NPA: Signaturfunktion

Signatrufunktion des künftigen Personalausweises

Einleitung

Der neue Personalausweis enthält die Möglichkeit, ihn für eine qualifizierte elektronische Signatur (QES) zu verwenden, wofür er vor der Schlüsselerzeugung und der Speicherung eines Zertifikats eines entsprechenden Diensteanbieters (ZDA) dafür vorbereitet werden muss: es muss die sogenannte eSign-PIN gesetzt werden. Dies soll medienbruchfrei geschehen, also komplett online über einen PC möglich sein. Im Security Workshop sollten die rechtlichen und technischen Grundlagen bzw. Richtlinien hierfür betrachtet werden und im Rahmen des Anwendungstests der Vorgang des Aktivierens der Signaturfunktion ausprobiert werden.

Rechtliche Grundlagen

Als rechtliche Grundlagen sind vor allem das Signaturgesetz, die Signaturverordnung und das Personalausweisgesetz ausschlaggebend.

Das Signaturgesetz legt unter anderem fest, was unter qualifizierten elektronischen Signaturen zu verstehen ist, nämlich:

• Daten in elektronischer Form, die mit anderen elektronischen Daten so verknüpft sind, dass eine nachträgliche Änderung der Daten erkannt werden kann,
• die ausschließlich dem Signaturschlüsselinhaber zugeordnet sind und
• die Identifizierung desselben ermöglichen,
• die mit Mitteln erzeugt werden, die der Signaturschlüsselinhaber unter seiner alleinigen Kontrolle halten kann und
• auf einem zum Zeitpunkt ihrer Erzeugung gültigen qualifizierten Zertifikat beruhen,
• und mit einer sicheren Signaturerstellungseinheit (SSEE) erzeugt werden.
  

nach § 2 SigG

Der neue Personalausweis muss für eine QES also einen Signaturschlüssel gespeichert haben, als auch ein Zertifikat besitzen. Dieses wird von ZDAs angeboten, die eine entsprechende Möglichkeit für den nPA bereitstellen müssen. So muss ein ZDA nach § 5 des SigG Personen, die ein Zertifikat beantragen, zuverlässig zu identifizieren, und die Zuordnung eines Signaturprüfschlüssels zu einer identifizierten Person durch ein qualifiziertes Zertifikat zu bestätigen. Diese Zertifizierungsdiensteanbieter können sich von der zuständigen Behörde für diesen Dienst akkreditieren lassen, dies ist jedoch freiwillig.
Da das Signaturgesetz nur einen rechtlichen Rahmen für Signaturen allgemein bereitstellt, fehlen Angaben über das genaue Wie der einzelnen Vorgänge. So heißt es bspw. in Satz 4 von § 5 des Signaturgesetzes:

"Der Zertifizierungsdiensteanbieter hat Vorkehrungen zu treffen, damit Daten für

qualifizierte Zertifikate nicht unbemerkt gefälscht oder verfälscht werden können. Er hat weiter Vorkehrungen zu treffen, um die Geheimhaltung der Signaturschlüssel zu gewährleisten. Eine Speicherung von Signaturschlüsseln außerhalb der sicheren

Signaturerstellungseinheit ist unzulässig."

Die Signaturverordnung ist eine Ergänzung zum Signaturgesetz und führt Einzelregelungen und Anforderungen auf.
So wird auch § 5 des SigG ein wenig konkretisiert. In Satz 2 von § 5 des SigV heißt es:

"Der Zertifizierungsdiensteanbieter hat von ihm bereitgestellte Signaturschlüssel

und Identifikationsdaten dem Signaturschlüssel-Inhaber auf der sicheren Signaturerstellungseinheit persönlich zu übergeben und die Übergabe von diesem schriftlich oder als mit einer qualifizierten elektronischen Signatur nach dem Signaturgesetz versehenes elektronisches Dokument bestätigen zu lassen, es sei

denn, es wird eine andere Übergabe vereinbart."

Da der elektronische Personalausweis einerseits als SSEE genutzt werden können soll, andererseits auf Grund der Optionalität der Signaturschlüssel erst nachträglich erzeugt wird, wenn gewünscht, muss nach oben stehendem Satz eine andere Übergabe vereinbart werden. Dies läuft darauf hinaus, dass der elektronische Identitätsnachweis (eID) genutzt wird, um sich bei einem ZDA nachträglich ein qualifiziertes Zertifikat zu besorgen, damit der Vorgang medienbruchfrei abläuft und der Nutzer ihn bequemer durchführen kann.

Hierzu ergänzt das "Gesetz über Personalausweise und den elektronischen Identitätsnachweis sowie zur Änderung weiterer Vorschriften" vom 18. Juni 2009, also das Personalausweisgesetz, in Artikel 4 die Signaturverordnung folgendermaßen:

"Die Identifizierung des Antragstellers kann auch mithilfe des elektronischen Identitätsnachweises gemäß § 18 des Personalausweisgesetzes erfolgen."

Technische Richtlinien

Die technischen Richtlinien beschreiben unter anderem die Abläufe der einzelnen Anwendungsmöglichkeiten, als auch die Anforderungen an Hard- und Software. Hauptsächlich sind folgende Richtlinien für die Signaturfunktion von Belang:

• BSI-TR-03110 — Sicherheitsmechanismen für maschinenlesbare Reisedokumente
• BSI-TR-03112 — Das eCard-API Framework
• BSI-TR-03117 — Richtlinie für eCards mit kontaktloser Schnittstelle als sichere Signaturerstellungseinheit
• BSI-TR-03119 — Anforderungen an die Kartenleser für den elektronischen Personalausweis (ePA)

daneben gibt es noch weitere, die für das Thema von Interesse sein können, unter anderem:

• BSI-TR-03105 — Konformitätstests für elektronische ID-Dokumente
• BSI-TR-03127 — Richtlinie zur Architektur des elektronischen Personalausweises

Aus diesen Dokumenten geht folgendes für die Signaturfunktion hervor:

• Das Kartenlesegerät muss vom Typ komfort sein und sich mit seinem Berechtigungszertifikat beim nPA anmelden.
• Die eSign-PIN muss vom Nutzer gesetzt werden um den nPA für das Nachladen eines Signaturschlüssels und Zertifikats bereit zu machen.
• Die eSign-PIN besteht aus 6 Stellen.
• Zum setzen der eSign-PIN wird vorher die CAN abgefragt.
• Das abfragen auf Korrektheit der eSign-PIN erfolgt über ein VERIFY Kommando und nicht über das PACE-Protokoll - dieses muss bereits vorher für einen sicheren Kanal aufgebaut sein.

noch in Bearb...