Sichere Kommunikation unter Einsatz der E-Signatur

Transkript

1 Sichere Kommunikation unter Einsatz der E-Signatur s signieren und verschlüsseln Michael Rautert

2 Agenda: Gefahren bei der -Kommunikation Signaturen und Verschlüsselung Anforderungen und Arten von digitalen Signaturen Sicherheit Beispiel Outlook 2003 signierte s kennenlernen (kostenloses) Zertifikat installieren s signieren und verschlüsseln

3 1 Gefahren der Datenmanipulation und des Datendiebstahls Durchschnittlicher Weg einer via Internet von Benutzer A zu Benutzer B potentielle Gefahren A Knotenrechner Helsinki Kapstadt New York Provider von A Unterschlagen Kopieren Sydney Rom Verändern Provider von B Paris Mitlesen Berlin Washington D.C. B

4 Schäden und Verluste Schäden/ Verluste (werden häufig nicht gemeldet) finanzielle Verluste Verlust von Daten Imageschäden oder sind nicht erkannt worden

5 Signaturen und Verschlüsselung in der -Kommunikation Integrität des Inhaltes (über Signatur) kein Schutz vor Veränderung, sondern Erkennbarkeit der Manipulation dass etwas verändert wurde, aber nicht was Authentizität des Verfassers (über Signatur) Gefahr von Scheinidentitäten rechtliche Verbindlichkeit (über Signatur) Beweiskraft vor Gericht Vertraulichkeit des Inhalts (über Verschlüsselung) darf nicht von Unbefugten eingesehen werden

6 Anforderungen an digitale Signaturen keine eigenhändige Unterschrift in digitaler Form (z.b. als Scan), denn wäre die Datei kopierbar und es ließe sich nicht mehr vom Original unterscheiden digitale Signatur soll die gleichen Eigenschaften wie die handschriftliche untrennbar mit dem jeweiligen Dokument verbunden von jedem einsehbar nur vom Unterzeichner änderbar

7 Arten elektronischer Signaturen Signatur einfache fortgeschrittene qualifizierte (mit Akkreditierung) Kriterien Aussteller Authentifizierung des Inhabers technischer Schutz des Schlüssels hieraus folgt: unterschiedliche rechtliche Bewertung unterschiedlicher Aufwand bei Implementierung und Handhabung unterschiedliche Praxistauglichkeit

8 Die einfache Signatur Merkmale: Keine gesicherte und überprüfbare Rückschlüsse auf die Identität des Verfassers/ Integrität der Nachricht verfügt über keine PKI (Public Key Infrastructure). Beispiele für eine einfache Signatur: eingescannte Unterschrift Text am Ende einer mit Angaben zur Person, Firma etc. Verbindlichkeit Beweiswert gering

9 Die fortgeschrittene Signatur Klasse 1-3 Identifizierung des Signaturschlüssel-Inhabers (Schwach) gesicherte Rückschlüsse auf die Ausstelleridentität Integrität der Nachricht PKI (Public Key Infrastructure) Erstellung und Speicherung lokal im Rechner Gebunden an adresse Signierung durch Zertifizierungsdiensteanbieter Erstellung durch proprietäre Software (z.b. PGP) oder durch (akkreditiertes) Trustcenter

10 Die fortgeschrittene Signatur Bei Erstellung und Verwaltung durch (akkreditiertes) Trustcenter: Gesicherte und überprüfbare Rückschlüsse auf die Ausstelleridentität (nur bei Zertifikat ab Klasse 3, z.b. POSTIDENT) Überprüfungsmöglichkeit bzgl. der (stets begrenzten) Zertifikatsgültigkeit Signierung durch Zertifizierungsdiensteanbieter Verbindlichkeit freie Beweiswürdigung

11 Die qualifizierte elektronische Signatur zusätzliche Merkmale Gesicherte und überprüfbare Rückschlüsse auf die Identität des Verfassers Das Zertifikat muss durch einen Zertifizierungsdiensteanbieter (Trustcenter) signiert werden Die Signaturerzeugung und speicherung erfolgt nicht im Rechner sondern in der Signaturkarte. Keine Verknüpfung mit -adresse nicht für geeignet Verbindlichkeit keine freie Beweiswürdigung, vgl. Unterschrift

12 Wie sicher sind elektronische Signaturen in Bezug auf Fälschungen? Die aktuellen Verfahren sind ausreichend stark, um ein "Knacken" von mit ziemlicher Sicherheit ausschließen zu können. Das BSI überprüft jährlich, ob die verwendeten Codes noch für mindestens sechs Jahre als sicher gelten können. Viel größere Gefahren drohen an anderen Stellen, z.b. bei der Geheimhaltung des Passwortes.

13 Passwörter: Bedrohung erraten ausspähen Sichtkontakt Software (Keylogger, Malware) Social Engineering-Methoden "knacken"

14 tarke Passwörter kreieren 1GRzF?Ln. 1Glas Rotwein zu Fisch? Lieber nicht. Merksatz-Methode: Für 50 wird der Tank heutzutage nicht mehr voll! F50 wdthnmv! >Wozu kryptische Passwörter auswendig lernen; es gibt ja "Merksätze". >WkPal;egj"M".

15 am Beispiel von Outlook 2003

16 Woran erkenne ich eine (sicher) signierte Mail? Zeichen für signierte Mail (unverändert & gültig)

17 Woran erkenne ich eine ungültig signierte Mail? Zeichen für signierte Mail (Achtung: Problem!)

18 Problem identifizieren (Zertifikat abgelaufen)

19 Prüfsumme (Hash-Wert, Quersumme, )

20 Schlüssel

21 Zertifikat importieren wenn kein Kontakt angelegt wurde

22 Registerkarte Zertifikate

23 Registerkarte Zertifikate

24 signieren und verschlüsseln

25 (kostenlose) Zertifikate downloaden My Certficate 1 Jahr gültig Freie Wahl der Vertrauensstufe: My Certficate Express Class 3: persönliche Identifizierung Unmittelbare Bereitstellung Class 2: Überprüfung nur anhand von Dokumente Sofort verwendbar in den - Programmen von Microsoft und Netscape Überprüfungen anhand des Ausweisdokumentes und 1 Jahr gültig des Handelsregisterauszuges Vertrauensstufe Class 1: Überprüfung der Überprüfung der -Adresse -Adresse Internat. X.509-Standard Internat. X.509-Standard Aufnahme in den Verzeichnisdienst Aufnahme in den Verzeichnisdienst Verwaltung in geschlossener Benutzergruppe möglich Sperrdienst Sperrdienst

26 Importieren in Outlook 2003

27 Anwendung mit Outlook 2003

28 signieren und verschlüsseln

29 Empfehlung für den Ersteinstieg Erfahrung sammeln mit kostenlosem fortgeschrittenem Zertifikat der Klasse 1 für Kommunikation per Interne & externe Kommunikationspartner informieren, z.b. auf Veranstaltungen, der Intranet- bzw. Firmenwebseite oder in Fußzeile von Mails Erklärungen, Anleitungen und How-to s in Schriftform oder per PDF zur Verfügung stellen -> Weitere Nutzer anregen Einbindung der Signaturen in Outlook-Standardkonfiguration -> Voreinstellung Unterschreiben

30 Empfehlung für Großeinsatz Große Organisationen mit primär internen und wenig externen Kommunikationspartner sollten eigene PKI-Lösungen implementieren (Testphase mit Klasse 1 empfohlen) Für rechtsverbindliche Unterschrift trotzdem qualifizierte Signatur nötig

31

32 Vielen Dank für Ihre Aufmerksamkeit. Michael Rautert

33 Fortgeschrittene Signatur per PGP oder durch Trustcenter? PGP ist eine proprietäre Lösung ohne zentrales akkreditiertes Trustcenter und basiert auf wechselseitigem Vertrauen PGP setzt eine kostenpflichtige Software voraus, welche beide Kommunikationsparteien nutzen müssen im Geschäftsbetrieb mit externen Kommunikationspartnern meist schlicht unmöglich (Akkreditierte) Trustcenter identifizieren den Signaturinhaber und sind müssen hohe gesetzlichen Auflagen erfüllen sind in der Regel vertrauenswürdiger sorgen dafür, dass ein Zertifikat für jedermann zugänglich ist und man es auch zentral sperren lassen kann

34 PGP vs. Trustcenter Zum Erhalt eines Signaturschlüsselpaares sollte man sich in jedem Fall an ein Trustcenter wenden. höhere Sicherheit zentrale Administration einfaches Handling praxistauglich Zeitstempel Kosten am Beispiel TC Trustcenter ( Klasse 1 (Identifikation über Mail) -> kostenlos Klasse 3 (Identifikation über POSTIDENT) -> ca. 60,- pro Jahr Zusätzliche Hardware- oder Softwarekosten -> keine