Zwischenzeit-Stempel Einsparpotenzial durch intervallqualifizierte Zeitstempel

Ordnungsmerkmale

erschienen in: <kes> 2004^#4, Seite 58

Zusammenfassung: Digitale Zeitstempel mit hohem Beweiswert sind vergleichsweise teuer. Nicht immer benötigt man aber eine sekundengenaue Zeitstempelung. Intervall-qualifizierte Zeitstempel können dann mit erheblich weniger Aufwand einen beinahe gleich hohen Beweiswert liefern.

Autor: Von Detlef Hühnlein, Michelau

Im Rahmen der elektronischen Abwicklung von Geschäftsprozessen werden Zeitstempel zur verbindlichen Verknüpfung elektronischer Daten mit Zeitattributen eingesetzt. Für hohe Rechtsverbindlichkeit kommen üblicherweise qualifizierte Zeitstempel gemäß Signaturgesetz zum Einsatz (§ 2 Nr. 14 SigG). Das Gesetz definiert einen qualifizierten Zeitstempel als eine "Bescheinigung eines Zertifizierungsdiensteanbieters" (ZDA), dass ihm "bestimmte elektronische Daten zu einem bestimmten Zeitpunkt" vorgelegen haben. Da solche Zeitstempel nur bei signaturgesetzkonformen Zertifizierungsdiensteanbietern über das Internet bezogen werden können, sind mit dem massenhaften Einsatz qualifizierter Zeitstempel nicht nur hohe Netzlasten, sondern zumeist auch hohe Kosten verbunden.

Eine weniger aufwändige Lösung können Intervall-qualifizierte (IQ) Zeitstempel sein. Diese erzeugt man im eigenen Haus und verknüpft sie auf geschickte Art und Weise mit jeweils einem (eine größere Zeitspanne) davor und danach erstellten qualifizierten Zeitstempel. Es lässt sich dann beweisen, dass die IQ-Zeitstempel tatsächlich in dem Zeitfenster der beiden qualifizierten Zeitstempel angefertigt wurden. Dadurch ist für viele Applikationen der tägliche Bezug eines einzigen qualifizierten Zeitstempels ausreichend.

Selbermachen reicht nicht

Die qualitativen Unterschiede zwischen selbsterzeugten und qualifizierten Zeitstempeln, die vor allem den Beweiswert der Zeitstempel beeinflussen, ergeben sich anhand der hohen Anforderungen gemäß Signaturgesetz (SigG) und -verordnung (SigV), die ein Anbieter qualifizierter Zeitstempel erfüllen muss:

• Nachweisliche Zuverlässigkeit und Fachkunde (§ 4 SigG und § 5 SigV),
• Sicherheitskonzept (§ 4 SigG und § 2 SigV),
• Dokumentation (§ 10 SigG und § 8 SigV),
• Haftung (§ 11 SigG),
• Deckungsvorsorge (§ 12 SigG und § 9 SigV),
• geprüfte technische Komponenten, die eine Fälschung oder Verfälschung von Zeitstempeln ausschließen und eine Herstellererklärung oder Bestätigung aufweisen (§ 17 SigG, § 15 SigV und Anlage 1 SigV).

Da bei organisationsinternen Zeitstempeldiensten die meisten dieser anspruchsvollen – und in der Umsetzung vergleichsweise teuren – Anforderungen grundsätzlich verzichtbar sind, ist es wenig verwunderlich, dass selbsterzeugte Zeitstempel in aller Regel wesentlich kostengünstiger sind als qualifizierte Zeitstempel.

Insbesondere entfallen bei den selbsterzeugten Zeitstempeln die transaktionsabhängigen Gebühren pro Zeitstempel, mit denen ein Zertifizierungsdiensteanbieter seine zusätzlichen Investitionen und den Betriebsaufwand umlegt. Deshalb ist es – unter wirtschaftlichen Gesichtspunkten, besonders bei einer großen Anzahl benötigter Zeitstempel – wünschenswert, qualifizierte Zeitstempel durch selbsterzeugte Zeitstempel zu ersetzen.

Da der Beweiswert selbsterzeugter Zeitstempel aber unter Umständen sehr gering ist, könnte dies in Streitfällen zu Problemen führen. Hat ein Zeitstempel, dessen Zweck per Definition der Beweis der Existenz bestimmter Daten zu einem bestimmten Zeitpunkt ist, keinen Beweiswert, so ist er praktisch wertlos. Deshalb ist die Verwendung selbsterzeugter Zeitstempel statt qualifizierter Zeitstempel nur dann ratsam, wenn der Beweiswert der Zeitstempel unter dieser Substitution nicht oder nicht wesentlich leidet.

Selbermachen reicht doch

Die wesentliche Errungenschaft der hier vorgestellten IQ-Zeitstempel ist, dass der Beweiswert dieser speziellen selbsterzeugten Zeitstempel beinahe dem Beweiswert qualifizierter Zeitstempel gleichkommt: Man kann für einen IQ-Zeitstempel nämlich beweisen, dass er in einem Zeitintervall erzeugt wurde, das durch zwei qualifizierte Zeitstempel definiert wird.

Ein Zeitstempeldienst TSS erzeugt einen Zeitstempel QS typischerweise, indem er die Konkatenation (in Zeichen: |) aus bestimmten Daten d und einem Zeitattribut t mit seinem geheimen Schlüssel sk_TSS signiert:

(1)   QS = Sig_TSS (d | t , sk_TSS)

Dieser Zeitstempel QS dokumentiert, dass die Daten d zum Zeitpunkt t beim Zeitstempeldienst TSS vorgelegen haben. Kann niemand derartige Signaturen fälschen und ist TSS hinreichend vertrauenswürdig, sodass stets die aktuelle Zeit t zur Produktion solcher Zeitstempel verwendet wird, dann beweist QS, dass d bereits vor dem Zeitpunkt t existiert hat.

Sei h: {0,1}^* → {0,1}ⁿ eine kryptographische Hashfunktion, sodass es bei gegebenem h(x) praktisch unmöglich ist, x zu ermitteln (Einwegeigenschaft) und es praktisch unmöglich ist ein Paar x₁,x₂ zu finden, sodass h(x₁)=h(x₂) (Kollisionsresistenz).

Dann induzieren die Einwegeigenschaft und Kollisionsresistenz von h eine relative zeitliche Ordnung zwischen dem Argument und dem Funktionswert von h (vgl. bspw. Section 3.1 von [6]). Existiert der Wert h(x) zum Zeitpunkt t, so impliziert die Einwegeigenschaft und die Kollisionsresistenz von h, dass das Dokument x bereits vor dem Zeitpunkt t existiert haben muss.

Seien A ein mit einem Signaturschlüsselpaar (sk_A, pk_A) ausgestattetes Subjekt (z. B. ein organisationsinterner Zeitstempeldienst) und r beliebige Daten. Seien weiterhin

(2)   QS₁ = Sig_TSS (r | T₁ , sk_TSS),

(3)   S = Sig_A (h (QS₁) | m | t , sk_A)

und

(4)   QS₂ = Sig_TSS (h (S) | T₂ , sk_TSS).

Unterstellt man, dass TSS vertrauenswürdig ist, dann wurde die Signatur in (2) zum Zeitpunkt T₁ und die Signatur in (4) zum Zeitpunkt T₂ erstellt. Ist t der Zeitpunkt der Erstellung der Signatur in (3), dann gilt

(5)   t > T₁

weil bei der Signatur in (3) der Hashwert h (QS₁) des Zeitstempels QS₁ verwendet wurde. Andererseits fließt der Hashwert h (S) der Signatur S aus (3) in den Zeitstempel aus (4) ein. Deshalb ist außerdem

(6)   t < T₂.

Aus (5) und (6) folgt schließlich, dass A die Signatur S in (3) im offenen Zeitintervall ]T₁,T₂ [ erzeugt haben muss (vgl. Abb. 1).

Abbildung 1: Relative zeitliche Ordnung mittels Hashfunktion

Stapelsignatur

Sollen mehrere Signaturen S_i zwischen den beiden vertrauenswürdigen Zeitstempeln erzeugt werden, so bezieht man den Zeitstempel QS₁ in jede Signatur S_i ein und integriert die verschiedenen Signaturen S_i wiederum in geeigneter Weise in den Zeitstempel QS₂ . Hierfür bietet sich die Verwendung der Stapelsignatur-Strategie aus [7] an, die im Kern auf Merkles Authentisierungsbaum basiert (s. [5]). Dabei werden die Signaturen S_i, wie in Abbildung 2 angedeutet, als Blätter eines binären Hashbaumes aufgefasst, wobei die Wurzel dieses Baumes schließlich im Rahmen der Erstellung von QS₂ signiert wird.

Abbildung 2: Binärer Hashbaum für Stapelsignatur mit drei Blättern

Durch die Kombination der beiden einfachen Ideen einer relativen zeitlichen Ordnung durch die Hashfunktion sowie der Stapelsignatur mit binärem Hashbaum erhält man schließlich die Intervall-qualifizierten Zeitstempel (vgl. Abb. 3). Analog zur obigen Konstruktion (vgl. Abb. 1), ist auch hier leicht einzusehen, dass die Signaturen S_i nach T₁ und vor T₂ erstellt worden sind. Ein formaler Beweis dieser Aussage findet sich in [3] (Theorem 1).

Abbildung 3: Konstruktion Intervall-qualifizierter Zeitstempel

Die Erzeugung eines IQ-Zeitstempels erfolgt grob gesagt in drei Schritten (vgl. Abb. 4, für eine detaillierte Spezifikation der Syntax und Prozesse siehe [4]):

• Der IQ-Zeitstempel-Dienst erhält von einem ZDA einen qualifizierten Zeitstempel QS_{1 .}
• Dieser qualifizierte Zeitstempel QS₁ fließt als signiertes Attribut in die Zeitstempel S_i ein, die der IQ-Zeitstempel-Dienst für die Clients ausstellt.
• Die Zeitstempel S_i fließen in einen erweiterten Zeitstempel QS₂ ein, der – mit dem individuellen, zur speziellen Signatur S_i gehörigen, so genannten Reduced Hashtree – als unsigniertes Attribut in S_i integriert wird.

Abbildung 4: System zur Erstellung von IQ-Zeitstempeln

Sicherheit und Beweiswert

Da Zeitstempel vor Gericht als Objekte des richterlichen Augenscheins behandelt werden, muss man bei der Betrachtung des Beweiswertes eines Zeitstempels hinterfragen, wie schwierig es sein würde einen Beweis durch Augenschein (§ 371ff ZPO) zu erschüttern, der sich auf den Zeitstempel stützt.

In der Praxis erfolgt das Ausstellen von (qualifizierten oder selbsterzeugten) Zeitstempeln zumeist durch die elektronische Signatur (des Hashwertes) der Nutzdaten und einer Zeitangabe. Deshalb ist insbesondere zu untersuchen, ob

• die Signatur gefälscht sein könnte und ob
• die durch die Signatur eingeschlossene Zeitangabe mit der zum Zeitpunkt der Signaturerstellung aktuellen Zeit übereinstimmt.

Bei der ersten Frage muss nach der Art der verwendeten Signatur unterschieden werden. Verwendet man eine qualifizierte elektronische Signatur, so kann gemäß Zivilprozessordnung der Anschein der Echtheit der Signatur nur durch Tatsachen erschüttert werden, die ernstliche Zweifel daran begründen (§ 292a ZPO). Wird eine qualifizierte elektronische Signatur mit Anbieterakkreditierung verwendet, so dürfte es noch schwieriger sein, den Anschein der Echtheit zu erschüttern – in der Begründung zum Signaturgesetz ist gar von einer "Art Sicherheitsvermutung" die Rede.

Werden lediglich fortgeschrittene oder gar einfache elektronische Signaturen zur Erstellung der Zeitstempel eingesetzt, so kann es unter Umständen sehr einfach sein, einen Anscheinsbeweis, der sich auf einen solchen Zeitstempel stützt, zu erschüttern – der Beweiswert dieser Zeitstempel wäre also eher gering.

Während die Möglichkeit der Signaturfälschung durch den Einsatz qualifizierter elektronischer Signaturen (mit Anbieterakkreditierung) praktisch auszuschließen ist, so bleibt es ungleich schwieriger zu beweisen, dass die im Zeitstempel angegebene Zeit mit der bei der Erstellung des Zeitstempels aktuellen Zeit übereinstimmt.

Hier wird man sich (bei einer vorab oder auf Grund eines Streitfalles durchgeführten Prüfung) mit dem Nachweis begnügen müssen, dass beim Zeitstempeldienst mehr oder weniger wirkungsvolle (technische, organisatorische und personelle) Sicherheitsmechanismen implementiert sind, die dafür Sorge tragen, dass dieser stets die gesetzlich gültige Zeit zur Zeitstempelung verwendet.

Geht man davon aus, dass zur Erstellung von (selbsterzeugten oder qualifizierten) Zeitstempeln immer qualifizierte elektronische Signaturen mit Anbieterakkreditierung eingesetzt werden, dann hängt der Beweiswert des Zeitstempels vor allem von der Authentizität der bei der Erzeugung verwendeten Zeitquelle sowie der Integrität des Gesamtsystems ab.

Qualifizierte Zeitstempel

Der Unterschied zwischen selbsterzeugten und qualifizierten Zeitstempeln besteht darin, dass ein Zertifizierungsdienstanbieter (ZDA), der qualifizierte Zeitstempel erstellt, die eingangs aufgelisteten Mindestanforderungen erfüllen muss. Im Hinblick auf den Beweiswert sind besonders die im Sicherheitskonzept (und den darin referenzierten Produktdokumentationen und Prüfberichten) aufgeführten Sicherheitsmaßnahmen von Bedeutung, welche die Integrität und Authentizität der Zeitquelle und des Gesamtsystems gewährleisten. Durch die Anbieterakkreditierung (§ 15 SigG) wird zudem der "Nachweis der umfassend geprüften technischen und administrativen Sicherheit" erbracht. Deshalb dürfte es – umso mehr bei einem ZDA mit Anbieterakkreditierung – äußerst schwierig sein, den Augenscheinsbeweis zur Echtheit eines qualifizierten Zeitstempels zu widerlegen. Der qualifizierte Zeitstempel eines akkreditierten Anbieters dürfte im Streitfall also einen sehr hohen Beweiswert haben.

IQ-Zeitstempel

Wie bereits erläutert, besteht ein Intervall-qualifizierter Zeitstempel im Wesentlichen aus drei Zeitstempeln (QS₁, S_i und QS₂), die durch eine kryptographische Hashfunktion h so in Beziehung gesetzt sind, dass S_i erst nach der Erstellung von QS₁ und QS₂ erst nach der Erstellung von S_i erzeugt worden sein kann (auf Grund der Einwegeigenschaft und Kollisionsresistenz von h).

Sofern eine geeignete Hashfunktion h zur Konstruktion der Intervall-qualifizierten Zeitstempel verwendet wurde, lässt sich somit beweisen, dass der Zeitpunkt der Erstellung der Signatur S_i zwischen der Erstellung von QS₁ und QS₂ liegen musste.

Hashfunktionen, die nach dem jeweils aktuellen Stand der Wissenschaft und Technik, die Einwegeigenschaft und Kollisionsresistenz aufweisen, werden von der Regulierungsbehörde für Telekommunikation und Post (RegTP) regelmäßig im Bundesanzeiger veröffentlicht. In der aktuellen Bekanntmachung [8] wird davon ausgegangen, dass die Algorithmen RIPEMD-160 und SHA-1 mindestens bis zum Jahr 2008 einsetzbar sind.

Bei Produkten, die Intervall-qualifizierte Zeitstempel realisieren, muss außerdem noch vorab (im Rahmen einer Prüfung und Bestätigung gemäß § 15 Abs. 7 SigG) oder im Streitfall vor Gericht nachgewiesen werden, dass die genannten Mechanismen tatsächlich implementiert sind und die eingesetzten Komponenten zum fraglichen Zeitpunkt in einem einwandfreien Zustand waren. Sind diese Voraussetzungen gegeben, so ist bewiesen, dass der fragliche Zeitstempel S_i tatsächlich zwischen QS₁ und QS₂ erstellt wurde.

Bezüglich der Intervallzugehörigkeit T₁ < t_i < T₂ bleibt also der hohe Beweiswert der qualifizierten Zeitstempel erhalten, wohingegen der genaue Zeitpunkt t_i der Erstellung von S_i nur mit dem geringeren Beweiswert des selbsterzeugten Zeitstempels dokumentiert ist. Wird beispielsweise täglich ein qualifizierter Zeitstempel angefordert, so ist zwar das Datum der Intervall-qualifizierten Zeitstempel nachweislich authentisch, aber möglicherweise nicht die Uhrzeit. Für etliche Anwendungsfälle sollte diese Genauigkeit der Zeitangabe jedoch völlig genügen.

Effizienz und Wirtschaftlichkeit

Wie sich direkt aus dem in Abbildung 3 skizzierten Aufbau der IQ-Zeitstempel erkennen lässt, benötigt man zusätzlichen Speicherplatz für die beiden Zeitstempel QS₁ und QS₂ . Für die Speicherung eines einfachen, in [1] definierten Zeitstempels werden etwa 300 Byte benötigt (als Näherung ca. 100 Byte für die Zeitstempel-Rohdaten und ca. 200 Byte für eine 1024-Bit-RSA-Signatur).

Der Speicherbedarf für den reduzierten Hashbaum hängt von der Tiefe des Baumes ab, die wiederum logarithmisch von der Anzahl n der zwischen T₁ und T₂ selbst erzeugten Zeitstempel abhängt. Bei einer Million selbsterzeugter Zeitstempel S_i müssen beispielsweise höchstens 20 (= ⌈log₂(10⁶)⌉) Knoten zu 21 Byte gespeichert werden – der zusätzliche Speicherbedarf pro Zeitstempel läge in diesem Fall also bei rund 1 kByte.

Die Abschätzung des wirtschaftlichen Effektes eines IQ-Zeitstempel-Einsatzes in Tabelle 1 geht davon aus, dass

• die Stückkosten für den Bezug der qualifizierten Zeitstempel abhängig von der Anzahl x der jährlich bezogenen Zeitstempel sind und sich aus der Funktion k=1 / log₁₀(x) errechnen,
• für die Bereitstellung eines Systems zur Erzeugung der IQ-Zeitstempel eine Investition in Höhe von 20 000 € nötig wird,
• pro Arbeitstag ein qualifizierter Zeitstempel angefordert wird, wobei ein Jahr 250 Arbeitstage hat.

Aufgrund dieser Annahmen amortisiert sich die Investition in ein System zur Erstellung Intervall-qualifizierter Zeitstempel bereits nach etwa einem Jahr, sofern mindestens 400 Zeitstempel pro Tag benötigt werden (vgl. Tab. 1).

Detlef Hühnlein ist Senior Consultant bei der secunet Security Networks AG.

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2004^#4, Seite 58