Bestätigung für technische Komponenten gemäß 14 (4) Gesetz zur digitalen Signatur und 16 und 17 Signaturverordnung

Transkript

1 Bestätigung für technische Komponenten gemäß 14 (4) Gesetz zur digitalen Signatur und 16 und 17 Signaturverordnung TÜV Informationstechnik GmbH - ein Unternehmen der RWTÜV-Gruppe - Am Technologiepark Essen bestätigt hiermit gemäß 14 Abs. 4 Signaturgesetz 1 und 17 Abs. 3 Signaturverordnung 2, dass die Signtrust Anwenderkomponente etrust Mail für Microsoft Outlook Version 1.11 den nachstehend genannten Anforderungen des Signaturgesetzes bzw. der Signaturverordnung entspricht. Die Dokumentation zu dieser Bestätigung ist unter TUVIT TU registriert. Essen, gez. Dr. Gruschwitz TÜV Informationstechnik GmbH ist, gemäß der Veröffentlichung im Bundesanzeiger Nr. 52 vom 17. März 1999, Seite 4142, zur Erteilung von Bestätigungen für technische Komponenten gemäß 14 Abs. 4 SigG ermächtigt. 1 Gesetz zur digitalen Signatur (Signaturgesetz SigG) in der Fassung vom 28. Juli 1997 (BGBl. 1997, S. 1872) 2 Verordnung zur digitalen Signatur (Signaturverordnung SigV) in der Fassung vom 22. Oktober 1997 (BGBl. S. 2498) Die Bestätigung zur Registrierungsnummer TUVIT TU besteht aus 5 Seiten.

2 Seite 2 von 5 Seiten Beschreibung der technischen Komponente: 1 Handelsbezeichnung der technischen Komponente und Lieferumfang: Signtrust Anwenderkomponente etrust Mail für Microsoft Outlook Version Auslieferung: Als Produkt an Endanwender durch den Hersteller auf einer CD-ROM. Hersteller: Deutsche Post AG, Signtrust Robert-Schumann-Platz, Bonn 2 Funktionsbeschreibung Die Komponente etrust Mail Version 1.11 ist ein Plug-In für Microsoft Outlook, das auf der Funktionsbibliothek LigSigG Version beruht. etrust Mail kann zusammen mit der von der Signtrust herausgegebenen SEA-Card Version 1.0 Texte und beigefügte Dateien mit einer digitalen Signatur im Sinne des Signaturgesetzes versehen. Zusätzlich können mit etrust Mail erzeugte digitale Signaturen und Zertifikate auf ihre Gültigkeit hin überprüft werden. Als Überprüfungszeitpunkt wird stets das aktuelle Datum und die aktuelle Zeit angenommen. Je nach Wahl der Voreinstellungen erfolgt auch eine Anfrage beim Verzeichnisdienst von Signtrust, ob Zertifikate zum aktuellen Zeitpunkt vorhanden und nicht gesperrt sind. Andere Auskunftsformate (z. B. vom Verzeichnisdienst der RegTP) können von etrust Mail nicht ausgewertet werden, so dass die Gültigkeit der Signaturen und Zertifikate nicht vollständig überprüft werden kann. Für eine vollständige Prüfung muss die Gültigkeit der Zertifikate im Verzeichnisdienst der RegTP anderweitig überprüft werden. Bei der Zertifikatsprüfung wird als Prüfzeitpunkt stets die aktuelle Systemzeit verwandt. Zertifikatsprüfungen gegen Zeitpunkte in der Vergangenheit sind nicht möglich. Neben den oben beschriebenen Funktionen zum Signieren und zum Prüfen von Signaturen im Sinne des Signaturgesetzes bietet etrust Mail noch weitere Funktionen zum Ver- und Entschlüsseln. Diese zusätzliche Funktionalitäten sind nicht Gegenstand dieser Bestätigung. 3 Erfüllung der Anforderungen des Signaturgesetzes und der Signaturverordnung 3.1 Erfüllte Anforderungen Die Anwenderkomponente etrust Mail erfüllt die Anforderungen nach 16 Abs. 2 Satz 1 (Signatur nicht fälschbar), 4 (keine Preisgabe oder Speicherung von Identifikationsdaten) und 5 (Erkennbarkeit von sicherheitstechnischen Veränderungen) sowie Abs. 3 Satz 1 (eindeutige Bestimmbarkeit der Daten, Signatur nur auf Veranlassung, eindeutige Anzeige), 2 (eindeutige Feststellbarkeit der Daten und des Signaturschlüsselinhabers, Korrektheit der digitalen Signatur), 3 (Nachprüfen von Zertifikaten im Verzeichnisdienst) und 4 (Anzeige des Inhalts der Daten bei Bedarf) SigV. 3 Im folgenden kurz mit etrust Mail bezeichnet.

3 Seite 3 von 5 Seiten 3.2 Einsatzbedingungen Dies gilt unter der Voraussetzung, dass folgende Einsatzbedingungen gewährleistet sind: a) Technische Einsatzumgebung etrust Mail ist für die folgende technische Einsatzumgebung vorgesehen: IBM-kompatibler Personalcomputer mit mindestens 10 Megabyte freier Festplattenspeicher und mindestens 32 Megabyte Arbeitsspeicher, eine Graphikkarte mit mindestens 800x600 Bildpunkten und mindestens 256 Farben, ein CD-ROM-Laufwerk für die Installation, Betriebssystem WINDOWS 95, WINDOWS 98, WINDOWS NT4.0 SP 6 oder WINDOWS 2000, Microsoft Outlook 97 (nur in Kombination mit dem MS Exchange Server Version 5.5 SP3) Microsoft Outlook 98 oder Microsoft Outlook Darüber hinaus werden benötigt: Ein Chipkarten-Leser an der seriellen Schnittstelle, der den PC/SC-Dienst (Personal Computer/SmartCard-Service) unterstützt. Der Chipkarten-Leser (einschließlich installiertem PC/SC-Dienst) muss vor der Installation des Plug-In betriebsbereit sein. Eine Netzverbindung (z. B. mittels eines Modems, ISDN oder LAN-Anschluss). Auf den vom Verzeichnisdienst der Deutschen Post AG, Signtrust, angegebenen Port muss eine Verbindung möglich sein. Eine persönliche Signaturkarte SEA-Card in der Version 1.0 der signaturgesetzkonformen der Deutschen Post AG, Signtrust. Bei Nutzung eines Microsoft Exchange-Servers muss die Version 5.5 (ab Service Pack 3) installiert sein. Zur Nutzung von etrust Mail muss der Zeichensatz Courier New auf dem Rechner installiert sein. Dieser wird standardmäßig bei der Installation der oben genannten WINDOWS -Betriebssysteme auf dem Rechner abgelegt. Dies kann überprüft werden, indem im WINDOWS -Standardverzeichnis (z. B. C:\WINDOWS oder C:\WINNT) der Ordner \FONTS geöffnet wird. Alle auf dem Rechner von WINDOWS abgelegten Schriftartnamen sind hier aufgeführt. Mittels der Installations-CD von WINDOWS kann dieser Schriftsatz gegebenenfalls nachinstalliert werden. etrust Mail unterstützt folgende Sprachen, die durch die Ländereinstellungen des installierten Betriebssystems (Ländereinstellung - Gebietsschema) festgelegt werden können: Deutsch (Deutschland), Englisch (Großbritannien), Französisch (Frankreich), Italienisch (Italien), Flämisch (Niederlande) und Spanisch (moderne Sortierung). Eine Übertragung der Evaluationsergebnisse auf andere Plattformen ist nicht möglich, sondern erfordert ggf. eine Reevaluation. Die Anwenderkomponente etrust Mail darf deshalb ausschließlich in der oben beschriebenen Hard- und Softwareumgebung eingesetzt werden.

4 Seite 4 von 5 Seiten b) Auslieferung und Inbetriebnahme Die Signtrust Anwenderkomponente etrust Mail wird vom Hersteller als Produkt auf einer CD ausgeliefert und besteht aus den folgenden Komponenten: Bezeichnung Version / Datum Beschreibung ETrustMail.DLL / Plug-In für Outlook VerifyApplication.EXE / Programm zur Kontrolle der Integrität des Plug-In etrustmail.dll ArtCertManager.EXE / Zertifikatemanager Inst.REG / Registry-Einträge für die Installation des Plug-In LibSigGClient.DLL / LibSigG-DLL, Version CMS.DLL / DLL zur LibSigG, Version DPAG_DATA.DAT 1.0 / Informationen über Zertifikate der DPAG DPAG_INDEX.DAT 1.0 / Informationen über Zertifikate der DPAG IssuerNameHash.TXT 1.0 / Namensinformationen über Zertifikate der DPAG c) Nutzung der Anwenderkomponente etrust Mail Während des Betriebes sind die folgenden Bedingungen für den sachgemäßen Einsatz zu beachten: Für die Erstellung von s ist der Zeichensatz "Courier New" zu verwenden, da die Visualisierung in etrust Mail auf diesem Zeichensatz beruht. Die Prüfung ob ein Zertifikat im Verzeichnisdienst von Deutsche Post AG Signtrust vorhanden und nicht gesperrt ist, erfolgt nur bei Wahl der Option "Zertifikate im Trustcenter prüfen". Für eine vollständige Prüfung der Zertifikatskette muss zusätzlich auf anderem Wege überprüft werden, ob die verwendeten Zertifikate der Signtrust im Verzeichnisdienst der RegTP vorhanden und nicht gesperrt sind. Es wird eine vertrauenswürdige Eingabe der PIN vorausgesetzt. Der Benutzer hat dafür Sorge zu tragen, dass die Eingabe der PIN weder beobachtet wird noch dass die PIN anderen Personen bekannt gemacht wird. Der Benutzer muss ein fest definiertes Verzeichnis auf seinem Festspeicher anlegen, in welches Dateien ablegt werden, über die eine digitale Signatur gelegt werden soll (Benutzerdokumentation zur LibSigG). Dieses Verzeichnis darf nicht freigegeben werden für andere Personen. Das Verzeichnis wird erstellt im Zusammenhang mit der Installation von etrust Mail. Der Personalcomputer, auf dem etrust Mail verwendet wird, muss gegen eine unberechtigte Benutzung gesichert sein. Der Benutzer des Computers muss sich davon überzeugen, dass jede auf diesem Computer installiert Software weder böswillig manipuliert noch in irgendeiner anderen Form verändert wurde, um Daten auszuforschen, zu verändern oder die Funktion anderer Programme unzulässig zu verändern. Insbesondere ist sicherzustellen, dass auf der von etrust Mail verwendeten Hardwareplattform keine Viren oder Trojanischen Pferde eingespielt werden.

5 Seite 5 von 5 Seiten Der Benutzer muss sich ebenfalls davon überzeugen, dass sein verwendeter Chipkartenleser weder böswillig manipuliert noch in irgendeiner anderen Form verändert wurde, um Daten auszuforschen (IDM) oder zu verändern. Der Benutzer hat sich regelmäßig von der Korrektheit seines Systems zu überzeugen. Dazu gehören die Integritätsprüfung von etrust Mail (Programm auf CD VerifyApplication.exe), die Aktualitätsprüfung der Rechnerzeit und die Überprüfung des Zeichensatzes. Es ist zu beachten, dass die bekannten Schwachstellen in der Konstruktion und bei der operationellen Nutzung nicht durch die Veränderung der Einsatzumgebung ausnutzbar werden dürfen bzw. neue Schwachstellen entstehen. 3.3 Algorithmen und zugehörige Parameter Zur Erzeugung und Prüfung digitaler Signaturen wird von etrust Mail die Hashfunktion SHA-1 verwendet. Die gemäß 17 Abs. 2 SigV festgestellte Eignung reicht mindestens bis Ende des Jahres 2005 (s. BAnz. Nr. 230 v , Seite ). 3.4 Prüfstufe und Mechanismenstärke Die von der Anwenderkomponente etrust Mail benutzte Funktionsbibliothek LibSigG Version wurde erfolgreich nach der Prüfstufe E2 der ITSEC evaluiert. Die eingesetzten Sicherheitsmechanismen erreichen die Stärke hoch. Im Rahmen der Evaluation wurde die korrekte Einbindung der LibSigG in etrust Mail überprüft.

6 Bestätigung für technische Komponenten gemäß 14 (4) Gesetz zur digitalen Signatur und 16 und 17 Signaturverordnung Nachtrag zur Bestätigung TUVIT TU vom TÜV Informationstechnik GmbH - ein Unternehmen der RWTÜV-Gruppe - Am Technologiepark Essen bestätigt hiermit gemäß 14 Abs. 4 Signaturgesetz 1 und 17 Abs. 3 Signaturverordnung 2, dass für die Signtrust Anwenderkomponente etrust Mail für Microsoft Outlook Version 1.11 die o.g. Bestätigung auf die folgende technische Einsatzumgebung erweitert wurde: Eine persönliche Signtrust Signaturkarte SEA-Card in der Version 1.0 oder 2.0 der Deutsche Post ebusiness GmbH, Signtrust. Essen, gez. Dr. Gruschwitz TÜV Informationstechnik GmbH ist, gemäß der Veröffentlichung im Bundesanzeiger Nr. 52 vom 17. März 1999, Seite 4142, zur Erteilung von Bestätigungen für technische Komponenten gemäß 14 Abs. 4 SigG ermächtigt. 1 Gesetz zur digitalen Signatur (Signaturgesetz SigG) in der Fassung vom 28. Juli 1997 (BGBl. 1997, S. 1872) 2 Verordnung zur digitalen Signatur (Signaturverordnung SigV) in der Fassung vom 22. Oktober 1997 (BGBl. S. 2498) Die Bestätigung zur Registrierungsnummer TUVIT TU besteht aus 1 Seite.