Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

10.6. PKI-PRAXIS
des ITU-Standards X.509 definiert ist. Dieses flexible Format hat sich in seiner Version 3 (X.509v3)
von 1997 [X.509] als Standardformat bei den meisten Anwendungen etablieren können.
Daneben existiert mit SSL (Secure Socket Layer) bzw. dessen designiertem Nachfolger TLS (Transport
Layer Security) [TLS] im Bereich des sicheren Zugriffs auf Web-Server und der Authentifizierung
solcher Server bereits ein weitverbreitetes Public-Key-basiertes Protokoll, das sich grundsätzlich
auch zur Absicherung anderer, von Hause aus unsicherer Protokolle wie z.B. SMTP oder FTP verwenden
läßt. An einem umfassenderen, nicht anwendungsspezifischen Konzept und entsprechenden
Protokollen für eine allgemein nutzbare X.509-basierte Public-Key-Infrastruktur arbeitet die PKIX-
Arbeitsgruppe 7 der Internet Engineering Task Force (IETF). Sie hat dazu bereits einige Vorschläge in
Form von informational bzw. draft RFCs vorgelegt. (Einen guten Überblick über die diversen Drafts
gibt [PKIX Roadmap].)
10.6.2 Existierende Infrastruktur
Bereits vor den ersten Entwürfen zum deutschen Signaturgesetz (vgl. 10.6.3) gab es Zertifizierungsstellen,
Trustcenter und ganze Public-Key-Infrastrukturen in der Bundesrepublik Deutschland. Als
Beispiele für nichtkommerziell betriebene CAs bzw. PKIs sollen hier die DFN-PCA 8 , die pgpCA der
Computerzeitschrift c’t 9 , die „Trustfactory“ der GMD 10 und die Zertifizierungshierarchie des Individual
Network 11 dienen. Sie stellen PGP- und/oder X.509-Zertifikate aus. Auch kommerziell tätige
CAs/Trustcenter gab es bereits vor dem Entwurfsstadium des Signaturgesetzes. So sind z.B. TC Trust-
Center for Security in Data Networks GmbH 12 , Hamburg, die Competence Center Informatik (CCI)
GmbH 13 , Meppen, die IKS GmbH 14 , Jena, und das Produktzentrum Telesec der Deutschen Telekom
AG 15 , Netphen, bereits seit einiger Zeit am Markt tätig.
Seit Inkrafttreten des Signaturgesetzes 1997 hat bislang erst ein Unternehmen die Genehmigung als
gesetzeskonforme Zertifizierungsstelle erhalten: die Deutsche Telekom für ihre Telesec-Tochter (s.o.).
In Kürze dürfte mit der PostCom-Tochter der Deutsche Post AG eine zweite SigG-CA hinzukommen.
Weitere Bewerber bzw. Interessenten stehen bereits in den Startlöchern; zu ihnen zählen D-Trust
(Tochter von debis und Bundesdruckerei), DE-CODA des DIHT, TC Trustcenter, DATEV, TÜV-IT
u.a.
Neben den CAs bzw. Trustcentern gab und gibt es eine ganze Reihe von Forschungs- und Pilotprojekten,
die sich mit verschiedenen Aspekten von Publik-Key-Zertifizierung und -Infrastrukturen befass(t)en.
Zu nennen sind hier u.a. das Projekt DFN-PCA des DFN-Vereins, der Pilotversuch SPHINX,
in dessen Rahmen sichere „Ende-zu-Ende-Kommunikation“ für die Bundesverwaltung etabliert werden
soll (vergleichbare Projekte gibt es auch auf Landesebene in einzelnen Bundesländern), der Einsatz
von Public-Key-Verfahren im Hochschulverwaltungsbereich an der FernUniversität Hagen oder
die Kooperation der TC Trustcenter GmbH mit den Hamburger Meldestellen, die in diesem Rahmen
neben herkömmlichen Ausweisen auch Public-Key-Zertifikate an interessierte Bürger ausgeben sollen.
7 http://www.ietf.org/html.charters/pkix-charter.html
8 http://www.pca.dfn.de/dfnpca/
9 http://www.heise.de/ct/pgpCA/
10 http://www.darmstadt.gmd.de/trustfactory/
11 http://www.in-ca.individual.net
12 http://www.trustcenter.de
13 http://www.cci.de
14 http://www.iks-jena.de
15 http://www.telesec.de
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 157