Der neue Personalausweis Status und Einsatzszenarien. 4. Oktober 2010 I Mark Rüdiger

Transkript

1 Der neue Personalausweis Status und Einsatzszenarien 4. Oktober 2010 I Mark Rüdiger

2 Agenda Zeitplan zur Einführung des neuen Personalausweises (npa) verfügbare Daten des npa und Anforderungen zur Nutzung sicherer Zugriff auf die Daten des npa eid-service der Bundesdruckerei GmbH Aktuelle und zukünftige Einsatz-Szenarien für den neuen Personalausweis I eid-service der Bundesdruckerei GmbH I Folie 2

3 Einführung neuer Personalausweis Mit der Einführung des neuen Personalausweises werden die Funktionen des bisherigen Personalausweises um zusätzliche Funktionen ergänzt: epassport: Authentifizierung im hoheitlichen Bereich eid: Authentifizierung im E-Business- und E-Government (Lesen von Daten und Alters-/Wohnortvergleich) esign: elektronische Signatur (opt.) I eid-service der Bundesdruckerei GmbH I Folie 3

4 Zeitplan bis zur Einführung / 3. Lesung Bundestag Start Registrierung zentral koord.& offener Anwendungstest Durchgang Bundesrat Ende Registrierung für zentral koord. Anwendungstest Ende Mai 2009 Auswahl Teilnehmer zentral koord. Anwendungstest 1. Quartal 2009 Information zur Teilnahme am Feldtest 2. Quartal 2009 Auswahl Ausweisbehörden Feldtest Start zentral koord. Anwendungstest Ende Sept Entwurf Rechtsverordnungen 1.Quartal 2010 Start Feldtest Start offener Anwendungstest Februar 2010 Zustimmung Bundesrat Personalausweisverordnung 2. Quartal 2010 Bericht Feldtest Start Beantragung von Berechtigungszertifikaten Ende Juni 2010 Bericht Anwendungstest Einführung neuer Personalausweis Inkrafttreten von Gesetz und Verordnungen Ende Anwendungstest I eid-service der Bundesdruckerei GmbH I Folie 4

5 Agenda Zeitplan zur Einführung des neuen Personalausweises (npa) verfügbare Daten des npa und Anforderungen zur Nutzung sicherer Zugriff auf die Daten des npa eid-service der Bundesdruckerei GmbH Aktuelle und zukünftige Einsatz-Szenarien für den neuen Personalausweis I eid-service der Bundesdruckerei GmbH I Folie 5

6 Welche Daten stehen zur Verfügung? Familienname Vornamen Doktorgrad Tag der Geburt Ort der Geburt Anschrift PLZ (neu) Dokumentenart Abkürzung D Bundesrepublik Deutschland Angabe, ob ein bestimmtes Alter unter oder überschritten wird Angabe, ob ein Wohnort dem abgefragten Wohnort entspricht Ordensname, Künstlername I eid-service der Bundesdruckerei GmbH I Folie 6

7 Datensparsamkeit Alters-/Ortsvergleich Dienstanbieter fragt an, ob Ausweisinhaber älter als ein Vergleichsdatum ist oder in einem bestimmten Bereich wohnt Datum und Adresse werden hierbei nicht ausgelesen nur benötigte Information wird freigegeben älter als 16 Jahre? I eid-service der Bundesdruckerei GmbH I Folie 7

8 Anforderungen zur eid-nutzung Web-Portal-Betreiber Web-Portal (SSL) unter Einbindung der eid Berechtigungszertifikat (über Antrag beim Bundesverwaltungsamt vom ZDA) eid-server (Eigenbetrieb) oder eid-service (Bundesdruckerei-Modell) Übernahme der ID-Daten in eigene Anwendung ggf. Prozessvereinfachung Kunde/User neuer Personalausweis AusweisApp (kostenfrei verfügbar) Rechner oder CE mit Internetzugang und Browser Kartenterminal (BSI TR-03119) I eid-service der Bundesdruckerei GmbH I Folie 8

9 Agenda Zeitplan zur Einführung des neuen Personalausweises (npa) verfügbare Daten des npa und Anforderungen zur Nutzung sicherer Zugriff auf die Daten des npa eid-service der Bundesdruckerei GmbH Aktuelle und zukünftige Einsatz-Szenarien für den neuen Personalausweis I eid-service der Bundesdruckerei GmbH I Folie 9

10 Schutz vor unberechtigtem Auslesen Password Authenticated Connection Establishment (PACE) durch PIN geschützte Aushandlung eines Schlüssels - ohne Kenntnis der PIN keine Kontaktaufnahme möglich verzögerte PIN-Eingabe - Denial-of-Service gegen PIN ist nicht möglich Eingabe der PIN Zugriff auf den Chip I eid-service der Bundesdruckerei GmbH I Folie 10

11 Schutz vor Mithören und Verändern der Kommunikation Secure Messaging Aushandeln eines kryptographischen Schlüssels zwischen Lesegerät und Chip mittels PACE und Chip Authentication Schutz von Vertraulichkeit und Authentizität der Kommunikation mit diesen Schlüssel I eid-service der Bundesdruckerei GmbH I Folie 11

12 Schutz vor unberechtigtem Zugriff Terminal Authentication Eine Challenge des Chips wird mit dem privaten Schlüssel des Terminals signiert. Der Chip kann diese Signatur mit dem öffentlichen Schlüssel des Terminals verifizieren. Die Authentizität dieses öffentlichen Schlüssels wird durch eine Kette von Zertifikaten bis zu einem während der Personalisierung in den Chip eingebrachten Vertrauensanker sichergestellt. Nur berechtigte Parteien können die Daten lesen, Leserechte können für einzelne Daten erteilt werden Terminal Authentication I eid-service der Bundesdruckerei GmbH I Folie 12

13 Schutz der Authentizität Chip Authentication Bei der Chip Authentication werden mit der Diffie-Hellman-Schlüsselvereinbarung neue Sitzungsschlüssel erstellt. Dabei verwendet der Chip ein statisches Schlüsselpaar, dessen Authentizität durch eine digitale Signatur des öffentlichen Schlüssels geschützt ist. Die Signatur kann mit Hilfe von Zertifikaten im Rahmen der Passive Authentication verifiziert werden. Die Zertifikate für diese Prüfung müssen dem Lesegerät auf authentischem Wege bekannt gemacht werden. Chip Authentication I eid-service der Bundesdruckerei GmbH I Folie 13

14 Agenda Zeitplan zur Einführung des neuen Personalausweises (npa) verfügbare Daten des npa und Anforderungen zur Nutzung sicherer Zugriff auf die Daten des npa eid-service der Bundesdruckerei GmbH Aktuelle und zukünftige Einsatz-Szenarien für den neuen Personalausweis I eid-service der Bundesdruckerei GmbH I Folie 14

15 eid-service - Übersicht eid-service als Dienstleistung der Bundesdruckerei GmbH eid-service als vermittelnde Instanz liest im Namen des Diensteanbieter Kundendaten aus dessen npa aus und stellt diese in verifizierbarer Form zur Verfügung international standardisierte Schnittstelle, SAML-Token eid Service wird vollständig im Hintergrund betrieben keine zusätzlichen Sicherheits-Anforderungen an IT Infrastruktur geringer Integrationsaufwand für Diensteanbieter I eid-service der Bundesdruckerei GmbH I Folie 15

16 eid-service - Prozessablauf 1: Anfrage beim Dienstanbieter 2: Weiterleitung zum eid-service 3: Identifikation und Datenermittlung 4: Rückgabe Daten 5: Bestätigung an Bürger & Geschäftsvorgang I eid-service der Bundesdruckerei GmbH I Folie 16

17 Agenda Zeitplan zur Einführung des neuen Personalausweises (npa) verfügbare Daten des npa und Anforderungen zur Nutzung sicherer Zugriff auf die Daten des npa eid-service der Bundesdruckerei GmbH Aktuelle und zukünftige Einsatz-Szenarien für den neuen Personalausweis I eid-service der Bundesdruckerei GmbH I Folie 17

18 Einsatz-Szenarien für den neuen Personalausweis User-bezogener Content an Endgeräten Computer, Smart Phone, Set-top Box, Hybrid-TV Alterscheck (anonym) oder eindeutige ID verfügbar (GwG- und SigG-Identifizierung) neue Geschäftsmodelle für Content-Provider denkbar Digitales Rechtemanagement, fehlende Übertragbarkeit Wechsel der Rechtebindung vom Gerät hin zum Kunden mobile Nutzung der Pay-TV-Lizenz durch Kopplung an npa Nutzung diverser Dienste auf verschiedenen Endgeräten Ablösung diverser accounts durch Single Sign On immer npa und PIN User-Content verlagert sich ins Netz Sicherer einheitlicher und mobiler Zugriff über verschiedenen Endgeräte Social Web Plattformen Smart Home, Zugriff ins Home-Netz I eid-service der Bundesdruckerei GmbH I Folie 18

19 Vielen Dank für Ihre Aufmerksamkeit Tel: I eid-service der Bundesdruckerei GmbH I Folie 19