Informationsmanagement

Popp Informationsmanagement 77
• Bonner Regulierungsbehörde für Post und Telekommunikation kontrolliert und beglaubigt die
privaten und öffentlichen Zertifizierungsstellen. Diese werden dadurch zu vertrauenswürdigen Instanzen
für Anbieter und Anwender.
• Im System von Kontrollen und Gegenkontrollen beglaubigen die Zertifizierungsstellen die Identität
der Geschäftspartner im Netz.
• Damit ein Anwender einmal seine Identität feststellen lassen kann, geht er zu einer Registrierungsstelle
(Läden der Telekommunikationsanbieter, Postfilialen, Einwohnermeldeämter), die
seine Daten (Geburtsdatum, Name, Wohnung) an den übergeordneten Zertifizierer weiterleitet.
• Die Zertifizierungsstelle errechnet (mit RSA- und EI-Gama1-Algorithmen) einen öffentlichen
und einen privaten Schlüssel für den Kunden. Dieses Schlüsselpaar gehört untrennbar zusammen,
wird aber getrennt eingesetzt.
• Der private Schlüssel bleibt geheim, wird auf der Chipkarte gespeichert und ist nicht auslesbar.
Er signiert die zu versendenden Dokumente.
• Der Empfänger überprüft mit dem beglaubigten öffentlichen Schlüssel (dieser wird entweder
mitübertragen oder aus der Datenbank der Zertifizierungsstelle abgerufen) das empfangene
Dokument.
• Die digitale Signatur ist rechtsverbindlich und schafft so Vertrauen zwischen Geschäftspartnern
im Netz
• Der Benutzer kann an jedem Computer, der mit einem entsprechenden Chipkartenleser (zusätzliche
Laufwerke im PC oder diskettenförmiger Adapter in 3,5-Zoll-Diskettenlaufwerk) und der benötigten
Software ausgestattet ist, digital signieren.
• Bisher größte Sicherheitslücke ist der Verlust der Chipkarte. Dann muß man seine digitale Signatur
sperren. Um diesen Sperren zu überprüfen, müssen die Zertifizierungsstellen Verzeichnisdienste
nach der Norm X.509v3 führen.
4.2.3.2.6 Zertifikate
Ein Zertifikat ist eine nachprüfbare Aussage einer Person über einen Sachverhalt. In der Online-Welt
finden wir Zertifikate für den Authentizitätsnachweis öffentlicher Schlüssel (heute die häufigste
Anwendung) oder auch ansatzweise im Bereich von Qualitätszertifikaten („Best Home Page“, „Cool
Java Applet“ etc.). In diesem Bereich besteht jedoch weder eine Standardisierung der Attribute noch
eine auf öffentlichen Schlüsseln basierende Infrastruktur.
Ein Zertifikat (...) ist eine mit einer digitalen Signatur versehene digitale Bescheinigung über die Zuordnung
eines öffentlichen Signaturschlüssels zu einer natürlichen Person (Signaturschlüssel-
Zertifikat) oder eine gesonderte digitale Bescheinigung, die unter eindeutiger Bezugnahme auf ein
Signaturschlüssel-Zertifikat weitere Angaben enthält (Attribut-Zertifikat). [SigG, §2(3)]
Im Internet werden elektronische Zertifikate heute für den Nachweis der Zugehörigkeit eines öffentlichen
Schlüssels zu einer Person verwendet.
Die Internet-Lösung besteht daher im Einsatz einer vertrauenswürdigen dritten Partei (engl. Trusted
Third Party, TTP). Im Internet hat sich bei der Verwaltung von Zertifikaten für öffentliche Schlüssel
der Begriff der Zertifizierungsautorität durchgesetzt (engl. Certificate Authority, CA). Diese genießt
so hohes Vertrauen, dass ihre Aussagen von allen Nutzern als gültig angenommen werden können.
Eine Aussage der CA kann damit also sein: „Dieser öffentliche Schlüssel gehört Michael Merz“.
Wird diese Aussage noch von der CA unterschrieben, liegen bereits die wesentliche Merkmale eines
elektronischen Zertifikats vor.
Die Aufgaben der CA bestehen dabei in der Verwaltung von Zertifikaten. Dazu zählen folgende
Funktionen:
� Einrichtung von Prozeduren zur Registrierung einer Person und ihres öffentlichen Schlüssels
� Schaffung eines Online-Dienstes zur automatischen Verifikation von Schlüsseln anhand von Zertifikaten
� Verwaltung von Schwarzen Listen für ungültige Zertifikate
Das Angebot an personalisierten Chipkarten auf dem Markt
Trust Center Privatanwender Kosten: Unternehmen/Behörden
Summe für