European Bridge-CA

In den vergangenen 20 Jahren sind die Möglichkeiten, Geschäftsprozesse durch den Einsatz von elektronischen Datenverarbeitungs- und Kommunikationsmitteln effizienter zu gestalten und auch unternehmensübergreifend zu automatisieren, immer stärker und teils unversöhnlich diskutiert worden.

Persönliche Begegnungen und Beziehungen haben sich in Jahrhunderten, wenn nicht in Jahrtausenden, als unabdingbarer Bestandteil der Geschäftswelt etabliert. Sie werden für die wichtigsten Entscheidungen auch weiterhin unverzichtbar bleiben. Viele persönliche Treffen auf der Arbeitsebene werden jedoch zunehmend unter Vermeidung der bisherigen Papierflut durch elektronische Kommunikation ersetzt.

Dies bietet Chancen zur Straffung von Arbeitsabläufen und damit zur Einsparung von Zeit und Kosten bei parallel gegebener Ortsunabhängigkeit. Es müssen aber auch die technischen Hilfsmittel eines Unternehmens über dessen Grenzen hinaus mit extern betriebenen Hilfsmitteln interagieren können. Zudem muss man neuen Angriffsmöglichkeiten, bewussten wie zufälligen, auf die zu kommunizierenden Daten sowie auf unternehmensinterne Datenbestände wirksam begegnen können.

Vertrauensgrundlagen für Geschäftsabläufe

Die überwiegende Mehrzahl von Geschäften wirdunstrittig zum gegenseitigen Vorteil der Geschäftspartner abgewickelt. Bei den strittigen Geschäften (ca. 3 % nach Kowalski, DTAG) wird wiederum die überwiegende Mehrzahl außergerichtlich geregelt, sodass in der Praxis lediglich bei einem recht kleinen Anteil aller Geschäfte die Frage nach der juristischen Beweiskraft der eigenen Position zu stellen ist.

Um für den Fall der Fälle gerüstet zu sein, wird im Geschäftsleben vorsorglich nach gewissen Regeln gehandelt:

Die Einhaltung dieser Regeln ist teilweise sogar durch gesetzliche Regulierung geboten, beispielsweise zur Gewährleistung der Revisionssicherheit von Geschäftsprozessen. Diesen Regeln kann sowohl technisch als auch durch geeignete Maßnahmen des Security-Managements oder aber in einer Synthese aus beidem wirksam entsprochen werden.

Als technische Maßnahmen im Bereich der elektronischen Kommunikation und Datenablage bieten sich an, Vertraulichkeit (Regel 2) durch eine geeignete Verschlüsselung der Daten zu erreichen und die Authentifizierung (Regel 1) sowie die Datenintegrität (Regel 3) mit asymmetrischer Kryptographie (elektronische Signatur bzw. adressierte Vertraulichkeit) sicherzustellen und so die Unabstreitbarkeit getroffener Vereinbarungen wirksam zu unterstützen.

Geschäftsprozesse sind komplex und enthalten vielschichtige Kommunikationspflichten und -möglichkeiten, die es bei sinnvollem Einsatz unnötig machen, die Funktionalität des Gesamtprozesses allein an die Sicherheit eines einzigen technischen Verfahrens zu binden.

Standardkonformität

Grundsätzlich können mit technischen Verfahren Basistechnologien für elektronische Geschäftsprozesse eingesetzt werden, die einen großen Beitrag zur Vertrauenswürdigkeit dieser Prozesse zu leisten in der Lage sind. Hierdurch braucht an anderer Stelle deutlich weniger Aufwand betrieben zu werden.

Wichtig ist hierbei die Verwendung von Verfahren und Komponenten, die auf international verbreiteten Standards aufsetzen und damit eine wesentliche Voraussetzung für Interoperabilität von Komponenten verschiedener Hersteller aufweisen.

Diese Standardkonformität allein ist aber nicht ausreichend. Im Regelfall hat jedes Unternehmen eine individuelle Policy mit entsprechendem personen- und geräteorientiertem Sicherheitsmodell, es bestehen unternehmenseigene Vorstellungen über ein notwendiges Maß an Sicherheit als Basis für die Vertrauenswürdigkeit der Lösung, es wird teils unterschiedlichen Standards gefolgt (sehr viele, sehr komplex, ständige Weiterentwicklung, ...) und die verschiedenen Anwendungen haben unterschiedliche Anforderungen (SSL, E-Mail, ...).

Eben diese unterschiedlichen Bedürfnisse der Anwendungen – auch an die Sicherheit – können in unternehmensinternen Lösungen einfacher realisiert werden. Isolierte Lösungen haben einen klareren Fokus, der wiederum weniger Probleme mit sich bringt und daher schnell, einfach und kostengünstig zu realisieren ist.

Für multilaterale Geschäftsprozesse bedarf es zwischen den beteiligten Unternehmen zusätzlicher Vereinbarungen zur

in Form eines einheitlichen organisatorischen Rahmens bei Wahrung der unternehmensinternen Revisionssicherheit.

Status Quo: Verschiedene Public Key Infrastructures existieren nebeneinander als Indellösungen.

Von Inseln zu Kontinenten

Solange dieser einheitliche organisatorische Rahmen nicht unternehmensübergreifend besteht, sind die zum Teil bereits seit Jahren existierenden Strukturen des elektronischen Geschäftsverkehrs (Public Key Infrastructures, PKIs) nur in geschlossenen Benutzergruppen, als so genannte Insellösungen, nutzbar.

In ihrer spezifischen Ausprägung ist jede Insellösung proprietär und damit nicht fähig, direkt mit anderen Insellösungen vertrauenswürdig zu kommunizieren. Dadurch wird der elektronische Austausch von Daten zwischen Unternehmen und Organisationen (auch Behörden) stark behindert, etwa die Zustellung signierter Anträge oder die Bestellung und Lieferung von Produkten und Leistungen. Die Grundforderung nach Flexibilität bezieht sich aber im Geschäftsverhältnis zwischen verschiedenen Unternehmen und zu Behörden eben auch auf die zu verwendenden Arbeitsmittel.

Dies ist der Ansatzpunkt der European Bridge-CA. Es gilt, Interoperabilität zwischen den vielfältigen Zertifikatsinfrastrukturen und Applikationen sicherzustellen und Vertrauensverhältnisse über Unternehmensgrenzen hinweg aufzubauen.

In der Präambel ihres Certificate Practice Statement (CPS) vom 25.10.2001 heißt es dazu: "Die Bridge-CA stellt den Teilnehmern eine kostengünstige und verlässliche Infrastruktur bereit, die die gegenseitige Prüfung von Zertifikaten der die Dienstleistung in Anspruch nehmenden Unternehmen und Behörden ermöglicht. Als Brücke zwischen den einzelnen Teilnehmern prüft die Bridge-CA die Root-Zertifikate der teilnehmenden Organisationen. Damit erlaubt die Bridge-CA-Lösung unter anderem den organisationsübergreifenden, sicheren E-Mail-Austausch, ohne dass die Beteiligten untereinander Vereinbarungen treffen müssen."

Die in der Verantwortung des gemeinnützigen Vereins TeleTrusT betriebene European Bridge-CA hat sich zum Ziel gesetzt,

Dadurch ist es insbesondere nicht erforderlich, dass alle Teilnehmer mit allen anderen Teilnehmern direkte Beziehungen in Form paarweiser Kreuzzertifizierungen etablieren. Für jeden Teilnehmer gibt es mit der Bridge-CA genau einen Vertragspartner; dies vermeidet umständliche Verhandlungen zwischen vielen Partnern und daraus resultierende unterschiedliche Vereinbarungen zwischen ihnen. Ergebnis ist eine viel weniger komplexe und damit kostengünstige Administration.

Lösungsansatz: Die European Bridge-CA fungiert als nicht-hierarchischer 1:n-Netzknoten, der die Inseln verbindet.

Da die European Bridge-CA nicht als übergeordnete CA ausgelegt ist, können vielfältige Schwierigkeiten vermieden werden. Unternehmen, die auf der Basis beträchtlicher eigener Investitionen erfolgreich firmeninterne PKIs betreiben, können sich in die Bridge-CA integrieren, ohne sich fremden Regeln unterordnen zu müssen. Die Gültigkeitszeiträume der von den eigenen CAs ausgegebenen Zertifikate bleiben unberührt. Jedes Unternehmen entscheidet selbst, welche seiner Zertifikate zur Verwendung über die Bridge-CA freigegeben werden.

----------Anfang Textkasten----------

Vorteile für Teilnehmer der Bridge-CA

Investitionsschutz:: Unternehmen, die schon eine PKI und ein S/MIME-fähiges Mailsystem haben, können jetzt ohne zusätzliche Investitionen nicht nur unternehmensintern sondern auch unternehmensübergreifend sicher kommunizieren.
Flexibilität:: Sowohl software- als auch hardwarebasierte Zertifikate können innerhalb der Bridge-CA genutzt werden.
Erfahrungsaustausch:: Alle teilnehmenden Organisationen profitieren von den gemeinsam gewonnenen Erkenntnissen und Erfahrungen.
Netzwerkeffekt:: Je mehr Organisationen sich an der Initiative beteiligen, desto größer wird der Nutzen und desto größer werden die Synergien des Einsatzes einer PKI.
Innovation:: Standards für die organisationsübergreifende sichere Kommunikation.

Damit ergeben sich eine Menge Vorteile für den Teilnehmer an der European Bridge-CA (vgl. Kasten). Daraus resultieren auch Aufgaben der Organisation, darunter:

Der Grad der Interoperabilität zwischen den verschiedenen Teilnehmern muss definiert und kommuniziert werden. So muss beispielsweise auch die Verarbeitung von Sperrinformationen der einen PKI durch einen Endnutzer in einer anderen PKI gewährleistet sein, da anderenfalls möglicherweise ungültige Zertifikate verwendet würden.

Die Konstruktion eines Zertifizierungspfades über die PKI-Grenze eines Teilnehmers hinweg ermöglicht die European Bridge-CA durch die gesicherte Verteilung einer Liste der Rootzertifikate der angeschlossenen PKIs.

Die Policies der beteiligten PKIs können sich zum Teil erheblich voneinander unterscheiden. Deshalb ist innerhalb der Bridge-CA die Beschränkung auf einen kleinsten gemeinsamen Nenner notwendig.

Die Bridge-CA hat eine kleine Anzahl von Standard-Policies mit relativ wenigen Restriktionen definiert. Jede Teilnehmerpolicy wird auf eine geeignete (zugeordnete) Standard-Policy abgebildet. Die zugeordnete Policy muss der Teilnehmer mindestens erfüllen. Diese Zuordnung der Teilnehmerpolicies zu denen der Bridge-CA kann technisch beispielsweise durch den Mechanismus des Policy-Mappings oder durch einfache Auflistung erfolgen. Wichtige enthaltene Informationen sind Zertifikate von Endnutzern und CAs sowie Sperrinformationen. Inwieweit Informationen von Endnutzern durch die teilnehmenden PKIs tatsächlich veröffentlicht werden, liegt ganz im Ermessen dieser PKIs. Die Bridge-CA kann aber dabei helfen, den Zugriff zu vereinfachen.

Randbedingungen zum Mitmachen

Die Teilnehmer an der Bridge-CA verpflichten sich durch eine Erklärung zur Einhaltung der vereinbarten Grundlagen. Die Leistungen von TeleTrusT als Betreiber werden durch ein vom Teilnehmer jährlich zu entrichtendes Entgelt abgegolten. Bemessungsgrundlagen sind, gestaffelt nach der Größe der angeschlossenen PKIs, in einer Preisliste definiert.

Die Teilnahme an der European Bridge-CA stellt einen potenziellen neuen Teilnehmer vor einige organisatorische und technische Herausforderungen, deren Ursache meist in der Konzeption der teilnehmereigenen PKI als homogenes, geschlossenes System liegt. Neben einfachen, technischen Interoperabilitätsproblemen wie der Nutzung unterschiedlicher Zertifikatsprofile können einige organisatorische Schwierigkeiten zutage treten. So ist eine Öffnung von Verzeichnissen (oder von Teilen, z. B. mit Sperrinformationen) mitunter nicht möglich, da es keine ausreichende Trennung von Daten oder kein Zugriffsschutzkonzept gibt.

Es ist allerdings zu erwarten, dass die breite Beteiligung an der European Bridge-CA eine Rückwirkung auf die Ausgestaltung von einzelnen PKIs haben wird. Auch die gemeinsame Nutzung der Erfahrungen aller eingebundenen PKIs zeigt deutliches Nutzenpotenzial. Insgesamt trägt die European Bridge-CA mit ihrem Netzwerkeffekt und den gemeinsamen Richtungsvorgaben dazu bei, PKI-Technologie zukünftig domänenübergreifend besser nutzbar zu machen.

Damit kann die allgemeine Akzeptanz von auf Zertifikaten beruhenden Lösungen für den elektronischen Geschäftsverkehr wirksam gefördert werden. Darüber hinaus werden echte Synergieeffekte erzielt: Mit vergleichsweise geringen zusätzlichen Kosten stellt sich plötzlich ein Netzwerkeffekt auf der Basis einer bisher kleiner gedachten Infrastruktur (Insellösung) ein. Vorhandene Lösungen erfahren damit einen unerwarteten Investitionsschutz.

Die European Bridge-CA wird ebenfalls eine zentrale Funktion in der Initiative der deutschen Bundesregierung "Bund Online 2005" ausüben, da über die Einbindung der PKI-1-Verwaltung in die European Bridge-CA und diese Initiative eine vertrauenswürdige Kommunikation zwischen dem Bürger und der öffentlichen Verwaltung praktisch ohne Extrakosten gewährleistet werden kann.