CeBIT

TeleTrusT-Sonderteil

Public Key Infrastrukturen: Von Inseln zum globalen Netzwerk

Von Prof. Dr. Helmut Reimer, Geschäftsführer TeleTrusT Deutschland e.V.

Vor 25 Jahren haben Diffie und Hellman ihre berühmte Arbeit "New Directions in Cryptography" veröffentlicht. Auf dieser Grundlage sind seitdem viele Anwendungsbereiche für die asymmetrische Kryptographie erschlossen worden. Sie liegen dort, wo sich Anwendung und Infrastruktur in einer Hand befinden, in geschlossenen Benutzergruppen (PKI Domain).

Alle Experten sind sich aber darüber einig, dass das größte Potenzial dieser Technologie in Internetanwendungen noch immer weitgehend brachliegt: Die verbindliche und sichere globale Datenkommunikation zwischen beliebigen Teilnehmern. Sie erfordert eine interoperable Public Key Infrastruktur (PKI) und allgemein akzeptierte "Trusted Services" zum Beispiel in Form von Zertifizierungsdiensten. Weil die Verfügbarkeit einer PKI die Grundlage für die kommerzielle Anwendung der modernen Kryptographie darstellt, entscheidet ihr marktgerechter Aufbau auch über den Erfolg von E-Business oder E-Government. Gleichzeitig besteht die Herausforderung, die Geschäftsprozesse so weiter zu entwickeln, dass sie von den Zertifizierungsdiensten profitieren. Grundsätzlich werden künftig Verbindlichkeit und Vertrauenswürdigkeit von Internetanwendungen und auch ihre Sicherheit durch PKI-gestützte Kryptographieverfahren realisiert werden. Im Zusammenhang mit der nationalen, der europäischen und der globalen Diskussion um elektronische Signaturen haben wir in den letzten Jahren gelernt, dass wir erst am Anfang der Entwicklung von tragfähigen Lösungen für eine interoperable PKI stehen.

Bereits in den 80er Jahren arbeitete eine europäische Forschungsgruppe OSIS (aus der später TeleTrusT hervorgegangen ist) auf dieser Grundlage ein Konzept für die Abbildung von Geschäftsprozessen in offenen Netzen aus. Die Zeit für den Ausbau dieses Konzeptes war noch nicht reif. Zunächst entstanden Lösungen für geschlossene Systeme. In der 2. Hälfte der 90er Jahre hatten Deutschland und Europa sogar einen deutlichen technologischen Vorsprung vor den USA z. B. im Bereich von Chipkarten-gestützten Banktransaktionen. Bereits 1996 wurde die "ec-Karte mit Chip" eingeführt, die neben der Magnetstreifen-basierten Funktionalität (Abhebungen am GAA, Ausdruck von Kontoauszügen) zusätzlich Chip-basiert das Bezahlen kleiner Beträge direkt beim Händler erlaubte. Dabei war von vorn herein geplant, den Chip perspektivisch als Träger weiterer Funktionalitäten zu nutzen.

Elektronische Geschäftsprozesse sind im allgemeinen komplex. So fassen heute moderne Warenwirtschaftssysteme Einkaufs-, Verkaufs- und Vertriebsabläufe unter einheitlicher Umgebung zusammen. Um eine angemessene Informationssicherheit und eine ausreichende Verbindlichkeit zu erreichen, müssen z. B. folgende Anforderungen erfüllt werden:

• Sichere Einbindung der tatsächlich genau für den Geschäftsprozess notwendigen Komponenten des DV-Systems;
• Schutz der Daten auf den verschiedenen Servern vor unbefugtem Einblick und Zugriff;
• Integritätsschutz für die Daten im gesamten System;
• Zuverlässige Identifikation der Stellen und Personen, die Daten des Geschäftprozesses bearbeiten oder Entscheidungen treffen.

Am Beispiel von Kaufen und Verkaufen, Prozessen die heute vor Ländergrenzen nicht mehr Halt machen, lässt sich die Komplexität der Vorgänge und der daran zu knüpfenden Forderungen gut darstellen.

Alle Anforderungen lassen sich durch PKI-gestützte Kryptoverfahren erfüllen:

Daten können relativ einfach und sicher einerseits durch Verschlüsselung für Dritte unlesbar gemacht, und andererseits kann durch elektronische Signaturen die Authentizität, Integrität und Identität der Daten sichergestellt sowie ein praktikables Dokumentenmanagement organisiert werden.

In geschlossenen Benutzergruppen wie großen Unternehmen werden digitale Signaturen (eine Form der elektronischen Signaturen) bereits seit vielen Jahren erfolgreich eingesetzt. Die eigentliche Herausforderung liegt in der Umsetzung derartiger Applikationen in offenen Benutzergruppen wie z.B. dem Internet.

Hier wird globale Kompatibilität der beteiligten Systemkomponenten benötigt. Anhand der Einführung und der Vorbereitung der nächsten Generationen von Geldkarten mit multinationalen Anwendungen ist die Entwicklung darstellbar:

Derzeit kann durch ein neues Betriebssystem und die Einführung der PACE (Purse Application for Cross Border Use in Euro) die Kompatibilität der deutschen Geld-Karte, der luxemburgischen miniCash und der französischen moneo in allen Systemen der Partner sichergestellt werden. Um eine Kompatibilität zu offenen PKI-Systemen vorzubereiten, wird bereits an der Entwicklung des Betriebssystems für die nächste Geldkartengeneration gearbeitet. Zur Benutzerauthentisierung wird dann die asymmetrische Kryptographie (RSA-Verfahren) verwendet. Damit steht die elektronische Signatur auf der Geldkarte zur Verfügung und öffnet den Weg zur Integration weiterer Anwendungen auf diesen Karten.

Bisherige Anwendungsbereiche für Zertifizierungsdienste sind oft auf geschlossene Benutzergruppen (z.B. Unternehmen oder Verwaltungsbereiche) ausgerichtet. Durch sie werden z.B. verbindliche elektronische Kommunikation, Formulargebundene Anwendungen, Rechnungslegung und Bezahlvorgänge oder elektronischer Rechtsverkehr sichergestellt. Solche Beispiele wie SSL, TLS und WTLS zeigen aber auch sehr anschaulich, wie Zertifizierungsdienste auch in offenen Benutzergruppen wirksam sein können.

Wichtig ist hierbei auch und vor allem die Interpretation verbreiteter Standards bei der Gestaltung der technischen und organisatorischen Regeln. So entsteht ein System mit am Ende tatsächlich interoperablen Komponenten. Ein Beispiel für diesen Weg ist SPHINX, ein sicheres E-Mail-System für die Bundesverwaltung, das aus der allgemein anerkannter Spezifikationen MailTrusT entwickelt wurde.

Ein nächster Schritt in Richtung Interoperabilität stellt das von TeleTrusT und BITKOM unterstützte gemeinsame Projekt "Common Bridge-CA" der Deutschen Telekom und der Deutschen Bank dar: Unter einem gemeinsamen Dach werden die vorhandenen Firmen-CAs zusammengeführt und die Einschränkungen der bisherigen PKI-Inseln aufgelöst.

Die "Bridge-CA" steht allen Firmen, die bereits eine PKI und ein S/MIME-fähiges Mail-System haben, offen, auch international. Eine Reihe von Großunternehmen und -organisationen haben schon ihr Interesse bekundet bzw. befinden sich bereits in der Interoperabilitätsprüfung. Auch die Bundesverwaltung will dieses Konzept nutzen, um eine verbindliche elektronische Kommunikation zwischen Verwaltung und Wirtschaft zu ermöglichen.

----------Anfang Textkasten----------

[Kasten überspringen]

ISSE 2001

Das unabhängige europäische Forum für Informationssicherheit wird seine Gäste in diesem Jahr in London begrüssen.

In 4 Tracks

• Technologie
• Infrastruktur
• Anwendungen
• Juristische und politische Aspekte

werden über 100 führende Experten aus Wissenschaft, Entwicklung und Industrie referieren.Für Sie werden 60 Vorführungen und Paneldiskussionen vorbereitet.Die ISSE wird unterstützt durch das Bundesministerium für Wirtschaft und Technologie und die Europäische Kommission, Direktorat Informationsgesellschaft.Weitere Informationen sowie Anmeldeunterlagen finden Sie unter  http://www.eema.org/isse

Die organisatorische Vorbereitung liegt in den Händen der EEMA, dem Programmkomitee steht TeleTrusT vor.

----------Ende Textkasten----------

TeleTrusT und das global agierende  PKI-Forum vereinbarten im Mai vergangenen Jahres eine Zusammenarbeit auf der Basis eines Liaison Membership Agreement. Gemeinsames Ziel beider Non-Profit-Organisationen ist es, den internationalen Einsatz von Sicherheitsinfrastrukturen auf der Basis von PKI-Technologie und PKI basierten Lösungen in Unternehmen, Verwaltungen und privaten Haushalten zu beschleunigen.

Das PKI-Forum ist eine Plattform, auf der Anbieter ihre auf internationale Standards aufgebauten, interoperablen Lösungen einbringen können. Interoperabilitätstests von Produkten werden gesponsert und Kontakte zu externen Testpartnern aufgebaut. Diese von wichtigen Industrieunternehmen geführte Zusammenarbeit kooperiert eng mit Standardisierungsorganisationen.

Die Arbeit der Mitglieder findet in Projektteams der Technical Working und Business Working Group statt. Die Spannbreite zieht sich von der Entwicklung von Interoperabilitätsprofilen bei der Nutzung von PKI in Geschäftsanwendungen bis hin zur Erarbeitung von Marktanforderungen und Durchführung von Marketingaktivitäten (Buyer und User Guide).

Um das gemeinsame Ziel, globale Interoperabilität zwischen Komponenten unterschiedlicher Hersteller, Applikationen und Unternehmen bei der Anwendung von PKI zu erreichen, ist die Arbeit im Projekt "CA (Certificate Authority) - CA Interoperability Network" hervorzuheben. Projektgegenstand sind insbesondere Cross-Zertifikate (diese entstehen, wenn eine CA durch eine andere zertifiziert wird) und Bridge-CA (als übergeordnete CA, unter der Unternehmen und Organisationen zwischen ihren PKI-Strukturen durch Cross-Zertifikaten Verbindungen aufbauen können). Das Konzept einer Bridge CA hat den Vorteil, dass der Überbau durch die Ausstellung jeweils nur eines Crosszertifikates für ein Unternehmen reduziert wird.

Aktiv bringt TeleTrusT in diese Überlegungen und Tests die MailTrusT-Spezifikation ein und sorgt umgekehrt dafür, dass die Vorschläge des PKI-Forum beim "Common Bridge-CA"-Vorhaben berücksichtigt werden.

Ebenso werden Marketing und Nutzeraspekte bei der Projektarbeit mit dem PKI-Forum ausgetauscht, um mit den gemeinsamen Ergebnissen die anwendungsorientierte Verbreitung von PKIs zu fördern.

TeleTrusT wird gemeinsam mit der EEMA die Plattform der europäische Sicherheitskonferenz ISSE weiter ausbauen, um den Austausch von Lösungen für innovative globale PKI-Konzepte zu fördern. Die Konferenz wird vom 26. bis 28. September in London, im QEII conference centre, stattfinden. Weitere Informationen finden Sie unter  http://www.eema.org/isse.

Mit Unterstützung durch die AUMA wird TeleTrusT gemeinsam mit 15 seiner Mitglieder und dem BMWi an der RSA-Konferenz in San Francisco im April 2001 teilnehmen. Durch Fachvorträge in verschiedenen Bereichen und Präsentationen auf einem 200 m² großen Gemeinschaftsstand in der konferenzbegleitenden Ausstellung wird ein Beitrag zur Exportförderung für deutsche und europäische Krypto-Produkte geleistet.

© SecuMedia-Verlags-GmbH, D-55205 Ingelheim,
KES 1/2001, Seite 23

Zurück zum Inhalt