Einsatzmöglichkeiten kryptographischer Methoden zur Signatur und ...

der Authentizität der öffentlichen Schlüssel. Eine Signatur ist ohne die Gewissheit,
durch wen sie erstellt wurde, nichts wert. So muss z.B. bei der Signatur eines Befundes
im Krankenhaus zweifelsfrei klar sein, wer die Signatur erstellt hat. Falls
keine Überprüfung möglich ist, könnte ein Unbekannter Diagnosen stellen oder
Behandlungen veranlassen. Noch folgenreicher könnte es sein, wenn ein Unbekannter
vorgibt im Namen eines bestimmten (existierenden) Arztes zu handeln und Fehlentscheidungen
zu Konsequenzen für den betroffenen Arzt – und schlimmer noch für
den Patienten - führen würden.
Diese Bindung eines öffentlichen Schlüssels an eine bestimmte Person geschieht
dadurch, dass eine vertrauenswürdige Stelle (Certification Authority, CA) eine
Überprüfung der Identität einer Person (z.B. durch Vorlage des Personalausweises
oder eines Dienstausweises) feststellt und den von ihr mitgebrachten öffentlichen
Schlüssel mit einem Zertifikat versieht. Dieses Zertifikat besagt, dass der Schlüssel
und der angegebene Name wirklich zu der genannten Person gehören. Dies wird
durch das Signieren des öffentlichen Schlüssels, der außer dem kryptographischen
Schlüssel eben auch noch die Identität des Eigentümers enthält, erklärt.
Damit man diese CA zur Überprüfung der Identität nutzen kann, ist es notwendig
den öffentlichen CA-Schlüssel auf einem sicheren Weg zu erhalten und in das eigene
Verschlüsselungssystem zu integrieren, sodass ab diesem Zeitpunkt alle Schlüssel,
die ein Zertifikat dieser Stelle tragen, als authentisch angesehen werden können.
Es gibt verschiedene Arten einer Zertifizierungsinfrastruktur. In einer flachen
Struktur gibt es eine einzige zentrale Stelle, welche alle Zertifikate ausstellt. Dies
könnten in der MHH z.B. die Rechtsabteilung, Personalabteilung (insbesondere für
die Schlüssel der Mitarbeiter), das Rechenzentrum oder die Medizinische Informatik
sein. Es ist auf jeden Fall darauf zu achten, dass in der verantwortlichen Abteilung
das notwendige (Hintergrund-) Fachwissen für die ordnungsgemäße Durchführung
vorhanden ist.
Abbildung 4-1: Flache Struktur [NiSc2001]
In einer hierarchischen Struktur gibt es eine zentrale CA (Root-CA, z.B. die
Policy Certification Authority des DFN-Vereins „Verein zur Förderung eines deutschen
Forschungsnetzes“, DFN PCA), welche wiederum Zertifikate für weitere
CAs erstellt (beispielsweise die der MHH). Dabei ist es nun ausreichend, wenn man
14