Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 10. PUBLIC-KEY ZERTIFIZIERUNGEN
Auch auf EU-Ebene wurde und wird in mehreren Projekten zu Public-Key-Verfahren, -Infrastrukturen
und Trustcentern geforscht bzw. werden digitale Signaturen und Zertifikate bereits im Wirkbetrieb
eingesetzt:
¯ Das Projekt ICE-TEL und sein Nachfolge-Projekt ICE-CAR 16 befassen sich mit dem Aufbau
einer Zertifizierungsinfrastruktur für Europa und der Entwicklung und Förderung entsprechender
Anwendungen in Wissenschaft, Wirtschaft und Verwaltung.
¯ Im EUROTRUST-Projekt 17 wird ein ähnliches Ziel wie in ICE-CAR verfolgt (Aufbau einer
CA/TTP-Infrastruktur), wobei der Schwerpunkt stärker auf den kommerziellen Aspekten des
CA-Betriebs sowie auf key recovery bzw. key escrow (vgl. 10.4.2) liegt als bei ICE-CAR.
¯ Alcatel und die Belgische Firma GlobalSign wurden Ende Februar 1999 von der EU-Kommission
damit beauftragt, ein mit Public-Key-Verfahren abgesichertes Kommunikationsnetz zwischen
Regierungen und Verwaltungen der EU-Mitgliedsstaaten aufzubauen. 18
¯ Die Europäische Kommission will die Verwendung elektronischer Kommunikation in Verbindung
mit ihrem Fünften Rahmenprogramm (FP5) fördern. Aus diesem Grund bietet sie die
Möglichkeit, Projekt-Vorschläge komplett auf elektronischem Wege einreichen zu können. Mittels
digitaler Zertifikate und kryptographischer Verfahren werden dabei Authentizität und Vertraulichkeit
der elektronisch eingereichten Proposals sichergestellt. Der FP5-Zertifizierungsdienst
bietet dazu kostenlos digitale Zertifikate für die elektronische Kommunikation mit der
Europäischen Kommission an. 19
10.6.3 Gesetzgebung
Für den Betrieb einer Zertifizierungsstelle sind viele gesetzliche Vorschriften relevant. Die wichtigsten,
weil am konkretesten auf Zertifizierungsstellen abzielenden, sind das deutsche Signaturgesetz
mit der zugehörigen Signaturverordnung und die EU-Richtlinie zur elektronischen Signatur. (Daneben
sind natürlich auch die Datenschutzgesetze zu berücksichtigen.)
Signaturgesetz
Das Gesetz zur digitalen Signatur [SigG], auch Signaturgesetz oder kurz SigG, ist seit 1. August 1997
in Kraft. Es zielt darauf ab, Rahmenbedingungen zu schaffen, „unter denen digitale Signaturen als
sicher gelten und Fälschungen digitaler Signaturen oder Verfälschungen von signierten Daten zuverlässig
festgestellt werden können“ (§ 1 Abs. 1) – insofern ist es eher ein „Sicherungsinfrastruktur-
Gesetz“ als ein „Signaturgesetz“. Die Verwendung anderer Verfahren stellt das SigG ausdrücklich
frei.
Das Signaturgesetz sieht eine zweistufige Zertifizierungshierarchie vor: Auf oberster Ebene befindet
sich die „zuständige Behörde“ genannte Wurzelzertifizierungsinstanz, die die eigentlichen, privatwirtschaftlich
betriebenen Zertifizierungsstellen (zweite Ebene) zertifiziert. Diese wiederum stellen
16 http://ice-car.darmstadt.gmd.de/
17 http://www.baltimore.ie/projects/eurotrust.html
18 http://www.globalsign.net/company/press/alcatel.htm
19 http://fp5-csp.org/news.html
158 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen