Technische Richtlinie TR-03127

TR-03127
● Name, Anschrift und Email-Adresse des Dienstanbieters;
● Erwünschte Zugriffsrechte;
● Zweck der Datenübermittlung;
● Hinweis auf die für den Dienstanbieter zuständige Datenschutzbehörde;
● Gültigkeitszeitraum des Zertifikates
Werden für spezielle Funktionen Authenticated Auxiliary Data übertragen (Abfragedatum für Altersverifikation,
Gemeindeschlüssel für Wohnortabfrage), so müssen auch diese angezeigt werden.
Der Benutzer hat die Möglichkeit, die vom Dienstanbieter durch das Zertifikat erbetenen Zugriffsrechte
weiter einzuschränken. Die eingeschränkten Rechte werden als Bestandteil des nachfolgenden
PACE-Protokolls an den Chip übertragen.
Da PACE einen sicheren Kanal zwischen Chip und lokalem Terminal aufbaut, wird die Kommunikation
zwischen Dienstanbieter und Chip in den nachfolgenden Authentisierungsschritten (Terminalauthentisierung,
Passive Authentisierung, Chipauthentisierung) durch das lokale Terminal verschlüsselt
und integritätsgesichert bzw. die Antworten des Chips entschlüsselt und auf Integrität geprüft. Als Bestandteil
der Chipauthentisierung wird ein durchgehender gesicherter Kanal zwischen Chip und
Dienstanbieter aufgebaut, so dass das lokale Terminal ab jetzt die Kommandos und die Antworten nur
noch unverändert weiterreicht.
Zur Umsetzung der Online-Authentisierung (vgl. Abbildung 2) empfiehlt das BSI die Verwendung
von zertifizierten Komponenten:
● Kartenleser gemäß [TR-03119];
Lokale Software (Bürgerclient) gemäß [TR-03112];
● Komponente (eID-Server) auf Seiten des Dienstanbieters für die Kommunikation mit dem
Bürgerclient und der Berechtigungs-PKI (Abschnitt 5.2) gemäß [TR-03130].
Zur Zertifizierung der Komponenten siehe auch Anhang A.
24 Bundesamt für Sicherheit in der Informationstechnik