Die Strategie des Landes Niedersachsen zur elektronischen Signatur

Transkript

1

2 Die Strategie des Landes Niedersachsen zur elektronischen Signatur Holger Meyer Leiter Kompetenzzentrum IT-Sicherheit () Informatikzentrum Niedersachsen (izn) 7. Kommunales IuK-Forum Niedersachsen Soltau, den 20. September 2007

3 Informatikzentrum Niedersachsen (izn) Rechtsform: Landesbetrieb nach 26 LHO Gründungsdatum: 1. Mai 1997 Aufgaben: Pflichtaufgaben: Unterstützung der Landesverwaltung bei der Aufgabenwahrnehmung durch die Bereitstellung von IuK-Technik Hochsicherheits-Rechenzentrum, Betreiber des Landesdatennetzes 4 Geschäftsstellen: H - BS - OL - LG Personalbestand: ca. 420 Mitarbeiter Umsatz: ca. 90 Mio. EURO (2004) 3

4 Kompetenzzentrum IT-Sicherheit () Bereitstellung und Weiterentwicklung von IT-Sicherheitskomponenten (z.b. SignaturCard Niedersachsen, Chipkartenlesegeräte, Virenscanner, Sichere , Sicherer PDA, Sicherer VPN-Zugang) SignaturCard Service und Landesregistrierungsstelle (SCS) Betrieb der Niedersachsen-CA (TESTA-CA / Niedersachsen) Betrieb von Sicherheitsgateways (Application Security Gateway [ASG]) Betrieb der Virtuellen Poststelle (VPS) Beratung und Unterstützung zum Thema IT- Sicherheitsmanagement außerhalb des izn (z.b. IT-Sicherheitskonzepte, IT-Audits, Schutzbedarfsfeststellungen, Basissicherheitschecks) Beratung und Unterstützung der Fachverwaltungen bei der IT- Sicherheitsimplementierung (z.b. Kommunikations- und Transaktionssicherheit in Applikationen und Netzen, Authentisierung, Sichere ) 4

5 Vier Säulen S für f r sicheres egovernment V e r t r a u l i c h k e i t V e r t r a u l i c h k e i t A u t h e n t i z i t ä t A u t h e n t i z i t ä t I n t e g r i t ä t I n t e g r i t ä t V e r b i n d l i c h k e i t V e r b i n d l i c h k e i t Sicherheits - Infrastruktur Sicherheits - Infrastruktur Security Policy Security Policy 5

6 Die SignaturCard Niedersachsen 6

7 SignaturCard Niedersachsen (PKS) qualifiziertes Zertifikat Akkreditiertes Trustcenter Zertifikat Name des Trust Centers Name des Benutzers Öffentlicher Schlüssel Algorithmus Zertifikatsnummer Gültigkeitszeitraum 7

8 Sicherheitsinfrastruktur PKI-Komponenten Komponenten PKS-Card 2.0 / 3.0 BS: TCOS Schlüsselpaare 2 Zertifikate 3-jährige Gültigkeit Null-PIN Fehlbedienungszähler Chipkartenlesegeräte PC/SC, B1 Sicherheitssoftware SW zur Erstellung der Signatur SW zur Verifikation der Signatur SW zur Erneuerung der Signatur SW zum Verschlüsseln SW zum Entschlüsseln 8

9 Wo wurde die SignaturCard eingesetzt? Sichere Fachapplikationen Haushaltswirtschaftssystem Beihilfebearbeitungssystem Gerichtliches Mahnverfahren Sichere Kommunikation VPN-Zugang in das Landesnetz -Kommunikation Dateiablage SignaturCard Nds. Kommunaler Bereich (SiNiKom) 9

10 Welche Features der SignaturCard wurden genutzt? Elektronische Signatur Verschlüsselung Dokumentverschlüsselung Kommunikationsverschlüsselung Transportverschlüsselung Sichere Authentifikation an Fachapplikationen in Remoteumgebungen 10

11 Die SignaturCard Niedersachsen 11

12 Warum eine Migration? Anforderungen SigG - Erweiterung der Schlüssell ssellängen Sicherheitseignung der Kryptoalgorithmen Veröffentlichung der BNetzA im Bundesanzeiger Sicherheitseignung für 1024 Bit läuft aus zum PKS Card ist auf Schlüssellänge 2048 Bit nicht erweiterbar! Kein interoperabler Standard mehr (ISIS-MTT) HWS benötigt neue Karten! Neue SignaturCard mit 2048 Bit 12

13 Übersicht - Signaturqualitäten ten ZDA- Betrieb Algorithmen Sicherheitsnachweis für technische Komponenten Dauerhafte Überprüfbarkeit Gemeinsames Wurzelzertifikat Vergabe eines Gütesiegels Sichere Signaturerstellungs -einheit Qualifiziertes Zertifikat Akkreditierte esignaturen 30 Jahre Qualifizierte esignaturen Anzeige Herst.Erkl. 5 Jahre - - Fortgeschrittene esignaturen Fortgeschrittene esignaturen VPKI NDS-CA Policy der Root (BSI) Policy der Root (BSI) Freiwillig Freiwillig LHOkonform VPKI-Wurzelzertifikat (BSI) Policy der Root (BSI) Freiwillig Zertifikat 13

14 VPKI TESTA NDS-CA PCA-Verwaltung Root-CA IVBB D-Trust TESTA-CA CA Thüringen Niedersachsen MASTER- Domänen TIM NDS-Justiz NDS-LV NDS-Kommunen SUB- Domänen 14

15 VPKI - Vorteile für f r Niedersachsen Interoperabilität mit anderen Verwaltungen Gemeinsamer Verzeichnisdienst der Verwaltungen (EB-CA) Sicherheitsniveau VPKI liegt auch im SigBü zugrunde Sicherheitsniveau ist durch Policy des BSI vorgegeben Synergieeffekte mit anderen Projekten Keine geprüften und bestätigten Komponenten erforderlich Kostengünstiger für das Land! 15

16 VPKI - Vorteile für f r DST / Admin / User Leichte Zuordnung zur Person (mehr Zertifikatsinhalte - o, ou) Differenzierte Gruppen/Rollen per ou 3 -Eintrag Schnelle Auslieferung durch RA-Mitarbeiter (webunterstützt) Einfache Identifizierung ( Siegel führende Stellen ) Leichtes Kartenhandling durch PUK Eintrag ins verwaltungsinterne VDV (TESTA-Verzeichnis) 16

17 Signaturschlüssel PKS-Signaturzertifikat* SignaturCard NetKey 3.0 PKS-Zertifikate NDS-CA-Zertifikate Qualifizierte Signatur Fortgeschrittene Signatur 1 Root 1: BNA (ehem. RegTP) 2 Root 2: PCA-1-Verw. (VPKI) Signaturschlüssel Verschlüsselungsschlüssel Authentifizierungsschlüssel 3 External Key-Application Allgem. PKI-Anwendungen Root 3: beliebig extern generierte Schlüssel* Stand Fortgeschr. Qualifiziert 2 NDS-CA-Zertifikate (1 Sig und 1 Auth/Enc)* 1 weiteres Zertifikat optional extern generierte Zertifikate* Fortgeschr. * optional nach Kundenanforderung * im Auslieferungszustand NDS-CA * optional nach Kundenanforderung SigG-Konformität ISIS-MTT-Konformität BSI-/VPKI-Konformität ISIS-MTT-Konformität für sonstige Anwendungen 1 lokale PIN für f Sig-Schl Schlüssel 1 globale PIN für f r alle Schlüssel 1 lokale PIN pro Anwendung Fehlbedienungszähler PUK ( Master-PIN ) Produktion: vorauss Fehlbedienungszähler (optional)

18 Sicherheitsinfrastruktur PKI-Komponenten Komponenten NetKey 3.0-Karte Dual-Chip BS: TCOS 3.0 mind. 3 Schlüsselpaare mind. 3 Zertifikate 3-jährige Gültigkeit PIN / PUK variabl. Fehlbedienungszähler Chipkartenlesegeräte PC/SC (USB, PCMCIA, PC-Card, seriell) Sicherheitssoftware SW zur Erstellung der Signatur SW zur Verifikation der Signatur SW zur Erneuerung der Signatur SW zum Verschlüsseln SW zum Entschlüsseln 19

19 SignaturCard Niedersachsen (NetKey 3.0) Zertifikat Name des Trust Centers Name des Benutzers Öffentlicher Schlüssel Algorithmus Zertifikatsnummer Gültigkeitszeitraum Signaturzertifikat Verschlüsselungszertifikat Authentisierungszertifikat qualifizierte Signatur fortgeschrittene Signatur Akkreditiertes Trustcenter Eigene CA (NDS-CA) 20

20 Wo wird die SignaturCard heute eingesetzt? Sichere Fachapplikationen Haushaltswirtschaftssystem (HWS) Beihilfebearbeitungssystem (Samba) Gerichtliches Mahnverfahren (AGMV) Elektronisches Insolvenzverfahren (WinSolvenz) > SW Sichere Kommunikation Sicherer VPN-Zugang in das Landesnetz Sichere Elektronischer Rechtsverkehr in der Fachgerichtsbarkeit (elba.nds) Sichere Kommunikation mit Registergerichten (SLIM IV) Elektronisches Meldewesen (Architektur DVDV) > SW Virtuelle Poststelle (VPS) Mobile Festplattenverschlüsselung Sicherer PDA 21

21 Welche Verbreitung hat die SignaturCard heute? Dienststellen 750 Sichere Fachapplikationen Haushaltsvollzugssystem TN Beihilfebearbeitungssystem 250 TN Gerichtliches Mahnverfahren u.a. 250 TN Sichere Kommunikation Sicherer VPN-Zugang TN Sichere u.a. 250 TN Softwarezertifikate 250 TN ca TN 22

22 Welche Features der SignaturCard können heute genutzt werden? Zugangssicherung zu Rechnersystemen Single-Sign-On Dienstausweis Zutrittssicherung zu Gebäuden Arbeitszeiterfassung Kantinen- und Kioskfunktion One-Time-Password (OTP) Watermark Fachapplikationen / egovernment-anwendungen Ticketing (ÖPNV-Fahrgeldmanagement, Eventmanagement) Diebstahlschutz (Mobilitätssperre z.b. bei Kfz, Hardware) 23

23 Single Sign On und WinLogon Chipkarte ersetzt Login über Benutzername und Passwort Passwortqualität steigt (Länge und Zeichensatz) Hohe Passwortsicherheit Schutz vor Manipulation Authentisierung erfolgt nur einmal gegenüber dem System Beim Zugriff auf eine bestimmte Ressource erfolgt die Überprüfung der Zugriffsrechte an einem zentralen Server Der Nutzer erhält dann die ihm zustehenden Berechtigungen, Anwendungsprogramme und Ressourcen, ohne dass er beim Aufruf der Programme erneut ein Passwort angeben muss Hohe Benutzfreundlichkeit 24

24 Dienstausweis Beantragung und Ausgabe von digitalen Dienstausweisen werden von bereits vorhandenen Dienstausweisstellen übernommen - hier erfolgen Aufnahme von Antragsdaten, Personenbild und Unterschrift Lässt sich mit Zeiterfassungs- und Zutrittskontrollsystemen kombinieren Die Personaldaten werden in einer gesicherten lokalen Datenbank gespeichert Der Kartenkörper sollte vorher definierte Sicherheitsmerkmale enthalten, um die Fälschungssicherheit zu gewährleisten 25

25 Zutrittssicherung zu Gebäuden Regelung des Zutritts zu einem Gelände oder zu einem Gebäude bzw. innerhalb des Gebäudes zu Diensträumen Definition von Sicherheitszonen mit unterschiedlichem Schutzbedarf Verwaltung der Zutrittsberechtigungen erfolgt mit spezieller Software zentral auf einem Rechner Für jede berechtigte Person kann eine räumliche und zeitlich eingeschränkte Zutrittsberechtigung je Sicherheitszone festgelegt werden Die Identifikation und der Zutritt zu den jeweiligen Sicherheitszonen wird über Chipkarte und Kartenleser/ Terminal ermöglicht 26

26 Arbeitszeiterfassung Ermittlung der Arbeitszeit der Mitarbeiter Lässt sich mit Zutrittskontrollsystemen kombinieren Zusätzlich zur Prüfung der entsprechenden Zutrittsberechtigung wird eine Speicherung der Kommtbzw. Geht-Zeit des Mitarbeiters durchgeführt Effektive Verwaltung und Abrechnung von Arbeitszeit, Dienstreisen, Urlaub etc. Transparente Zeitkorrekturen können von den Mitarbeitern selbst vorgenommen werden 27

27 Kantinen- und Kioskfunktionen Elektronische Geldbörse im Pay-Before-Verfahren für Mittagessen, Getränke, Süßwaren etc. Einfaches münzloses Handling für die Mitarbeiter Effektiv, ressourcenfreundlich, bedienerfreundlich Erweiterbar um viele Funktionen in der Beziehung Innerer Dienst >>> Mitarbeiter, z.b. Abrechnung privater Fotokopien, Abrechnung privater Telefongespräche Mit Electronic Cash erweiterbar für den Erwerb von Fahrkarten im ÖPNV oder andere Ticketing-Funktionen 28

28 Watermark Digitales Wasserzeichen Schutz digitaler Dokumente Abruf von Daten durch Passwort schützbar Einbettung von Copyright-Informationen in ein Dokument Gestaltung kann sichtbar oder unsichtbar erfolgen 29

29 Wo wird die SignaturCard in Zukunft eingesetzt? Multifunktionskarte (MFK) inkl. Single-Sign-On Elektronischer Dienstausweis Sichere Bereitstellung von Zentralabiturklausuren Fachapplikation Schwarzarbeitsbekämpfung Zertifikatsbasierte Kommunikationssicherung von zentralen Hardwarekomponenten (Router, Switches, Server etc.) > SW Personalmanagementverfahren (PMV) Dokumentenmanagementsystem (DMS) Elektronisches Kabinettsinformationssystem (ekis) Elektronische Aktenführung (eakte Land) Elektr. Immissionsschutzrechtl. Genehmigung (egenv) Elektronisches Beschaffungsmanagement (Comparo Plus) 30

30 Projekte mit landesstrategischer Bedeutung Sichere E Sicherer VPN-Zugang in das Landesnetz Festplattenverschlüsselung sselung Sicherer PDA European Bridge CA (EB-CA) 31

31 Sichere E - Produktziele Vertraulichkeit durch Verschlüsselung mit bewährten und sicheren Kryptoalgorithmen Manipulationsschutz durch elektronische Signatur (Integritätsprüfung) Interoperabilität durch die Verwendung des Standards S/MIME oder ISIS-MTT Identität durch unabstreitbare und eindeutige Identifizierbarkeit des Absenders Benutzerakzeptanz durch 2 Buttons zum Signieren und / oder Verschlüsseln Intuitive Plug-In-Integration in MS Outlook oder besser MS Native- Lösung Kosteneinsparungen und Umsatzsteigerung durch Verschlankung von Geschäftsprozessen Behördenumspannender Zugriff auf sichere Risikominderung und stärkere Konformität mit gesetzlichen Datenschutzvorschriften (BDSG, LDSG, Schutzstufen) 32

32 Sichere E - Clientausstattung Sichere -PlugIn oder MS Native Chipkartenlesegerät Chipkarte (SignaturCard Niedersachsen) 33

33 Sicherer VPN-Zugang in das Landesnetz Unmittelbare Dienststellen der Landesverwaltung und Kommunen - Applikationen der Dienststellen iznnet 2000 Zugriff remoteap auf Landesnetz über VPN - IPSec Dritte / Externe IuK-Administrator Internet Fernwartung Mobile Arbeitsplätze Telearbeiter PDA/Smartphone 34

34 Sicherer VPN-Zugang - Produktziele Sicherer, zuverlässiger und kostengünstiger Zugang in das Landesnetz Unabhängigkeit vom stationären Arbeitsplatz Starke Authentisierung Verschlüsselte Datenübertragung 35

35 Sicherer VPN-Zugang - Clientausstattung SecureVPN Client Chipkartenlesegerät Chipkarte (SignaturCard Niedersachsen) 36

36 Festplattenverschlüsselung sselung - Produktziele Vorhandensein eines Pre-Boot-Verfahrens Nutzung der SignaturCard Niedersachsen zur Benutzer-Authentisierung Einfache transparente Usability Zentrale Möglichkeit zur Administration aller im Land Niedersachsen eingesetzten Clients (Managementkonsole) Vollständige Verschlüsselung Missbrauchschutz bei Diebstahl 37

37 Festplattenverschlüsselung sselung - Clientausstattung Verschlüsselungs-Software mit Boot-Schutz Chipkartenlesegerät Chipkarte (SignaturCard Niedersachsen) 38

38 Sicherer PDA - Produktziele Ausgangssituation Steigende Nachfrage mobiler Pocket-Geräten (z.b. Smartphone, PDA): Empfangen und Versenden von s Zugriff und Synchronisation von Outlook-PIM (Kalender, Kontakte, Aufgaben) Produktziel Zugriff mit einem handlichen Pocket-Gerät - mobil und sicher Fernzugriff über das Internet auf Daten oder s im Landesnetz Keine unbefugte Nutzung des Geräts nach Verlust 39

39 Sicherer PDA - Ausgewählte Sicherheitsmodule Karten- und zertifikatsbasierte Authentisierung Sicherer VPN-Zugang (Internet und Intranet) Festplattenverschlüsselung Integrierter Virenschutz Sicherer Zugriff auf persönliches Exchange Postfach im Landesnetz s, Besprechungsanfragen u.a. können, wie am Arbeitsplatz, mit MS Outlook Mobil empfangen, versendet und bestätigt werden Sicherer Zugriff auf MS Outlook-Kalender-Funktionen und Kontaktdaten Automatische oder manuelle Synchronisation aller Exchange- Daten bei bestehender VPN-Verbindung Sicherer Zugriff auf MS Office-Dokumente im Landesnetz 40

40 Sicherer PDA - Clientausstattung Sicherer VPN-Zugang Festplattenverschlüsselung AVIR-Software mit Patch-Automatik SmartCard mit integriertem Flashspeicher im microsd- Format (SignaturCard Niedersachsen) 41

41 European Bridge-CA - Ziele Verifikation von Zertifikaten ist unbedingt notwendig für die elektronische Kommunikation Vertrauliche und personengebundene elektronische Kommunikation ist durch Verifikation erst möglich Ein ständiger und einfacher Zugriff ist für die Verifikation unbedingt notwendig EB-CA ist Single Point of Contact bei der Verifikation von Zertifikaten für Signatur, Authentifikation und Verschlüsselung Voraussetzungen: Aussteller von Zertifikaten oder CA schließen einen Vertrag mit der EB-CA Die Vertragsbindung gewährleistet eine einheitliche Schnittstelle (Interoperabilität) 43

42 Ausgangssituation Quelle: TeleTrust 44

43 Lösung: EB-CA Quelle: TeleTrust 45

44 Signaturbündnis ndnis Niedersachsen Handlungsschwerpunkte Sicherheit und Interoperabilität Anwendungen und Prozesse an der Schnittstelle Wirtschaft und Verwaltung Strategische Einzelmaßnahmen und Projekte Maßnahmen zur Akzeptanzverbesserung Kooperationen mit anderen Initiativen des Landes Kooperationen Interkommunale Zusammenarbeit Zusammenarbeit mit dem Anwenderforum Elektronische Signatur des Bundes (Nachfolger Signaturbündnis Bund) 48

45 egovernment Authentizität Niedersachsen-CA Verschlüsselung Signatur Infrastruktur Vertraulichkeit Verbindlichkeit Integrität SignaturCard Telefon: (05 11) Fax: (05 11) holger.meyer@izn.niedersachsen.de Internet: 49