Kryptographie
 
Freitag, 3. Dezember 2004
Zertifizierungstellen
Zuvor noch ein kurzer Überblick über diesen Text, der zuerst einige allgemeine Fragen klärt und dann speziell auf Zertifizierungsstellen eingeht: ---

1. Sinn und Nutzen der Zertifikate und der Zertifizierungsstellen(=Zertifizierungsdiensteanbieter)

Zur Anwendung des asymetrischen Verschlüsselungsverfahren wird ein öffentlicher Schlüssel verschickt, damit der Empfänger der Botschaft diese entschlüsseln kann. Das Problem, dass sich dabei ergibt, ist, dass der Empfänger aber nicht weiß, ob der öffentliche Schlüssel auch wirklich von dem angegebenen Sender stammt und nicht von einem unbekannten Dritten. Deshalb ist es möglich, sich durch ein Zertifikat den versandten öffentlichen Schlüssel als den eigenen garantieren zu lassen. Die Vergabe, Überprüfung, Widerruf und Erneuerung eines solchen Zertifikats ist Aufgabe der Zertifizierungsstellen, auch Certificate Authority (CA), genannt.

Damit eine Organisation oder Person (Sender) für ihren Schlüssel ein Zertifikat erhält, wird diese von den Zertifizierungsstellen mit einem strengen Verfahren authentifiziert und überprüft.

Die Zertifikate enthalten erstens „Informationen über den Namen des Inhabers, dessen öffentlichen Schlüssel, eine Seriennummer, eine Gültigkeitsdauer und den Namen der Zertifizierungsstelle“ (Wikipedia) und zweitens den privaten Schüssel der Zertifizierungsstelle als Signatur. Diese digitale Unterschrift der Stelle soll wiederum beweisen, dass die Zertifizierung auch wirklich von dieser Stelle vorgenommen wurde und dies kann der Empfänger mit dem dazu passenden öffentlichen Schlüssel der Stelle überprüfen.

Nun könnte man aber einwenden wie man denn sicher sein kann, dass auch dieser öffentliche Schlüssel der Zertifizierungsstelle echt ist. Damit sich dieses System nicht ad absurdum führt, gibt es eine oberste Zertifizierungsinstanz, deren Funktion weiter unten noch detaillierter behandelt wird.

(vgl. Wikipedia – Begriffe: Zertifikat (Informatik) und Zertifizierungsstelle und VeriSign - Zertifizierungsstelle)
---

2. EU-Signaturrichtlinie und Signaturgesetz für Österreich

1999 wurde von der EU eine Richtlinie (PDF) über gemeinschaftliche Rahmenbedingungen für elektronische Signaturen herausgegeben, die von den EU-Mitgliedsstaaten in Form von Gesetzen und Verordnungen in ihrem jeweiligen nationalen Recht verankert wird. In Österreich wurde im gleichen Jahr deshalb ein „Bundesgesetz über elektronische Signaturen (Signaturgesetz, SigG)“ entwickelt, das durch die Signaturverordnung konkretisiert wurde(vgl. RTR-Website zum Signaturrecht).

Dieses Gesetz bestimmt:
  • Gegenstand und Begriffsbestimmungen
  • Rechtserheblichkeit elektronischer Signaturen
    Sagt aus, dass elektronische Signaturen mit unterschiedlichen Sicherheitsstufen und Zertifikatsklassen gültig sind. Neben „normalen“ Zertifikaten gibt es auch „qualifizierte Zertifikate“, die bestimmte Angaben enthalten müssen und teilweise entsprechen Signaturen (wenn es eine sichere elektronische Signatur ist) sogar einer Unterschrift.
  • Zertifizierungsdiensteanbieter
    Diese müssen ihre Tätigkeit der Aufsichtsstelle melden (incl. Sicherheits- und Zertifizierungskonzept), benötigen aber keine Genehmigung für ihre Tätigkeit. Will ein Anbieter qualifizierte Zertifikate vergeben, muss er gewisse Auflagen erfüllen.
  • Aufsicht
    Die Aufsicht über die Einhaltung des Gesetzes obliegt der Telekom-Control-Commission, wobei diese von der Rundfunk & Telekom Regulierungs-GmbH (RTR) bei der Durchführung unterstützt wird. Zertifizierungsdiensteanbieter haben die Möglichkeit einer freiwilligen Akkreditierung, indem sie der RTR die Einhaltung des SigG beweisen und die technischen Sicherheitserfordernisse für sichere Signaturen erfüllen.
  • Technische Sicherheitserfordernisse
  • Rechte und Pflichten der Anwender
    Auch die Signatoren haben Pflichten wie die sorgfältige Verwahrung der Daten und das Veranlassen eines Widerrufs, falls ihm die Daten abhanden kommen.
  • Anerkennung ausländischer Zertifikate
    Dieser Absatz besagt, dass ausländische Zertifikate genauso gültig sind wie inländische, wenn sie auf ihre Gültigkeit überprüft werden können. Auch qualifizierte Zertifikate aus dem Ausland werden denjenigen aus dem Inland gleichgestellt.
  • Schlussbestimmungen
(vgl. RTR-Website: Übersicht über das Signaturgesetz)
---

3. Aufsichtsbehörden und deren Aufgabe bezüglich elektronischer Signaturen

Zuständig für die Aufsicht über Zertifizierungsdiensteanbieter ist gemäß Art. 4 Abs. 1 der Signaturrichtlinie jener Staat, in dessen Hoheitsgebiet der Zertifizierungsdiensteanbieter niedergelassen ist.

In Österreich ist das – wie bereits erwähnt – die Telecom-Control-Commission mit der RTR – Rundfunk & Telekom Regulierungs-GmbH.
In Deutschland ist die Reg TP - Regulierungsbehörde für Telekommunikation und Post dafür zuständig.

Ihre Regulierungsaufgaben bestehen darin, zu überprüfen, ob die Angaben im Sicherheits- und im Zertifizierungskonzept der Zertifizierungsdiensteanbieter von jenen umgesetzt werden, „die Verwendung geeigneter technischer Komponenten und Verfahren zu überwachen“, „die Zertifizierungsdiensteanbieter zu akkreditieren“ und die „organisatorische Aufsicht über Bestätigungsstellen durchzuführen“. Weiters müssen sie eine Liste an gültigen, gesperrten und widerrufenen Zertifikaten veröffentlichen.
(vgl. RTR-Website: § 13 Aufsichtsstelle)
---

4. Zertifizierung

Zertifizierungsdiensteanbieter (=Zertifizierungsstellen):

Zertifizierungsdiensteanbieter, von denen es sehr viele gibt, können Firmen, öffentliche Organisationen oder Regierungsstellen sein (vgl. Wikipedia, „Zertifizierungsstelle“).

Eine Liste an Zertifizierungsdiensteanbietern, die ihre Tätigkeit bei der RTR angezeigt haben, ist auf deren Website zu finden, incl. einer Bewertung bezgl. qualifizierter, fortgeschrittener Zertifikate. Darin sind u.a. folgende Firmen und Vereine enthalten: Es sind – wie oben besprochen – auch ausländische Zertifizierungsstellen verwendbar. Die Website der Regulierungsbehörde für Telekommunikation und Post (Reg TP) veröffentlicht eine Liste an akkreditierten Zertifizierungsdiensteanbietern aus Deuschland:
Die am meisten verwendeten Web-Browser (z.B. Internet Explorer) haben bereits eine Liste von bekannten Zertifizierungsstellen und deren öffentliche Schlüssel integriert, sodass Zertifikate dieser Stellen automatisch überprüft werden (vgl. VeriSign). Daher folgt weiters eine Auflistung der deutsch- und englischsprachigen Zertifizierungsstellen, die der Internet Explorer bereits kennt (exclusive der bereits angeführten): Auch die Universität Salzburg vergibt Zertifikate namens „PLUSCERT“.

Verfahren

Damit ein Zertifikat laut Signaturverordnung als qualifiziert gilt, müssen als Verfahren RSA oder DSA verwendet werden.(vgl. RTR-Website: Schlüsseltyp)
RSA ist ein asymmetrisches Verschlüsselungsverfahren, das – zur Zeit – als sicher gilt. Sein Name setzt sich aus den Anfangsbuchstaben der Nachnamen seiner Erfinder zusammen: Ronald L. Rivest, Adi Shamir und Leonard Adleman
Der DSA-Algorithmus wurde von der NSA entwickelt, um hochsichere Verschlüsselung zu kontrollieren.

(vgl. Wikipedia: „elektronische Unterschrift“)

Gebühren

Dazu möchte ich auf den Weblog von Vivienne Kaier verweisen, die sich ausführlich mit den anfallenden Kosten befasst hat.

... comment

 
Ulrike.Hitzinger.uni-sbg, Freitag, 3. Dezember 2004, 13:57
Stellen in Österreich
Hallo ich hab auf meinem Weblog /0120021/stories/7834/#8054die Zertifizierungsstellen in Österreich einzeln beschrieben. Es ist nur ein kleiner Ausschnitt aus deinem Weblog und ich finde deine Arbeit eine total gute Zusammmenfassung über den gesamten Themenbereich.

... link  


... comment
 
Vivienne.Kaier.uni-sbg, Sonntag, 5. Dezember 2004, 15:24
hi elke
erstmal - gratuliere zu deinem weglog. habe mich mit ähnlichen themen wie du beschäftigt und somit findest du auf meinem weblog ebenfalls eine beschreibung des zertifizierungsvorganges, die aufgaben von zert.stellen uvm... schau einfach mal vorbei!
lg vivienne

... link  


... comment

 
Online for 7369 days
Last update: 2005.01.18, 16:13
You're not logged in ... login
 
Dezember 2004
Mo
Di
Mi
Do
Fr
Sa
So
 
 
 1 
 2 
 4 
 5 
 6 
 7 
 8 
 9 
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
 
 
 
eine sehr gut ..
.. gegliederte, ausführlich dargestellte, zitierte...
by Hans.Mittendorfer.Uni-Linz (2005.01.18, 16:13)
Zertifizierungstellen
Zuvor noch ein kurzer Überblick über diesen...
by elke.beck.uni-sbg (2005.01.10, 20:12)
Sehr ausführlicher...
Sehr ausführlicher FTP Beitrag! Echt gut! Danke...
by roman.koenigshofer.uni-sbg (2005.01.06, 17:13)
FTP
Das File Transfer Protocol, kurz FTP, ist ein Netzwerkprotokoll,...
by elke.beck.uni-sbg (2005.01.04, 14:54)
hi elke
erstmal - gratuliere zu deinem weglog. habe mich mit...
by Vivienne.Kaier.uni-sbg (2004.12.05, 15:24)

xml version of this page

made with antville
powered by
helma object publisher