftung individuell vereinbar insbesondere zwischen Unternehmen Pragmatische Orientierung an Sicherheitsbedarf vorhandener Software Budget technischer Umgebung Nutzerkreis Fazit: für fast alle realen Anwendungen ist derzeit das SigG irrelevant! (vgl. alle bisherigen Prozesse in den Unternehmen) diese Einsicht zieht sich quer durch alle Branchen FZI-Workshop Die Bank von morgen, Heidelberg, Seite 18

19 Summary: Digitale Signaturen und PKIs IT-Sicherheit und ebusiness brauchen integrative Lösungen. PKI ist die beste Basis für diese integrative Lösung: hoch-innovative Produkte (auch aus Deutschland) sind am Markt als stabile Produkte verfügbar und werden in produktiven Bank- und ERP- Anwendungen eingesetzt. Die meisten Anwendungen brauchen z.zt. keine SigG-Konformität. Die ursprünglichen PKI-Ansätze waren zu teuer! Firmen-übergreifende Ansätze wie - Identrus (global gleicher Framework; Smartcard ist Muß) und - Bridge-CA (offen; hochflexible Einbindung von Verwaltung und Wirtschaft; Software- und Hardware-Zertifikate) machen aus den PKI-Inseln vernetzte Lösungen. Für Vertrauen und Sicherheit sind Sensibilisierung, Offenheit und Aufklärung mindestens so wichtig wie Technik. FZI-Workshop Die Bank von morgen, Heidelberg, Seite 19

20 Zusammenarbeit mit der FZI Beratung im Bereich Netzwerksicherheit Wissenschaftliche Betreuung des IT-Security-Awareness-Tools CrypTool ( FZI-Workshop Die Bank von morgen, Heidelberg, Seite 20