Bestätigung von Produkten für qualifizierte elektronische Signaturen

Transkript

1 Bestätigung von Produkten für qualifizierte elektronische Signaturen gemäß 15 Abs. 7 S. 1, 17 Abs. 4 Gesetz über Rahmenbedingungen für elektronische Signaturen 1 und 11 Abs. 3 und 15 Signaturverordnung 2 Bundesamt für Sicherheit in der Informationstechnik 3 Godesberger Allee Bonn bestätigt hiermit gemäß 15 Abs. 7 S. 1, 17 Abs. 2 SigG sowie 15 Abs. 2 und 4, 11 Abs. 3 SigV, dass die Signaturanwendungskomponente Chipkartenterminal der Familie CardMan Trust CM3621 / CM3821, Firmware-Version 6.00 den nachstehend genannten Anforderungen des SigG und der SigV entspricht. Die Dokumentation zu dieser Bestätigung ist registriert unter: BSI TE Bonn, den gez. Helmbrecht Dr. Helmbrecht, Präsident Das Bundesamt für Sicherheit in der Informationstechnik ist, auf Grundlage des BSI-Errichtungsgesetzes vom , Bundesgesetzblatt I S und gemäß der Veröffentlichung im Bundesanzeiger Nr. 31 vom Gesetz über die Rahmenbedingungen für elektronische Signaturen (Signaturgesetz - SigG) in der Fassung vom 16. Mai 2001 (BGBl. Jahrgang 2001 Teil I Nr. 22) geändert durch Erstes Gesetz zur Änderung des Signaturgesetzes (1. SigÄndG) vom (BGBl. I S. 2) 2 Verordnung zur elektronischen Signatur (Signaturverordnung - SigV) in der Fassung vom 16. November 2001 (BGBl. Jahrgang 2001 Teil I Nr. 59) geändert durch 1. SigÄndG 3 Bundesamt für Sicherheit in der Informationstechnik, Godesberger Allee , Bonn, Postfach , Bonn, Tel: +49(0) , Fax: +49(0) , bsi@bsi.bund.de, Web: Die Bestätigung zur Registrierungsnummer BSI TE besteht aus 7 Seiten.

2 Seite 2 von 7 Seiten Februar 1998, Seite 1787, zur Erteilung von Bestätigungen für Produkte gemäß 15 Abs. 7 S. 1 (oder 17 Abs. 4) SigG ermächtigt. Beschreibung des Produktes für qualifizierte elektronische Signaturen: 1 Handelsbezeichnung des Produktes und Lieferumfang: Chipkartenterminal der Familie CardMan Trust CM3621 / CM3821, Firmware- Version Die Bestätigung bezieht sich auf die folgenden Produktvarianten mit der Firmware Version 6.00: CardMan 3621 R1.00 USB Trusted Smart Card Reader mit LED Anzeige CardMan 3821 R1.00 USB Trusted Smart Card Reader mit 2-zeiligem LCD Display und SPE Zeichen Auslieferung und Lieferumfang: Zum Lieferumfang gehören: Chipkartenterminal CM3621 / CM3821 mit USB Kabel Bedienungsanleitung (Sicherheitshinweise) Optionale CD-ROM (nicht Inhalt der Bestätigung). Das Chipkartenterminal CM3621 / 3821 wird entweder vom Lager des Herstellers vertrieben oder im Falle eines Projektes von einem Logistikdienstleister direkt von der Endproduktion an den Kunden geliefert. Dabei sind die Kartenleser in Transportkartons verpackt, die mit einem Klebeband der OMNIKEY verschlossen sind. Antragsteller dieser Bestätigung sowie Hersteller und Vertreiber des Produkts: OMNIKEY GmbH Am Klingenweg 6a Walluf, Deutschland 2 Funktionsbeschreibung Kurzbeschreibung: Beim Produkt Chipkartenterminal CM3621 / 3821 handelt es sich um eine USB Smart Card Leser mit Tastatur und LCD- (LED-) Anzeige einschließlich der Firmware in der Version Ziel des Produktes ist der Einsatz im Zusammenhang mit Anwendungen zur Erzeugung qualifizierter elektronischer Signaturen nach dem deutschen Signaturgesetz (SigG). Dazu wird für Prozessorchipkarten die Funktion der sicheren PIN-Eingabe über die Tastatur des Smart Card Lesers unterstützt. 4 Im Weiteren Chipkartenterminal CM3621 / CM3821 genannt.

3 Seite 3 von 7 Seiten Das Produkt Chipkartenterminal CM3621 / 3821 ist für den Einsatz im nichtöffentlichen Bereich, wie der privaten Umgebung oder der normalen Büroumgebung mit geregelten Zugriffsmöglichkeiten vorgesehen und bietet Schutz gegen Angreifer mit hohem Angriffspotential. Zu diesem Zweck besitzt das Produkt zwei Sicherheitsfunktionen und eine Sicherheitsmaßnahme: Schutz der PIN, Speicherwiederaufbereitung und Erkennbarkeit von Manipulation durch Versiegelung des Gehäuses. Beim Einsatz des Produktes wird zwischen zwei verschiedenen Modi unterschieden, dem normalen Tastaturmodus und dem Modus der sicheren PIN-Eingabe. Die sichere PIN-Eingabe wird dem Benutzer optisch über die rot blinkende LED oder das Aufleuchten des sicheren Zeichens im Display signalisiert. Nach erfolgreicher Eingabe der PIN sendet das Chipkartenterminal CM3621 / 3821 diese direkt zur Chipkarte und schaltet anschließend wieder in den normalen Tastaturmodus um. Das Umschalten im Kartenterminal in den sicheren PIN-Eingabemodus wird durch das Senden eines expliziten CT-Kommando nach CCID 5 durch eine Signaturanwendungskomponente im Sinne des Signaturgesetztes durchgeführt. Dieses CT-Kommando enthält die PIN-Handlingsvereinbarungen und das Chipkartenkommando, in welches die PIN an die spezifizierte Stelle integriert wird. Anhand des Instructionbytes des Chipkartenkommandos wird überprüft, ob es sich um ein PIN-Kommando handelt, welches explizit eine PIN-Eingabe erwartet. Nach Umschalten des Kartenterminals in den PIN-Eingabemodus werden die persönlichen Identifikationsdaten (PIN) im RAM zwischengespeichert, um sie nach Beendigung der Eingabe direkt mit dem PIN-Kommando zur Chipkarte zu senden. Der Modus der sicheren PIN-Eingabe wird optisch durch ein rotes Blinken der LED oder das Aufleuchten des sicheren Zeichens im Display angezeigt. Der Eingabefortschritt wird bei dem Chipterminal CM 3621 / 3821 mittels der Übertragung von Dummycodes dem System mitgeteilt. Bei der Variante mit LCD-Display wird der Eingabefortschritt zusätzlich im Display mit Sternchen [*] dargestellt. Dieser Modus ist solange aktiv, bis die Vollständigkeit der PIN erreicht beziehungsweise der Vorgang abgebrochen wird. Zum Abbruch des Vorgangs zählen das Ziehen der Karte, das Betätigen der Abbruchtaste und das Überschreiten der vorgegebenen Eingabezeit. Das Produkt stellt in beiden Varianten sicher, dass die PIN nur zur Chipkarte und nicht zum PC-System übertragen wird. Der Austausch der PIN erfolgt nur zwischen Chipkarte und dem Chipkartenterminal CM3621 /3821 über die Kartenleserschnittstelle. Diese befindet sich im Kartenterminal und wird gegen Manipulation durch Sicherheitssiegel geschützt. Funktionsbeschreibung des Produkts Die Sicherheitsfunktionen des Produkts Chipkartenterminal CM3621 / 3821 zielen darauf ab, die Anforderungen nach dem Signaturgesetz keine Preisgabe oder Speicherung der Identifikationsdaten ( 15 Abs. 2 Nr. 1a [SigV]) und 5 Device Class Specification for USB Chip/Smart Card Interface Devices, Revision 1.00, March 20, 2001

4 Seite 4 von 7 Seiten Erkennbarkeit sicherheitstechnischer Veränderungen ( 15 Abs. 4 [SigV]) zu erfüllen. Dazu werden vom Chipkartenterminal CM3621 / 3821 für Prozessorchipkarten die Funktionen Schutz der PIN und Speicherwiederaufbereitung unterstützt. Die Erkennbarkeit sicherheitstechnischer Veränderungen wird durch die Sicherheitsmaßnahme der Versieglung des Produktes mit fälschungssicheren Siegeln gewährleistet. Die nachfolgenden Tabellen stellen die Sicherheitsfunktionen und die Sicherheitsmaßnahme des Produktes dar: Sicherheitsfunktion Speicherwiederaufbereitung Schutz der PIN Beschreibung Die Kommunikation zwischen PC-System und Chipkarte basiert gemäß CCID auf den sogenannten APDU s. Wird eine APDU über die USB- Schnittstelle im Kartenterminal empfangen, so wird sie zuerst zwischengespeichert, um anschließend zur Chipkarte gesendet zu werden. Nach dem Einschalten, dem Weiterleiten eines PIN- Kommandos beziehungsweise dem Ziehen der Chipkarte oder dem Abbruch wird der PIN-Speicherbereich wiederaufbereitet, um sicherzustellen, dass keine persönlichen Identifikationsdaten beziehungsweise Datenfragmente im Kartenterminal erhalten bleiben. Außerdem wird die LED beziehungsweise das sichere Zeichen zur Anzeige der sicheren PIN-Eingabe ausgeschaltet. Das Umschalten des Kartenterminals in den sicheren PIN- Eingabemodus wird durch ein explizites CT-Kommando nach CCID durchgeführt. Dieses CT-Kommando enthält die PIN- Handlingsvereinbarungen und das Chipkartenkommando, in welches die PIN an die spezifizierte Stelle integriert wird. Anhand des Instructionbytes des Chipkartenkommandos wird überprüft, ob es sich um ein PIN-Kommando handelt, welches explizit eine PIN-Eingabe erwartet. Durch Umschalten des Kartenterminals in den PIN-Eingabemodus wird die Eingabe der persönlichen Identifikationsdaten im RAM zwischengespeichert, um sie nach Beendigung der Eingabe direkt mit dem PIN-Kommando zur Chipkarte zu senden. Der PIN-Eingabemodus wird optisch durch ein rotes Blinken der LED beziehungsweise das Aufleuchten des sicheren Zeichens im Display angezeigt, bis die Vollständigkeit der PIN erreicht ist, beziehungsweise der Vorgang abgebrochen wird. Zum Abbruch des Vorgangs zählen das Ziehen der Karte, das Betätigen der Abbruchtaste und das Überschreiten der vorgegebenen Eingabezeit. Der Eingabefortschritt wird mittels der Übertragung von Dummycodes [*] dem System mitgeteilt. Bei der Variante mit LCD-Display wird der Eingabefortschritt zusätzlich im Display mit DummycodesSternchen [*] dargestellt. Tabelle 1: Sicherheitsfunktionen

5 Seite 5 von 7 Seiten Sicherheitsmaßnahme Versiegelung Beschreibung Anhand authentischer und fälschungssicherer Sicherheitssiegel, welche über die Trennkante zwischen Gehäuseunter- und Oberteil geklebt werden, kann die Manipulationsfreiheit der Hardware sicher erkannt werden. Dies wird dadurch sichergestellt, dass ein Öffnen nicht ohne Beschädigung des Siegels möglich ist. Die Beschaffenheit (Zerstöreigenschaften) des Siegels gewährleistet, dass es nicht unbeschädigt entfernt und wieder aufgeklebt werden kann. Das eingesetzte Siegel ist fälschungssicher, weist Authentizitätsmerkmale auf und erfüllt die Sicherheitsstufe 2 entsprechend der BSI 7500 Druckschrift Produkte für die materielle Sicherheit [BSI 7500] Tabelle 2: Sicherheitsmaßnahme

6 Seite 6 von 7 Seiten 3 Erfüllung der Anforderungen des Signaturgesetzes und der Signaturverordnung 3.1 Erfüllte Anforderungen Das Produkt Chipkartenterminal CM 3621 / 3821 erfüllt die Anforderungen nach: SigV 15 Abs. 2 Nr. 1a) (keine Preisgabe und Speicherung der Identifikationsdaten) und Abs. 4 (Erkennbarkeit sicherheitstechnischer Veränderungen). 3.2 Einsatzbedingungen Das Produkt Chipkartenterminal CM3621 / 3821 wird vom Hersteller bereits fertig konfiguriert ausgeliefert. Die sicherheitsrelevanten Teile der Firmware befinden sich auf einem ROM-Maskencontroller und sind nicht austauschbar. Die Erfüllung der genannten Anforderungen gilt nur unter der Voraussetzung, dass folgende Einsatzbedingungen gewährleistet sind: a) Anforderungen an die technische Einsatzumgebung Das Produkt kann an jedem USB- fähigen PC verwendet werden, dessen Betriebssystem (z.b. Windows XP/2000 oder Linux) den von Microsoft spezifizierten PC/SC-Standard unterstützt. Das Betriebsystem ist für die Kommunikation der von den bestätigten Signaturanwendungskomponenten gesendeten CCID-Kommandos zuständig und für die Sicherheitsfunktionen des Kartenlesers nicht relevant. Der Anwender benutzt ausschließlich bestätigte sichere Signaturerstellungseinheiten nach 2 Nr. 10 SigG, die der Spezifikation ISO 7816 bzw. EMV 2000 genügen. Es dürfen ausschließlich nach 2 Nr. 13 SigG bestätigte bzw. herstellererklärte Signaturanwendungskomponenten verwendet werden, die das Chipkartenterminal korrekt in den Modus sichere PIN-Eingabe gemäß der standardisierten Kommandos umschaltet. b) Anforderungen an die organisatorische und administrative Einsatzumgebung Der Benutzer des Produktes Chipkartenterminal CM 3621 / 3821 hat sich vor der Inbetriebnahme und regelmäßig vor dem Benutzung des Geräts von der Unversehrtheit der Sicherheitssiegel zu überzeugen. Das Aussehen und der Befestigungssort des Siegels kann der Benutzer aus der mitgelieferten Betriebsdokumentation entnehmen. Die Eingabe der PIN ist vom Benutzer ausschließlich über die Tastatur des Kartenterminals vorzunehmen. Vor der Eingabe hat sich der Benutzer mit Hilfe der Überprüfung der rot blinkenden PIN- LED davon zu überzeugen, dass der sichere PIN- Eingabemodus aktiv ist.

7 Seite 7 von 7 Seiten Vor und während der Eingabe der PIN hat sich der Benutzer außerdem davon zu überzeugen, dass er nicht beobachtet und seine PIN auf diesem Weg ausgespäht wird. Der Einsatz des Chipkartenterminals CM 3621 / 3821 ist für nichtöffentliche Umgebungen zugelassen, beispielsweise Single- und Multi- User-PCs im privaten Bereich und in der Büroumgebung. Darunter fallen alle Bereiche, die nicht für die Allgemeinheit (Öffentlichkeit) zugänglich sind. c) Nutzung und Abgrenzung des Produkts Chipkartenterminal CM 3621 / 3821: Der Endanwender wird über seine Verantwortung während der Nutzung des Produktes durch die mitgelieferte Betriebsdokumentation informiert. Die USB- Schnittstelle stellt die logische und physische Grenze des Produktes dar, Bestandteile außerhalb dieser Grenzen, wie die Treibersoftware und Anwendungen, die das Produkt Chipkartenterminal CM 3621 / 3821 nutzen, sind nicht Gegenstand dieser Bestätigung. 3.3 Algorithmen und zugehörige Parameter Entfällt. 3.4 Prüfstufe und Mechanismenstärke Das Produkt Chipkartenterminal CM3621 / 3821 wurde erfolgreich nach den Common Criteria (CC) mit der Prüfstufe EAL3+ (EAL3 mit Zusatz AVA_VLA.4 (gegen ein hohes Angriffspotential), AVA_MSU.3 (eine vollständige Missbrauchsanalyse), ADV_IMP.1, ADV_LLD.1 und ALC_TAT.1, ADO_DEL.2 (Erkennung von Manipulation)) evaluiert. Die eingesetzten Sicherheitsfunktionen erreichen die Stärke hoch. Ende der Bestätigung