SuisseID so what? ISACA After Hours Seminar Zürich, 28. Juni 2011 Marc Zweiacker marc.zweiacker@zweiacker.com 1
Zur Person Marc Zweiacker Zweiacker IT Management Informatik-Ingenieur ETH (CISA) Beratung und Leitung von IT Projekten für die öffentliche Verwaltung Leitung TP Funktionsnachweis im SuisseID Projekt 2010 Leitung AGr Sicherheit im Trägerverein SuisseID (aktuell) 2
Agenda 1. SuisseID Projekt, Ziele und Rahmenbedingungen 2. Einsatzszenarien 3. Elektronische Bestätigungen aus Registern 4. Entwicklungspotential 5. Sicherheit und Datenschutz 3
Herausforderung: Sicherheit und Vertrauen Web-Gretchenfrage Welche Person? in welcher Funktion? mit welchen Vollmachten und Berechtigungen? 4
Projektziele (2010) Anlass: 3. Konjunktur-Stabilisierungspaket (Sept. 2009) Man will dem el. Geschäftsverkehr zum Durchbruch verhelfen (Überwindung des Deadlocks Id-vs-App) Mittel für sicheren Identitätsnachweis bereitstellen Anwendungen fördern, die damit umgehen können Funktionsnachweise fördern/bereitstellen 5
Rahmenbedingungen Kein e-id Projekt, sondern Wirtschaftsförderung Kaufpreis-Subvention im Umfang von total CHF 17 Mio. Subventions-Zeitfenster: bis Ende 2010 Hoher Zeitdruck, hohe Erwartungen Keine spezielle gesetzliche Grundlage (ausser Subventionsgesetz) 6
Einordnung SuisseID 7
Scope e-karten-funktionalitäten (ECC) Klassischer Reiseausweis (Sichtausweis) Identity und Access - Funktionen: - Identitätsnachweis (Authent. & IdP) - El. Signatur Basierend auf bisheriger, gesetzlich geregelter Signaturkarte Auf beliebigem Träger kombinierbar Biometrischer Reiseausweis ehealth- Funktionen 8
SuisseID Framework 1. Schlüssel & Zertifikat für qualifizierte Signatur (QC) 2. Schlüssel & Zertifikat für Authentisierung (AC) 3. SuisseID-Nummer (16 Stellen) 4. Identity Provider Service (IdP) Authentication AC Non Repudiation QC core IdP 1200-8301-5378-8409 9
Produkte Formfaktor frei (SmartCard, USB-Token) bereitgestellt von einem der vier anerkannten CSPs (SwissSign/Post, QuoVadis, Swisscom, BIT) 10
Agenda 1. SuisseID Projekt, Ziele und Rahmenbedingungen 2. Einsatzszenarien 3. Elektronische Bestätigungen aus Registern 4. Entwicklungspotential 5. Sicherheit und Datenschutz 11
Option 1: Signaturkarte Signer 12
Option 2: Traditioneller Smartcard-Einsatz Online Service 13
Option 3: Bestätigung der Personalien core IdP (Ausweisdaten) 2 Name: Felix Muster Geb.datum: 1.1.1978 Pass-Nr: C9295499 Heimatort: Winterthur 1 3 Online Service 14
Option 3: Bestätigung der Personalien User Centric Design Anfragende Applikation SuisseID Inhaberdaten Erbetene Ausweisdaten Bestätigung 15
Option 3: Bestätigung der Personalien Anonymisierte abgeleitete Personalien 16
Agenda 1. SuisseID Projekt, Ziele und Rahmenbedingungen 2. Einsatzszenarien 3. Elektronische Bestätigungen aus Registern 4. Entwicklungspotential 5. Sicherheit und Datenschutz 17
Option 4: Funktionsnachweis (Claim Assertion Services) CAS (Registerdaten) 2 Name: UID: Company: Function: Marc Zweiacker CHE-109.540.496 Zweiacker IT Management Inhaber 1 3 Online Service 18
Option 4: Funktionsnachweis (Claim Assertion Services) CAS (Registerdaten) 1 Name: UID: Company: Function: Marc Zweiacker CHE-109.540.496 Zweiacker IT Management Inhaber 2 3 Signer 19
CAS Projekte (Claim Assertion Services) Core IdP für Ausweisdaten Register der Urkundspersonen (Notarenregister) CAS-SuisseTrust (Firmenregister) myidp (FH Bern) Demoregister (SECO) Potential für Medizinisches Personal, Anwälte, Verwaltungen, Behördenregister, u.v.m. 20
Agenda 1. SuisseID Projekt, Ziele und Rahmenbedingungen 2. Einsatzszenarien 3. Elektronische Bestätigungen aus Registern 4. Entwicklungspotential 5. Sicherheit und Datenschutz 21
SuisseID Stand Interesse und Anwendungen SuisseID Anwendungen Über 220 Anwendungen online, vorwiegend B2B/B2G Kommunale und kantonale Portale Mitgliederkarte des Anwaltsverbandes MWST, AHV, für dieses Jahr geplant Verkauf > 20 000 an private Einzelabnehmer > 250 000 an Grossabnehmer (Projekte, Aktionen, ) 17 Mio. Subventionstopf ist ausgeschöpft 22
SuisseID Internationales Potential? STORK Kompatibilität Europäisches Projekt zur Integration unterschiedlicher e-id Systeme Ziel: Länderübergreifende Identifikation/Authentisierung European Citizen Card (ECC) Werden vom Staat ausgegeben Sind gültige Ausweisdokumente (Pass, Identitätskarte) Sichtausweis 23
Wo stehen wir Es gibt ein verbreitetes, standardisiertes Mittel für die starke Authentisierung und rechtsgültige digitale Signatur Verein Trägerschaft SuisseID ist gegründet; 4 Provider, SECO als Mitglieder; viele Fördermitglieder Arbeitsgruppen: Spezifikation, Sicherheit, Marketing, Internationales Grosse Zukunft wird den Funktionsregistern zugebilligt Mögliche Zukunft: SuisseID als "ID-Driver" für Identitätskarte, Pass, ehealth, u.v.m. 24
Agenda 1. SuisseID Projekt, Ziele und Rahmenbedingungen 2. Einsatzszenarien 3. Elektronische Bestätigungen aus Registern 4. Entwicklungspotential 5. Sicherheit und Datenschutz 25
Bestmögliche Wahrung des Datenschutzes Verzicht auf Personenidentifikator (AHVN13) Nur minimale identifizierende Attribute im Zertifikat Genauere Personendaten sind nur vom Inhaber abrufbar Personalien (IdP-Attribute) sind einzeln abrufbar, einige Attribute wahren die Anonymität ("ist über 18") Benutzer kann den Provider (des Vertrauens) auswählen, wie seine Bank, Versicherung oder Kreditkartenunternehmen Eine Person kann mehrere SuisseIDs haben und je Kontext (Staat, Shopping, Versicherung) einsetzen Grundsätzlich auch pseudonyme Zertifikate möglich 26
Sicherheit der SuisseID "Verseuchter" PC als Prämisse Angriffsvektoren en masse (Kartenleser, Mensch, Chip, ) Fazit: An sich bekannte und akzeptierte Probleme von Smartcards, aber neues (mediales) Tummelfeld SECO resp. Trägerverein nimmt sich dem Thema Sicherheit aktiv an (nachdem ein medialer "GAU" vorausgegangen war) Kooperation mit Sicherheitsorganisationen (Erkenntnisgewinn, "Eisbrecher") 27
Sicherheit der SuisseID Studie zu Angriffsvektoren 28
Sicherheit der SuisseID Angriffsvektor "Lesegerät" "Einfache" Lesegeräte (Klasse 1) sind einfach zu bedienen, bieten jedoch Angriffsflächen Demos von "gehackten" SuisseIDs sind alltäglich Aber: Wovor müssen wir uns wirklich fürchten? Derzeit untersuchen wir: Rechtliche Folgen (jur. Gutachten) und techn. Risikobetrachtung 29
AGr Sicherheit im Trägerverein SuisseID Derzeitige Schwerpunkte Ländervergleich von e-id Systemen Rechtsgutachten des Bundesamtes für Justiz Risikobetrachtung anhand erfundener Missbrauchsszenarien Aktueller Stand: Einbezug von Sicherheitsexperten nötig. Workshop für Sommer geplant. 30
Besten Dank für Ihr Interesse 31