Welche technischen Voraussetzungen sind für die Nutzung von Zertifikaten notwendig?

Transkript

1 ZERTIFIKAT UND SIGNATUR Als Besitzer eines Zertifikates können Sie Ihre Identität gegenüber anderen Leuten, mit denen Sie über das Web kommunizieren, bestätigen, -Nachrichten signieren oder verschlüsseln und weitere Sicherheitsaufgaben, abhängig vom angeforderten Zertifikattyp, durchführen. Was ist ein Zertifikat? Vereinfacht ausgedrückt ist ein Zertifikat ein "Ausweis" im Internet. Das Zertifikat enthält Informationen über die Identität einer Person und Signaturprüfdaten, mit deren Hilfe Signaturen dieser Person zugeordnet werden können. Das Zertifikat ist durch die elektronische Signatur seines Ausstellers vor Veränderungen geschützt. Nach der rechtlichen Definition in 2 Z 8 SigG ist ein Zertifikat "eine elektronische Bescheinigung, mit der Signaturprüfdaten einer Person zugeordnet werden und deren Identität bestätigt wird" (siehe auch Art. 2 Z 9 der Signaturrichtlinie). Diese Definition ist technologieneutral. Im technischen Sprachgebrauch wird mit Zertifikaten meist eine bestimmtes Datenformat angesprochen. X.509v3-Zertifikate verknüpfen öffentliche Schlüssel mit dem Namen einer Person oder auch eines Servers. In X.509v3-Zertifikate können auch zahlreiche andere Angaben aufgenommen werden. Quelle: Welche technischen Voraussetzungen sind für die Nutzung von Zertifikaten notwendig? In jedem Fall benötigt man einen Rechner mit Betriebssystem und mindestens eine signaturfähige Anwendung (z. B. Microsoft Outlook, Microsoft Outlook Express, Mozilla Thunderbird, Lotus Notes, OpenOffice.org, ). Diese Anwendungen integrieren standardmäßig eine Umgebung, in der Zertifikate erzeugt, gespeichert und verwaltet werden können. Näheres dazu entnehmen Sie bitte der Hilfe Ihres jeweiligen Systems. Darüber hinaus benötigt man ein von einem Zertifizierungsdiensteanbieter ausgestelltes Zertifikat. Wie man die Signaturerstellungsdaten und das zugehörige Zertifikat erhält, hängt vom jeweiligen Zertifizierungsdienst ab. Nähere Informationen sind dem Sicherheits- und Zertifizierungskonzept des jeweiligen Zertifizierungsdienstes zu entnehmen. Was ist ein Zertifizierungsdiensteanbieter? Zertifizierungsdiensteanbieter stellen die Infrastruktur für elektronische Signaturen zur Verfügung, überprüfen die Identität der Antragsteller, statten sie mit dem zur Erzeugung der Signatur notwendigen Zertifikat aus und verwalten auch die zur Prüfung der Signatur erforderlichen Zertifikate in von ihnen geführten einsehbaren Verzeichnissen. Weiters hat der Zertifizierungsdiensteanbieter die Antragsteller zu unterrichten, welche technischen Komponenten und Verfahren für das verwendete Signaturverfahren geeignet sind. Schließlich ist der Anbieter auch für die Durchführung des Widerrufs von Zertifikaten zuständig. Wie lange ist ein Zertifikat gültig? Die Gültigkeitsdauer von Zertifikaten ist begrenzt (in der Regel 2-3 Jahre). Vor Ablauf des Zertifikats muss ein neues Zertifikat beschafft und in das System des Anwenders integriert werden. Rechtlich ist die Erneuerung eines Zertifikats auch vor Ablauf seiner Gültigkeit zulässig. Wo kann ich ein Zertifikat erwerben? Über den nicht kommerziell betriebenen Zertifizierungsdienst der E-Control GmbH können Unternehmen kostenlos Zertifikate beziehen, die eine fortgeschrittene Signatur lt. SigG ermöglichen ( Die ausgestellten Zertifikate können sowohl zum Signieren von s, als auch für weitere Applikationen wie z. B. elektronische Rechnungslegung verwendet werden. Weitere Zertifikate-Anbieter siehe Wo liegt mein Zertifikat nach der Installation? Standardmäßig werden Zertifikate in einem Zertifikate-Speicher auf Ihrem Rechner, abhängig von Ihrem Betriebssystem gespeichert.

2 Beispiel Internet Explorer: Extras Internetoptionen Inhalte Zertifikate Was ist eine elektronische Signatur? Eine elektronische Signatur mit Hilfe eines Zertifikates gibt einer Person die Möglichkeit, ihre Identität mit einer bestimmten Information (z.b. einer Nachricht, z.b. oder einer Willenserklärung) zu verbinden. Durch diese Bindung kann man folgende Ziele erreichen: Authentisierung: Der Empfänger / die Empfängerin einer Information kann mit Sicherheit deren Ursprung einer bestimmten Person zuordnen. Datenintegrität: Der Empfänger / die Empfängerin einer Information kann sicher sein, dass die übermittelte Information auf dem Weg von der sendenden Person zu ihm/ihr nicht durch unbefugte Dritte verändert worden ist. Unleugbarkeit: Die signierende Person kann zu einem späteren Zeitpunkt nicht abstreiten, dass die betreffende Information von ihr stammt. Worauf beruht die Sicherheit einer elektronischen Signatur? Die Sicherheit einer elektronischen Signatur beruht auf dem kryptographischen Verfahren, das für ihre Berechnung verwendet wird und das nach dem heutigen Stand der Technik mit bestimmten Parametern ausreichend sicher ist, der Einzigartigkeit des zum Signieren verwendeten kryptographischen Schlüssels, der durch ein Zertifikat einer bestimmten Person zuverlässig zugeordnet ist, und der Verwendung sicherer Signaturerstellungseinheiten, die nur von den berechtigten Signatoren benützt werden können und die zur Erstellung elektronischer Signaturen verwendet werden. Wie können Signaturen geprüft werden? Eine Verpflichtung Signaturen sicher zu prüfen, ist aus dem Gesetz nicht abzuleiten. Eine sichere Signaturprüfung muss jedenfalls durch den Zertifizierungsdiensteanbieter für die Zertifikate, die er ausstellt, möglich sein. Der Anwender hat die Möglichkeit, eine Signaturprüfung über seine signaturfähige Anwendung, wie z.b. Microsoft Outlook vorzunehmen. Wurde eine Nachricht mit elektronischer Signatur des Absenders auf dem Übertragungsweg verändert, wird die Signatur oder Verschlüsselung des s als gebrochen angezeigt.

3 Wie erkenne ich, ob ein eingehendes signiert ist? Wie erkenne ich, ob ein eingehendes verschlüsselt ist?

4 Wie sehe ich, ob ein Zertifikat bzw. eine Signatur gültig ist? Ein Zertifikat muss vom ausstellenden Zertifizierungsdiensteanbieter in einem öffentlich zugänglichen Verzeichnis gespeichert werden. Der Zertifizierungsdiensteanbieter veröffentlicht auch Listen über den Status des Zertifikates, etwa Widerruflisten. Mit Hilfe solcher Verzeichnisdienste kann die Gültigkeit jederzeit überprüft werden: Über eine signaturfähige Anwendung, wie z.b. Microsoft Outlook hat der Anwender die Möglichkeit, die Gültigkeit und Vertrauenswürdigkeit eines Zertifikates zu überprüfen. Beispiel signiertes und verschlüsseltes Mit Klick auf das Verschlüsselungs- oder Signatur-Symbol wird der Status der Nachrichtensicherheit und des Zertifikats angezeigt: Klick auf Verschlüsselung:

5 Klick auf Signatur:

6 Über Details anzeigen wird die Zertifikats-Information angezeigt: Woher bekomme ich das Signaturgesetz, die Verordnung und die Erläuterungen? Alle Gesetze und Verordnungen sind unter online abrufbar. (Für Signaturgesetz und verordnung z.b. die Suchbegriffe SigG, SigV verwenden.) Weiters stellen A-SIT und RTR auf ihrer Homepage relevante Gesetze und Verordnungen zum freien Abruf zur Verfügung. Eine kommentierte Ausgabe des Gesetzestextes (Brenn; Signaturgesetz) ist im Manz-Verlag erhältlich; ein Kommentar zur Signaturverordnung ist im gleichen Verlag erschienen. Seit der Veröffentlichung gab es teilweise Änderungen.