ifabo-Schwerpunkt: Digitale Signatur

Mit A-Sign von Datakom Austria wird E-Commerce sicherer - Drei Sicherheitsklassen zur Auswahl

Wien (pts010/20.04.1999/11:00) Die DATAKOM AUSTRIA, führender Anbieter von Datenkommunikationslösungen, startet jetzt unter dem Namen A-SIGN als Zertifizierungsstelle und erweitert damit die Aktivitäten im E-Commerce Bereich. Technologieprovider und Partner für die Zertifizierungsstelle ist IBM Österreich. Damit liefern die zwei Unternehmen einen wichtigen Impuls zur Realisierung von sicheren Internet-Transaktionen in Österreich. http://a-sign.datakom.at

Wesentlicher Bestandteil von sicheren Transaktionen im Internet ist die eindeutige Identifizierung der Teilnehmer an einer Transaktion. Dies wird erst durch digitale Zertifikate möglich. E-Commerce und E-Business sind allerdings nicht die einzigen Bereiche, für die Zertifikate wichtig sind. Digitale Zertifikate eignen sich auch zur Zugangssicherung auf vertrauliche Datenbestände oder für Transaktionen im Behördenbereich - zum Beispiel für künftige Anwendungen im Umfeld des "electronic government".

Um die erwähnten Einsatzmöglichkeiten von Digitalen Zertifikaten voll ausschöpfen zu können, bedarf es einer immensen technischen, baulichen und personellen Sicherheitsinfrastruktur. Unter dem technischen Aspekt kann vieles durch kryptographische Verfahren gelöst werden. Die Digitale Signatur bedient sich dieser Verschlüsselungsverfahren.

Unterschiedliche Verschlüsselungsverfahren
In der Praxis unterscheidet man symmetrische und asymmetrische Verschlüsselungsverfahren. Bei symmetrischen Verschlüsselungsverfahren (z.B. DES) wird ein einziger Schlüssel zur Ver- und Entschlüsselung verwendet. Das heißt, die Kommunikationspartner müssen einen Schlüssel vereinbaren, der dann auf einem sicheren Kanal übermittelt wird. Symmetrische Verschlüsselungsverfahren erfreuen sich vor allem wegen der hohen Geschwindigkeit, mit der die Chiffrierung durchgeführt wird, großen Zuspruchs. Als Nachteile wirken sich hier aber die Vereinbarung des Schlüssels und dessen Übertragung auf einem gesicherten Kanal aus.

Im Rahmen der asymmetrischen Verschlüsselungsverfahren (z.B. RSA) erhält jeder Beteiligte einen privaten und einen öffentlichen Schlüssel. Während der private Schlüssel geheim bleibt und dem Schlüsselinhaber bekannt ist, wird der öffentliche Schlüssel bekanntgegeben.

Die digitale Signatur basiert nicht auf einer persönlichen Unterschrift, sondern auf mathematischen Mechanismen. Dadurch wird die authentische Übermittlung von Daten gewährleistet. Technisch wird dabei zuerst aufgrund einer Hash-Funktion ein Code über das zu versendende Dokument errechnet, der dann mit dem privaten Schlüssel des Verfassers verschlüsselt und als Digitale Signatur gemeinsam mit der Originalnachricht an den Empfänger übermittelt wird.

Nun kann der Empfänger mit dem öffentlichen Schlüssel feststellen, a) ob der Absender wirklich der ist, der er vorgibt zu sein (indem die Digitale Signatur mit dem öffentlichen Schlüssel entschlüsselt wird) und b) ob die Nachricht während der Übertragung verändert wurde. Dies erfolgt dadurch, indem nochmals ein Hash-Wert über die empfangene Nachricht gebildet wird und mit dem entschlüsselten Hash-Wert verglichen wird.

Soll neben der authentischen und integren Übermittlung von Daten auch deren Vertraulichkeit gesichert werden, bedarf es zusätzlich der Verschlüsselung der Daten. Wenn auch die Vertraulichkeit der Nachricht gewährleistet werden soll, dann muß diese mit dem öffentlichen Schlüssels des Empfängers verschlüsselt werden. Der Empfänger kann nun mit Hilfe seines privaten Schlüssels die Nachricht entschlüsseln und lesen.

Zertifizierungsstellen sind für die Verwaltung zuständig
Trotz dieser Prozedur: Digitale Signatur und Verschlüsselung allein reichen nicht aus, um die Sicherheit in Netzen zu erhöhen. Denn: Was nützt die Digitale Signatur, wenn man nicht weiß, wem sie tatsächlich zuzuordnen ist?

Genau hier werden Zertifizierungsstellen aktiv, die als vertrauenswürdige Instanz Digitale Zertifikate ausgeben und verwalten. Im Rahmen der Ausgabe von Zertifikaten übernimmt die Zertifizierungsstelle die Überprüfung von Personen und Organisationen, die ein Zertifikat beantragen. Erst nach einwandfreier und widerspruchsloser Überprüfung der Identität wird ein Digitales Zertifikat ausgestellt. Durch das Digitale Zertifikat wird somit ein eindeutiger Zusammenhang zwischen einer Person und einem Schlüsselpaar hergestellt.

Digitale Zertifikate enthalten Informationen zum Dienstanbieter, der das Zertifikat erteilt, zum Zertifikatsinhaber, zur Gültigkeitsdauer des Zertifikats und zum öffentlichen Schlüssel des Zertifikatsinhabers. Damit Digitale Zertifikate aber dem Anspruch absoluter Sicherheit gerecht werden, erfolgt deren Eintragung in eigens dafür vorgesehene Verzeichnislisten, die Informationen über den Zertifikatsinhaber, dessen öffentlichen Schlüssel und die Gültigkeitsdauer bzw. den Status des Zertifikats enthalten. Damit kann eruiert werden, ob das Zertifikat gültig, ungültig, abgelaufen ist oder widerrufen wurde. Erst durch die Möglichkeit der Überprüfung von Zertifikaten wird den Sicherheitsanforderungen in Netzen in ihrem vollen Ausmaß entsprochen.

Anwendungsmöglichkeiten
Die Anwendungsmöglichkeiten für Digitale Zertifikate sind mannigfaltig: Sie eignen sich zur gegenseitigen Identifizierung von Kommunikationspartnern ebenso wie für den Schutz von Daten gegenüber Manipulation und Mißbrauch. Sie ersetzen einschlägige Paßwort- und Zugriffsmechanismen ebenso wie sie die Herkunft von Software sicherstellen.

Das Wesen des E-Commerce besteht in der Möglichkeit, Geschäfte mit Handelspartnern und Kunden elektronisch per online-Transaktionen durchzuführen. Da hier großteils sensitive, kritische Daten übertragen werden, bedarf es der gegenseitigen Authentifizierung mittels Digitaler Zertifikate. Durch den Einsatz Digitaler Signaturen können innovative Unternehmen aber auch von der Veränderung der Marketing- und Distributionslogistik profitieren, da neue Kunden und neue Märkte gewonnen werden können.

Im Rahmen des "e-government" kann der Zugang des Bürgers zu Daten einer Behörde bzw. einer öffentlichen Verwaltungseinheit automatisiert und dementsprechend weniger aufwendig gestaltet werden. Durch die authentische Kommunikation kann auch der Servicegrad und die Effizienz im Bereich der Verwaltung gesteigert werden. Auch im Gesundheitsbereich kann ein Austausch sensitiver Daten (zwischen Ärzten zum Austausch von Patientendaten) vertraulich, rasch, effizient und kostengünstig stattfinden.

Wie auch immer: Die Registrierung zum Erhalt eines A-SIGN Zertifikats erfolgt jedenfalls rasch und unproblematisch. Der Kunde fordert sein Zertifikat einfach im Netz bei der Datakom Zertifizierungsstelle http://a-sign.datakom.at an.

DATAKOM Zertifikatstypen
Digitale Zertifikate können sowohl für natürliche Personen als auch für Server sowie Computerprogramme ausgestellt werden.

A-SIGN User-Zertifikate: Werden für natürliche Personen ausgestellt. Diese Zertifikate können bei E-Mail (Digitale Signatur, Verschlüsselung) und WWW-Browsern (Authentifizierung) eingesetzt werden.
A-SIGN Server-Zertifikate: Ein Server-Zertifikat dient zur eindeutigen Identifizierung eines Servers (z.B. WWW-Server) gegenüber Benutzern, die über ein entsprechendes Client-Programm auf den Server zugreifen.
A-SIGN Software Developer Zertifikate: Mit diesen Zertifikaten werden Programme signiert, dadurch wird deren Unfälschbarkeit und Herkunft sichergestellt.

DATAKOM Zertifikatsklassen (Kasten 2)
In Abhängigkeit vom angewandten Überprüfungsverfahren werden unterschiedliche Zertifikatsklassen angeboten, die alle dem gleichen Sicherheitsstandard gehorchen.

A-SIGN Certificates Light: einfach und schnell per Web und E-Mail
A-SIGN Certificates Medium: weitergehende indirekte Überprüfung der Identität
A-SIGN Certificates Strong: persönliche Überprüfung der Identität am nächsten Postamt
A-SIGN Certificates Premium: persönliche Überprüfung der Identität am nächstgelegenen Postamt und Speicherung des Zertifikats auf einer SmartCard.

Wie kommen Sie zu Ihrem Digitalen Zertifikat?

1. Sie beantragen bei einer Zertifizierungsinstanz im Internet (z.B. Datakom: http://a-sign.datakom.at) über ein Formular ein Zertifikat.

2. Ihr Web-Browser erzeugt automatisch Ihr eindeutiges und sicheres Schlüsselpaar (d.h. den privaten und öffentlichen Schlüssel), und Ihr öffentlicher Schlüssel wird gemeinsam mit den Formulardaten an die Zertifizierungsstelle übermittelt.

3. Nachdem die Zertifizierungsstelle Ihre Angaben überprüft hat, wird Ihr Zertifikat erzeugt. Anschließend erhalten Sie eine E-Mail mit Ihrem persönlichen Paßwort, mit dem Sie Ihr Zertifikat online (im Internet) abholen können.

4. Beim Abholen Ihres Zertifikates wird dieses auf Ihrem PC für Ihren Web-Browser und Ihr E-Mail Programm eingerichtet. Außerdem wird Ihr Zertifikat in das Zertifikatsverzeichnis der Zertifizierungsstelle eingetragen.

5. Wenn Sie eine Nachricht verschlüsseln wollen, benötigen Sie den Öffentlichen Schlüssel des Empfängers. Wenn der Empfänger im Zertifikatsverzeichnis registriert ist, können Sie seinen öffentlichen Schlüssel herunterladen und die Nachricht mit diesem verschlüsseln. Dadurch ist gewährleistet, daß die von Ihnen gesandte E-Mail nur vom Empfänger gelesen werden kann.

6. Wenn Sie die Digitale Signatur einer Nachricht auf Ihre Echtheit überprüfen wollen, brauchen Sie nur im öffentlichen Verzeichnis der Zertifizierungsstelle überprüfen, ob sie dort registriert ist.

Aussender:	Telekom Austria
Ansprechpartner:	Werner Buhre
Tel.:	01/50145-247
E-Mail:	werner.buhre@datakom.at