Vertrauen als Bestandteil der Sicherheit im elektronischen ...

Kapitel:2 Die elektronische Signatur
handschriftlichen Unterschrift sieht der Unterzeichner aber schon vorher, was er wo
unterschreiben wird. Bei der elektronischen Signatur ist der Mensch wiederum auf
Technik angewiesen, die ihm zeigt, was er signiert hat, und ihm ebenfalls mitteilt, welche
elektronische Signatur zum Einsatz kam. Auch die Regelungen über sichere
Signaturanwendungskomponenten im Signaturgesetz schaffen keine 100%-ige Sicherheit.
Gesetze können absichtlich oder unbeabsichtigt gebrochen werden und werden
gebrochen.
Ein von allen wichtigen Web-Browsern unterstütztes Datenübertragungsverfahren, das
unter die Regelungen des Signaturgesetzes fällt, wird im nächsten Abschnitt kurz
vorgestellt.
2.3. SSL – gesicherte Onlineverbindung mittels https
Ein von einigen Anbietern von Online-Shops und fast allen Online-Banken genutztes
Verfahren zur Erhöhung der Sicherheit ist das Verschlüsseln der Verbindung zwischen
dem Kunden und dem Anbieter des Online-Geschäfts mittels des SSL-Verfahrens (Secure
Socket Layer) 3 . Die SSL Protokolle liegen zwischen dem Standarddatenübertragungsprotokoll
des Internet TCP/IP und der Anwendung, die die Funktionalitäten
von TCP/IP nutzt – im Regelfall der Web-Browser. Weder die Anwendung noch die
Transportprotokolle, die auch bei einer ungesicherten Verbindung zum Einsatz kommen,
werden durch die SSL Protokolle in ihrer Funktion gestört. Der Aufbau einer SSL
gesicherten Verbindung läuft ungefähr wie folgt ab: Die Anwendung (Benutzerseite)
fordert vom Server (z.B. angeforderte Website) ein Zertifikat und den öffentlichen
Schlüssel des Servers (asymmetrische Verschlüsselung) an. Dieses Zertifikat stammt von
einem Zertifizierungsdiensteanbieter. Die Anwendung prüft nun unter Nutzung des
öffentlichen Schlüssels, ob sie wirklich mit dem gewünschten Server verbunden ist. Sie
stellt an den Server eine verschlüsselte Anfrage, die nur der gewünschte Server
beantworten kann, da nur er den nötigen privaten Schlüssel zum entschlüsseln der
Anfrage besitzt. Außerdem verständigen sich Server und Anwendung auf einen Schlüssel
für eine symmetrische Verschlüsselung. Diese Absprache erfolgt noch mittels der
asymmetrischen Verschlüsselung. Für die restliche Verbindung wird dann eine
symmetrische Verschlüsselung genutzt. Der Schlüssel für die symmetrische
Verschlüsselung ist zur Zeit typischerweise 128 bit groß. Die Schlüssel für die
asymmetrische Verschlüsselung sind oft über 1000 bit groß. Eine Verschlüsselung mit
einem kürzeren Schlüssel ist weniger rechenaufwendig als eine Verschlüsselung mit
einem deutlich größeren Schlüssel. Die Anwendung zeigt dem Benutzer zumeist die
Nutzung einer verschlüsselten Verbindung an (in Web-Browsern z.B. durch das
Protokollkürzel https und einem Icon – beim Microsoft Internet Explorer ein
geschlossenes Vorhängeschloss, beim Netscape Navigator/Communicator ein intakter
Schlüssel und bei Opera ebenfalls ein geschlossenes Schloss).
3 Die Erklärungen dieses Abschnitts beruhen zu einem großen Teil auf den Erläuterungen von SSL.DE
Security Server Deutschland, http://www.ssl.de/ssl.html, besucht am 19.05.2003
Vertrauen als Bestandteil der Sicherheit im elektronischen Geschäftsverkehr 13