Studie - E-Government Innovationszentrum

Evaluierung mobiler Signaturlösungen auf Smartphones
Studie Klassifizierungen
2 Klassifizierungen
Im Laufe der Jahre wurden verschiedene Ansätze erarbeitet, wie mobile Signaturen durch
oder mit Hilfe von mobilen Endgeräten umgesetzt werden könnten. Einige dieser Ansätze
blieben rein theoretischer Natur, die meisten wurden zumindest prototypisch umgesetzt und
im Rahmen von Pilotanwendungen getestet und evaluiert. Nur wenige Vorschläge schafften
es schließlich eine breite Akzeptanz und den Weg in eine produktive Anwendung zu finden.
In zahlreichen wissenschaftlichen Publikationen wird versucht, die Vielzahl von Ansätzen zur
Erstellung mobiler Signaturen entsprechend zu klassifizieren, um einen Überblick über die
verschiedenen Verfahren zu gewinnen. Abhängig von den Autoren bzw. vom
Veröffentlichungszeitraum dieser Publikationen können die vorgenommenen
Klassifizierungen durchaus unterschiedlich ausfallen. Eine qualitative Bewertung der
verschiedenen Ansätze zur Klassifizierung mobiler Signaturerstellungsverfahren erscheint
schwierig. Im Folgenden sollen daher Klassifizierungen, die in verschiedenen
wissenschaftlichen Publikationen von verschiedenen Autoren vorgenommen wurden, kurz
vorgestellt werden.
2.1
Klassifizierung nach Rossnagel (2004)
Bereits im Jahr 2004 verwendet u.a. Rossnagel eine grundlegende Klassifizierung von
Methoden der mobilen Signaturerstellung [9], indem er diese in serverseitige (server based)
und clientseitige (client based) Verfahren unterteilt. Die Unterscheidung erfolgt gemäß dem
Ort der Signaturerstellung. Bei serverseitigen Verfahren wird die elektronische Signatur in
einem zentralen Server berechnet. Bei clientseitigen Lösungen kommt dafür das mobile
Gerät des Benutzers zur Anwendung. Abbildung 1 zeigt die von Rossnagel in [9] verwendete
Klassifizierung mobiler Signaturerstellungsansätze.
Serverseitige mobile
Signatur
Mobile Signatur
– 9 –
Clientseitige mobile
Signatur
Serverzertifikat Benutzerzertifikat Dual-Chip Lösung Dual-Slot Lösung Integrierte Lösung
Abbildung 1. Klassifizierung mobiler Signaturen nach Rossnagel.
Bei serverseitigen mobilen Signaturlösungen unterscheidet Rossnagel in weiterer Folge zwei
Varianten bezüglich des verwendeten Signaturzertifikats. Soll zur Signaturerstellung ein auf
den Benutzer ausgestelltes Zertifikat verwendet werden, muss dieses und der private
Signaturschlüssel des Benutzers zunächst an den Server übertragen werden. Rossnagel
schließt, dass dies den Anforderungen an eine qualifizierte Signatur gemäß Signaturrichtlinie
[7] widerspricht. Die Gruppe, die auch die Schutzprofile zu sicheren
Signaturerstellungseinheiten (SSCD) erstellt hat, war schon in den im Jahr 2002
veröffentlichten Umsetzungsrichtlinien zu SSCDs 11 der Meinung, dass die Implementierung
von Signaturservern technisch möglich sind und nicht der Richtlinie widersprechen. Einzig
das Schutzprofil ist nicht an solchen Diensten orientiert. Zu einem ähnlichen Schluss kommt
2005 mit FESA die Vereinigung der Aufsichtsstellen zur Signatur [24]. Mit der Einführung der
Handy-Signatur in Österreich wurde endgültig gezeigt, dass serverbasierte
11 ftp://ftp.cenorm.be/PUBLIC/CWAs/e-Europe/eSign/cwa14355-00-2004-Mar.pdf