Perspektiven für die eid-funktion des Personalausweises

Transkript

1 Perspektiven für die eid-funktion des Personalausweises Inhalt: Funktionen und Leistungsmerkmale Datenschutz- und Datensicherheit Technische Standards auf gesetzlicher Grundlage Prozesse und Komponenten der eid-infrastruktur STORK eine europäische eid-initiative Zusammenfassung und Ausblick Bernd Kowalski Abteilungspräsident im Bundesamt für Sicherheit in der Informationstechnik Ministerialkongress in Berlin, 8. September 2011

2 Der neue Personalausweis Funktionen und Leistungsmerkmale Sichtausweis Elektronische Funktionen 1. Elektronischer Identitätsnachweis: eid-funktion für E-Business- und E-Government PIN und Berechtigungszertifikat erforderlich 2. Unterschriftsfunktion: Qualifizierte elektronische Signatur nachträglich auf den Ausweis nachladbar Der neue Personalausweis vereint den herkömmlichen Ausweis und die drei neuen elektronischen Funktionen im Scheckkartenformat. 3. Hoheitliche Funktion digitales Lichtbild und (auf Wunsch) zwei elektronische Fingerabdrücke ausschließlich für zur Identitätsfeststellung berechtigte Behörden, z. B. Polizei und Grenzkontrolle Bernd Kowalski 8. September 2011 Folie 2

3 Vorteile des elektronischen Identitätsnachweises eid-funktionen Einfaches und sicheres Identifizieren im Internet Erhöhte Sicherheit gegenüber der bisherigen Passwortidentifizierung bisher: Passwort oder PIN = nur Wissen künftig: Personalausweis + PIN = Besitz + Wissen Sichere medienbruchfreie Abwicklung von Online-Diensten unabhängig von Öffnungszeiten, fehlerfreie Datenübermittlung Berechtigungszertifikat mit Erforderlichkeitsprüfung Datenübermittlung nur im Rahmen des Berechtigungszertifikats Alters- bzw. Wohnortbestätigung Einheitliche standardisierte Schnittstelle überwiegend Nutzung des neuen Ausweises zur Authentisierung bei Online-Diensten Verschlüsselte Übertragung Bernd Kowalski 8. September 2011 Folie 3

4 Neuer Personalausweis - Vorderseite NEU: ein Chip - ermöglicht neue Funktionen - Datensicherung des Inhabers Bernd Kowalski 8. September 2011 Folie 4

5 Neuer Personalausweis - Rückseite Sicherheitsmerkmale Neu: kennzeichnet Anwendungen, Automaten, Lesegeräte Bernd Kowalski 8. September 2011 Folie 5

6 Datenschutz und Datensicherheit Keine Manipulation von gespeicherten Daten auf dem Ausweischip möglich: Nur die Adressdaten können mithilfe spezieller hoheitlicher Berechtigungszertifikate geändert werden. Andere Daten sind nicht änderbar. Kein unberechtigtes Auslesen ( Skimming ) von Daten aus dem Ausweischip möglich: Zugriff nur mit entsprechendem Berechtigungszertifikat und Geheimnummer Schutz gegen das Abhören von Daten: Kommunikation zwischen Ausweischip und Lesegerät bzw. Terminal / eid Server des Diensteanbieters ist verschlüsselt Schutz für die biometrischen Daten: Zugriff nur für zur Identitätsfeststellung berechtigte Behörden (hoheitliches Berechtigungszertifikat) Stark verschlüsselter Kommunikationskanal Keine biometrischen Daten über das Internet: nur zur hoheitlichen Nutzung Bernd Kowalski 8. September 2011 Folie 6

7 Datenfelder für den elektronischen Identitätsnachweis Übermittelte Daten an Diensteanbieter (Sperre/Gültigkeit): Dienste- und kartenspezifisches Sperrmerkmal Ergebnis der Gültigkeitsprüfung des Ausweises Abrufbare personenbezogene Daten (Berechtigungszertifikat): Vor- und Familienname(n), Doktorgrad Ordens-, Künstlername Geburtstag und -ort / Angabe, ob ein bestimmtes Alter überoder unterschritten ist Anschrift / Angabe, ob Wohnort mit bestimmten Wohnort übereinstimmt Dokumentenart ( Personalausweis ) und ausstellendes Land ( D ) Dienste- und kartenspezifisches Kennzeichen ( Pseudonym ) Kein Abruf von biometrischen Daten möglich! Bernd Kowalski 8. September 2011 Folie 7

8 Gesetzlich verbindliche Prüfvorschriften gewährleisten hohen Sicherheitsstandard und Interoperabilität Wirkung von Prüfvorschriften BMI Rechtsvorschriften PersAuswG BSI Prüfvorschriften TR/PP: npa, ecard-api Konformitätsprüfungen private akkr. Prüfstellen Zertifizierung BSI Bernd Kowalski 8. September 2011 Folie 8

9 Verpflichtungen/ Empfehlungen aus der Personalausweisverordnung Nr. Bezeichnung der Systemkomponente Grundlage der Verpflichtung / Empfehlung 1 Elektronisches Speicher- und Verarbeitungsmedium auf der Ausweiskarte (Hard- und Software) Verpflichtung für Ausweishersteller durch Herstellungsvertrag 2 Fingerabdruckleser Verpflichtung an Lieferanten über Liefervertrag; Verpflichtung für Ausweishersteller durch Herstellungsvertrag; Verpflichtung für Ausweisbehörden nach 3 (1) und 7 (2) 3 Software zur Erfassung und Qualitätssicherung von Gesichtsbild und Fingerabdrücke 4 Modul zum Datenaustausch zwischen Ausweisbehörde und Dokumentenhersteller 5 Modul zur Sicherung der Authentizität und Vertraulichkeit der Antragsdaten 6 Änderungs- und Visualisierungmodul für den Änderungsund Visualisierungsdienst in den Ausweisbehörden Verpflichtung für Ausweishersteller durch Herstellungsvertrag; Verpflichtung für Ausweisbehörden nach 3 (1) u. 7 (2-3) Verpflichtung für Ausweishersteller durch Herstellungsvertrag; Verpflichtung für Ausweisbehörden n. 3(1) i.v.m. 8 (1-3) Verpflichtung für Ausweishersteller durch Herstellungsvertrag; Verpflichtung für Ausweisbehörden n. 3(1) i.v.m. 8 (1,3,4) Verpflichtung für Ausweishersteller durch Herstellungsvertrag; Verpflichtung für Ausweisbehörden nach 3 (1) u. 18 (4) 7 Kartenlesegeräte Empfehlung an Ausweisinhaber nach 23 (2) Nr. 2 8 Bürgerclient Empfehlung an Ausweisinhaber nach 23 (2) Nr. 3 9 Hard- u. Software zur Durchführung des elektr. Identitätsnachweises bei Diensteanbietern o. ihrer Auftragnehmer Verpflichtung für Diensteanbieter oder dessen Auftragnehmer nach 3 (1) und nach 29 (2) Bernd Kowalski 8. September 2011 Folie 9

10 Technische Richtlinien (TR) und Schutzprofile (PP) Technische Richtlinien (TR) Kartenspezifikation (EAC, PACE, usw.) QES auf ecards mit kontaktl. Schnittstelle Produktionsdatenerfassung, qualitätsprüfung und übermittlung Biometrie Kartenleser mit epa-unterstützung ecard-api-framework Middleware für BürgerClient und eid-server Hintergrundsysteme (PKI) Elliptische-Kurven-Kryptographie Kryptographische Verfahren: Empfehlungen und Schlüssellängen Schutzprofile (PP) Elektronischer Personalausweis Inspektionssysteme für elektronische Ausweisdokumente Reisepass BürgerClient: QES-Funktion BürgerClient: eid-funktion Bernd Kowalski 8. September 2011 Folie 10

11 eid-prozesse Gegenseitiger Identitätsnachweis Bürgerinnen und Bürger: Kann das Unternehmen seine elektronische Identität beweisen? Diensteanbieter weist sich mit Berechtigungszertifikat aus Sowohl Bürger als auch Diensteanbieter können sich bei der Nutzung des epa auf die Identität des Gegenüber verlassen! Diensteanbieter: Kann die Person ihre elektronische Identität beweisen? Bürger weist sich mit npa aus Bernd Kowalski 8. September 2011 Folie 11

12 eid-prozesse Anbieter - Nutzer Ausweisinhaber Bürger PC mit AusweisApp (ecard-api-framework), PC, Internetbrowser Kontaktloses Kartenlesegerät npa mit eingeschalteter eid-funktion Geheimnummer Diensteanbieter (E-Business, E-Government) Anfrage des Dienstes Dienst auf Website Staat Datenübermittlung Berechtigungszertifikat Datenabfrage Vorname Nachname Geburtsdatum Bestätigung per PIN oder: npa Geheimnis + Anbieternummer = Pseudonym Dienst ist berechtigt und fragt nach Personendaten Diensteerbringung Zertifikat: - Name Diensteanbieter - Zweck Datenübermittlung - Berechtigung für - Vorname - Nachname - Alter - Bernd Kowalski 8. September 2011 Folie 12

13 Vergabeprozess von Berechtigungszertifikaten für Anbieter Bundesverwaltungsamt (BVA) BSI Vergabestelle für Berechtigungszertifikate (Verwaltungsverfahren) Antrags-5eingang Entscheidung Antragsprüfung 6.a (formell & inhaltlich) Gebührenstelle B Sperrlistenbetreiber Einfache Umrechnung der Sperrkennwörter der Sperrliste für Trustcenter Akkreditierungsstelle f f Root CVCA 4. Antrag auf Berechtigung 6.b Bescheid 7. Gebühr für (inkl. Gebühren Verwaltungsakt für Verwaltungsakt) 9. Umrechnung in Diensteanbieterspezifische Sperrmerkmale Antrag Diensteanbieter (DA) B f eid-server Berechtigung 10.a Abruf von DA-pezifischen Sperrlisten 10.b Abruf von Berechtigungszertifikaten 8. Vorlage Berechtigung und Bezahlung Zertifikate zu Marktpreisen Sperrmerkmale Berechtigung Akkredi- DV-Zertieruntifikat Öff. Schlüssel Trustcenter (ZDA) Bernd Kowalski 8. September 2011 Folie 13

14 Sperren der eid-funktion X Verlust Ich habe meinen Personalausweis verloren Bürger entweder Hotline Passwort Kontakt per Telefon Ich habe meinen Personalausweis verloren oder Persönlich oder per Telefon Erfolg/ Misserfolg Bürgeramt Überprüfen der Identität und Vermerk über Verlust ins PA-Register mit Zeitstempel Ermittlung der Sperrinformation Erfolg / Misserfolg Personalausweisregister Sperrlistenbetreiber Sperrliste Übermittlung der Sperrinformationen Diensteanbieter Spezifische Sperrliste herunterladen ZDA Dienste-spez. Sperrlisten Abfrage des Sperrkennworts und der personenbezogenen Daten beim Bürger Ermittlung der Sperrinformation Übermittlung der Sperr informationen Umrechnung der Sperrinformation in ein Sperrmerkmal Eintrag des Sperrmerkmals in die globale Sperrliste Globale Sperrliste Umrechnung in dienstespezifische Sperrlisten Globale Sperrliste Bernd Kowalski 8. September 2011 Folie 14

15 Systemintegration der eid-funktion auf Anbieterseite eid-server Zentrale Komponente zur Abwicklung der eid-funktion Kostenpflichtige Nutzung durch Dienstanbieter im Wirkbetrieb Stellt die Kommunikation zum Identitätsnachweis her Übernimmt die Kommunikation zum Abruf von Berechtigungszertifikaten und Sperrlisten eid-service: mandantenfähiger eid-server Mehrere Diensteanbieter nutzen einen eid-service Gleichzeitige Bearbeitung beliebig vieler Authentifizierungen für mehrere Dienstanbieter Integrierte Verwaltung von Berechtigungszertifikaten der Diensteanbieter Bernd Kowalski 8. September 2011 Folie 15

16 Ausstattung des Bürgers zur Nutzung der eid-funktion Internet a a Internetbrowser Benötigte Komponenten: PC Internetbrowser Internetanbindung AusweisAapp-Software Kontaktloses Kartenlesegerät Neuer Personalausweis mit eingeschalteter eid-funktion Geheimnummer a 16 Bernd Kowalski 8. September 2011 Folie 16

17 Chipkartenleservarianten für den neuen Personalausweis Basisleser (Cat-B) Einfacher Chipkartenleser mit kontaktloser Schnittstelle Kein PIN-Pad zur sicheren PIN-Eingabe Qualifizierte elektronische Signatur wird nicht unterstützt Preis: ca. 35 Euro Standardleser (Cat-S) Multifunktionaler Chipkartenleser mit kontaktloser und optional kontaktbehafteter Schnittstelle PIN-Pad zur sicheren PIN-Eingabe Kann aufgerüstet werden, um die QES des neuen PA zu unterstützen Preis: ca 37* bzw. 68 Euro Komfortleser (Cat-K) Multiapplikativer Chipkartenleser mit kontaktloser und kontaktbehafteter Schnittstelle PIN-Pad zur sicheren PIN-Eingabe und Display Qualifizierte elektronische Signatur wird unterstützt Preis: ca. 120* bzw. 160 Euro * Mit staatlicher Förderung Bernd Kowalski 8. September 2011 Folie 17

18 Anwendungsgebiete der eid-funktion Zugang mit Pseudonym Altersverifikation Bürgerdienste Kiosksysteme / Infoterminals Automat. Formularbefüllung Elektronische Signatur Online-Registrierung Zutrittskontrollen Barrierefreie Internetdienste Bernd Kowalski 8. September 2011 Folie 18

19 Neuer Personalausweis Teilnehmer des zentralen Anwendungstests E-Government E-Finanzservice E-Business Bernd Kowalski 8. September 2011 Folie 19

20 Anbietermotivation zur Nutzung der eid-funktion Diensteanbieter können die Identität einer Person bzw. eines Kunden / Bürgers überprüfen Authentisierungsmechanismus kann für verschiedene Anwendungen in unterschiedlichen Bereichen eingesetzt werden Neue Dienste können angeboten werden, die zuvor nicht möglich waren (z.b. Transaktionen, die eine Unterschrift erfordern) Integrationsaufwand ist überschaubar: Angebotene Dienste / Webanwendungen können eine standardisierte Schnittstelle nutzen, um den elektronischen Identitätsnachweis zu unterstützen Kein Roll-out Prozess für Diensteanbieter Hohe Zahl an potenziellen Nutzern (nahezu jede Bürgerin / jeder Bürger besitzt zukünftig einen neuen Personalausweis) Bernd Kowalski 8. September 2011 Folie 20

21 Das Personalausweisportal für Bürger/innen und Partner Informationen zu neuen Möglichkeiten und benötigten Komponenten Bereitstellung von Informationsbroschüren, Info- Flyern, neuesten Mitteilungen Angebote für Anbieter von Dienstleistungen, z. B. Informationen zur Beschaffung von Berechtigungszertifikaten und zu Voraussetzungen der Infrastruktur Auskünfte für Zertifikate-Anbieter zu Akkreditierungen und Anforderungen 21 Bernd Kowalski 8. September 2011 Folie 21

22 Das Kompetenzzentrum für den neuen Personalausweis Registrierung und Hilfestellung beim Anwendungstest Informationen zu technischer Infrastruktur, Komponentenanbietern und zum Support Benutzergruppe (Forum) für Know- how + Anfragen Bernd Kowalski 8. September 2011 Folie 22

23 Neuer Personalausweis Meilensteine bis zur Einführung 20. November 2008 Start Registrierung zentral koord.& offener Anwendungstest Ende Mai 2009 Auswahl Teilnehmer zentral koord. Anwendungstest 28. Februar 2009 Ende Registrierung für zentral koord. Anwendungstest 1. Oktober 2009 Start zentral koord. Anwendungstest 1.Quartal 2010 Start Feldtest 1. Januar 2010 Start offener Anwendungstest 2. Quartal 2010 Bericht Feldtest 1. Mai 2010 Start Beantragung von Berechtigungs -zertifikaten Ende Juni 2010 Bericht Anwendungstest November November Einführung Einführung des des neuen neuen Personalausweises Personalausweises 31. Oktober 2010 Ende Anwendungstest Bernd Kowalski 8. September 2011 Folie 23

24 Neuer Personalausweis in Zahlen Bernd Kowalski 8. September 2011 Folie 24

25 Antragsentwicklung Berechtigungszertifikate Stand: 1. September 2011: 72 Berechtigungen erteilt Bernd Kowalski 8. September 2011 Folie 25

26 Anwendungsszenarien in der Einführungsphase Bernd Kowalski 8. September 2011 Folie 26

27 Anbieterspektrum Testphase CeBIT 2011 Aktuell Bernd Kowalski 8. September 2011 Folie 27

28 STORK Technische Perspektive einer europäischen eid-infrastruktur Ziele der Europäischen Kommission Beschleunigung der Entwicklung von eid-lösungen Koordinierung nationaler & europäischer Aktivitäten Test sicherer & benutzerfreundlicher eid-lösungen Ziele der deutschen Beteiligung Integration der deutschen Lösung in eine übergreifende europäische Rahmenarchitektur Hohes Niveau an Sicherheit und Datenschutz für alle Bürger Bernd Kowalski 8. September 2011 Folie 28

29 STORK Konsortium ( ) 33 STORK Konsortialpartner aus 18 Mitgliedstaaten (MS) Deutsche Konsortialpartner: BSI, T-Systems, NXP, Fujitsu, Infineon, Giesecke & Devrient, Bundesdruckerei Bernd Kowalski 8. September 2011 Folie 29

30 STORK: eid-interoperabilität mittels Gateway-Lösungen S- PEP S SP MS A direct SP connect or Authentisierungsanfrage DE eid Service V-IDP (V-SP) AT MOA ID S-PEPS (MS A specific) Modular Authentication Relay Service C-PEPS connect or natio nal C- PEP S natio nal C- PEP S natio nal C- PEP S Bernd Kowalski 8. September 2011 Folie 30

31 Zusammenfassung und Ausblick (1) Zehn Monate nach dem npa-start: 8 Mio. ausgegebene neue Personalausweise Antrags- und Ausgabeverfahren! Quote freigeschalteter eid-funktionen in einigen Regionen noch unbefriedigend Mehrere Berechtigungs-CAs Wachsende Zahl von eid-clients, -serverhersteller und eid-service-anbieter Lesegeräte Standard etabliert! Kritische Masse der Lesegeräte erst bei ausreichender Anzahl ausgegebener npas! Zunehmende, aber noch zurückhaltende Akzeptanz bei Anbietern Bernd Kowalski 8. September 2011 Folie 31

32 Zusammenfassung und Ausblick (2) Aktuelle Entwicklungen: Mobile NFC-Geräte und Smart-Phones SB-Geräte und Automatenlösungen Einführung des elektronischen Aufenthaltstitels (eat) zum Für Drittstaatsangehörige eid-funktion identisch zum Personalausweis, sofort in allen personalausweisfähigen Anwendungen einsetzbar Internationale Integration: eid für EU-Bürger ( Unionsbürgerkarte ) Bilaterale Projekte mit anderen EU-Ländern European Citizen Card (CEN-Standard) Interoperabilitätsprojekte zur Integration anderer nationaler Ausweissysteme (STORK) Demnächst: Einführung von eid-karten in PL und FR Bernd Kowalski 8. September 2011 Folie 32

33 Kontakt Bundesamt für Sicherheit in der Informationstechnik (BSI) Bernd Kowalski Godesberger Allee Bonn Tel: +49 (0) Fax: +49 (0) Bernd Kowalski 8. September 2011 Folie 33