Technische Richtlinie TR-03127

4.5 Online-Authentisierung
TR-03127
Die Online-Authentisierung, d.h. die Authentisierung gegenüber einem Dienstanbieter über ein Netzwerk
(Internet), ist ein Spezialfall eines Zugriffs durch ein Authentisierungsterminal. Hier wird die
Rolle des Authentisierungsterminals aufgeteilt auf das lokale Terminal (bestehend aus Lesegerät und
lokalem Rechner einschließlich der benötigten Software) und auf den Dienstanbieter als entferntem
Terminal. Voraussetzung für die eigentliche Online-Authentisierung ist eine bestehende Verbindung
zwischen lokalem Terminal und entferntem Terminal (Dienstanbieter), beispielsweise in Form einer
https-Verbindung.
Eine Online-Authentisierung läuft in folgenden Schritten ab:
Chip Lokales Terminal Dienstanbieter
Übertragen des Dienstanbieterzertifikats
Präsentation des Zertifikats
Einschränken der Zugriffsrechte durch Benutzer
Eingabe der eID-PIN
Lesen der Datei EF.CardAccess
PACE mit eID-PIN als Passwort (Abschnitt 3.1.1)
Übertragen der vollständigen Zertifikatskette
Terminalauthentisierung (Abschnitt 3.1.2)
Lesen der Datei EF.CardSecurity
Chipauthentisierung (Abschnitt 3.1.4)
Passive Authentisierung
(Abschnitt 3.1.3)
Lesen des Sperrmerkmals (Abschnitt 4.2.2), Abfrage der Dokumentengültigkeit (Abschnitt 4.2.1)
Auslesen der freigegebenen Daten (Abschnitt 3.2.2),
Ausüben der speziellen Rechte (Abschnitt 4.2.3)
Sperrlistenabfrage
(Abschnitt 5.3)
Im zweiten Schritt wird das Zertifikat des Dienstanbieters einschließlich der Informationen über
Dienstanbieter und Verwendungszweck (siehe Abschnitt 5.2.1) dem Benutzer durch die lokale Software
präsentiert. Mindestens angezeigt werden müssen:
Abbildung 2: Kommunikationsbeziehungen Online-Authentisierung
Bundesamt für Sicherheit in der Informationstechnik 23