1 Vorwort

Der Einsatz moderner Informations- und Kommunikations-Technologien ermöglicht eine sehr weit gehende Prozessoptimierung in weiten Teilen des gesellschaftlichen und geschäftlichen Zusammenlebens.
Viele Bereiche des täglichen Lebens erfordern, dass sich der Mensch zu entfernten Orten bewegt, um mit anderen Menschen oder Institutionen Transaktionen abzuwickeln oder Verträge zu schließen.
Der Einsatz der vorgenannten Informations- und Kommunikations-Technologien ermöglicht theoretisch die Fernabwicklung solcher Transaktionen. Auf den zweiten Blick scheitert diese Möglichkeit jedoch schnell an der Notwendigkeit, die Beteiligten sicher zu identifizieren.
Eine Vor-Ort-Prüfung der Identität mittels z. B. eines Abgleichens gegenüber einem Personalausweis ist dabei aufgrund der räumlichen Trennung meist nicht möglich.
Diese Feststellung macht den Bedarf an digitalen Identitäten deutlich. Bedingt durch die nicht vorhandene persönliche Präsenz müssen technische Alternativen geschaffen werden, die das Zusammenwirken auf die Ferne gegebenenfalls auch global verbindlich und nachprüfbar machen.

1.1 Geeignete digitale Identitäten

In den letzten Jahren haben sich weltweit einheitliche Verfahren etabliert, die digitale Identitäten zum Beispiel in Form von Zertifikaten erzeugen und verwalten.
Ein Zertifikat ist eine elektronische Sammlung von Identitätsmerkmalen wie Name, Anschrift, Geburtsdaten.
International existieren verschiedene Institutionen, die die Glaubwürdigkeit solcher Zertifikate besiegeln. Unter dem Oberbegriff Trust Center bestätigen diese Stellen, dass die Identitätsmerkmale auf den Nutzer zutreffen. Hierzu wird entweder durch die Trust Center selbst oder durch von ihnen anerkannte Registrierungsstellen ein Abgleich gegen ein physikalisches Ausweisdokument vorgenommen.

1.2 Grundprinzip

Das zu Gunde liegende Prinzip ist meist ein so genanntes Public Key Verfahren. Hierbei werden für alle Beteiligten Schlüsselpaare erzeugt von denen ein Teil zum öffentlichen Schlüssel erklärt wird. Der zweite, geheime Teil sollte idealerweise so sicher aufbewahrt werden dass er nicht kopiert und somit die Anwendung des Schlüssels kontrolliert werden kann.
Der erste Teil des Schlüssel ermöglicht wiederum die Prüfung, ob der geheime Schlüssel, wie behauptet, auf bestimmte Informationen angewendet wurde.
Der öffentliche Schlüssel kann im einfachsten Fall zusammen mit dem Namen oder als Alias des Inhabers als digitale Identität verteilt werden.

2 Zusammenfassung

Mit dem TeleSec Smartcards erhalten Sie besonders hochwertige digitalen Schlüssel, die es Ihnen ermöglicht, sich gegen viele Ärgernisse des Internet zu schützen und gleichzeitig Ihre Präsenz in der „virtuellen Welt“ aufzuwerten.
Und diese Möglichkeiten liegen, im wörtlichen Sinne alleine in Ihrer Hand!
Sie erhalten eine Chipkarte, wie Sie sie aus vielen Anwendungen wie der Krankenversichertenkarte oder der Geldkarte kennen. Bei TCOS-Smartcards handelt es sich um speziell für Sicherheitsanwendungen entwickelte Chipkarten. Im Chip dieser Karten (außer TCOS-Min) werden im Herstellungsprozess nach modernsten Erkenntnissen erzeugte geheime Schlüssel abgelegt. Von diesen Schlüsseln existieren keine Kopien und es ist nach dem Stand der Technik unmöglich, die Schlüssel aus der Karte auszulesen.
Zur Anwendung kommen diese Schlüssel nur, wenn der Karte gegenüber das gültige Passwort, im üblichen Sprachgebrauch die PIN, präsentiert wird.
Die Anwendung geheimer Schlüssel ermöglicht die eindeutige Zuordnung von Aktionen zu einer Person oder einem System, für welche die Chipkarte registriert wurde.
TeleSec Smartcards ermöglichen darüber hinaus einen vertraulichen Informationsaustausch oder verschlüsselte Datenablage. Alle Daten, die unter Zuhilfenahme öffentlicher Schlüssel aus einer TCOS-Smartcard verschlüsselt wurden, lassen sich nur mit dem zugehörigen geheimen Schlüssel, also einer TCOS-Smartcard wieder entschlüsseln.
nach oben

3 TCOS-Smartcards, Schlüssel zur Identität

3.1 Anwendung von Identitäten

Die Zuordnung einer Aktion zu einer bestimmten Person oder einem bestimmten System (Identität) erfolgt meist in zwei Schritten. Zunächst behauptet der Verursacher einer Aktion, eine bestimmte Identität zu besitzen und die Aktion ausführen zu dürfen (Identifizierung). Im zweiten Schritt wird überprüft, ob die Aktion tatsächlich dieser Identität zugeordnet werden kann (Authentifizierung).

3.1.1 Identifizierung

Die oben genannten Funktionen basieren auf der Nutzung bestimmter digitaler Identitätsmerkmale. An verschiedenen Systemen werden gegebenenfalls unterschiedliche Identitätsmerkmale verlangt. Diese unterschiedlichen Identitätsmerkmale (Attribute) präsentieren die verschieden Rollen, in denen der Inhaber unterwegs ist. So ist ein Mensch in der Regel ein Bürger mit Namen, Vornamen und Geburtsdatum. In einer anderen Rolle Mitarbeiter eines Unternehmens oder Prokurist desselben, in der Freizeit engagiert als Vorsitzender eines Vereins oder ehrenamtlich in einer anderen gesellschaftlichen Rolle. Je nach Rolle kommen Attribute hinzu, die allein oder in Kombination mit dem Namen Verwendung finden können. Im englischen Sprachgebrauch werden solche Attribute auch als Claims bezeichnet.
Eine geeignete Form für die Zusammenfassung solcher Identitätsmerkmale stellt z.B. ein X.509 Zertifikat dar. Hier werden diese Identitätsmerkmale zusammen mit dem öffentlichen Teil eines kryptografischen Schlüssels derart versiegelt, dass wiederum durch Anwendung des öffentlichen Teils des Siegelschlüssels das Siegel geprüft werden kann. Der öffentliche Teil des Benutzer-Schlüssels wird dadurch zu einem weiteren, einem digitalen Identitätsmerkmal des Zertifikatsinhabers.
Technisch gibt es verschiedene Möglichkeiten, digitale Identitätsmerkmale geeignet zusammen zu fassen. So kann z. B. ein authentischer Server ebenfalls eine Zusammenfassung von Identitätsmerkmalen präsentieren. Zur Vereinfachung der Betrachtung nutzen wir im vorliegenden Dokument nur die Variante der X.509 Zertifikate.
Geht es nun um die Identifizierung einer Person oder einer technischen Komponente, weisen sich diese mittels eines Zertifikats aus. Die Prüfinstanz kann hierbei jedoch bis jetzt nur feststellen, ob es sich um ein gültiges Zertifikat handelt. Damit ist nur nachgewiesen, dass die Person oder Komponente existiert. Das heißt, eine Zertifizierungsinstanz hat das Vorhandensein der Person oder Komponente und damit die Identitätsmerkmale überprüft und das Zertifikat gültig erzeugt.

3.1.2 Authentifizierung

Einer TCOS-Smartcard mit ihren hochwertigen Schlüsseln gibt dem Inhaber die Möglichkeit sich auszuweisen. Die Karte weist nach, dass präsentierte Identitätsmerkmale, die die jeweilige Rolle widerspiegeln, benutzt werden dürfen. Der Beweis entsteht durch die technische Verknüpfung von Identitätsmerkmalen und dem Nachweis eines Geheimnisses. Hier bieten TCOS-Smartcards verschiedene Applikationen, die je nach Einsatzgebiet Verwendung finden können.

3.1.2.1 Symmetrische Authentifizierung

TCOS-Smartcards beinhalten je nach Produkt verschiedene Applikationen für symmetrische Authentifikationen. Insbesondere die Applikation OTP soll hier näher erläutert werden.
Es handelt sich um eine Anwendung zur Erzeugung von dynamischen Einmalpasswörtern. Im Rahmen der Trust Center Dienstleistungen bietet die T-Systems den Service OneTimePass an. Dieser kann von TCOS-Smartcards erzeugte Einmalpasswörter auf Korrektheit prüfen. Die Anbindung von Kundensystemen an OneTimePass erfolgt über die Standardprotokolle RADIUS und SOAP.
Die vollständigen Informationen finden Sie unter: OneTimePass

Zwei weitere Applikationen, ZTRT und GLAZ beinhalten ebenso symmetrischen Schlüssel zu denen das Trust Center den Schlüssel ebenfalls kennt. Diese werden nur zu Vollständigkeit hier aufgeführt, sind jedoch meist für Einzelanwender uninteressant.

3.1.2.2 Asymmetrische Authentifizierung mittels Public Key

Bei Public Key Systemen werden die Identitätsmerkmale üblicherweise in Form von Zertifikaten mit dem öffentlichen Schlüssel zusammen versiegelt. Das Gegenstück, der geheime kryptografische Schlüssel befindet sich in sicherer Verwahrung durch die Karte. Das Betriebssystem der Chipkarte verhindert einerseits, dass der Schlüssel aus der Karte gelesen und damit kopiert werden kann. Die Hauptaufgabe der Karte besteht andererseits in der Abwicklung des kryptografischen Rechenprozesses unter Anwendung des geheimen Schlüssels.
Um diese Leistungen auf eine Person oder ein System zu beschränken, erwartet die Karte vor der Nutzung die Präsentation eines gültigen individuellen Passwortes (PIN) durch die Person oder Komponente.
Das Betriebssystem der Chipkarte legt mit der Initialisierung und Codierung der Karte fest, welche Aktionen der Karte PIN-geschützt sein sollen. So ist es z. B. möglich, Bereiche so zu kodieren, dass sie nur nach PIN-Prüfung gelesen werden können. Damit entstehen „abgestufte Geheimnisse“, die entsprechend den Anforderungen der geschützten Systeme preisgegeben oder angewendet werden können.
Einmal ist es das Rechnerpasswort, welches nach PIN-Prüfung durch eine Chipkarte übergeben wird. In einem anderen Fall wird ein digitales Zertifikat erwartet, welches den Inhaber als Bürger eines Staates oder als Mitarbeiter einer Firma oder Institution ausweist.
Im ersten Fall liefert die Karte das Passwort nach PIN-Prüfung. Im zweiten Fall erwartet das geschützte System den Nachweis, dass der Karteninhaber das präsentierte Zertifikat benutzen darf. Hierzu wird der Karte ein zufälliger Wert zur Verschlüsselung mit dem internen geheimen kryptografischen Schlüssel übergeben. Kann das Ergebnis nach Entschlüsselung mit dem öffentlichen Schlüssel aus dem Zertifikat positiv verglichen werden, passt die Karte zum Zertifikat.
Da vor der Aktion die PIN abgefragt wurde, kann und muss davon ausgegangen werden, dass der Karteninhaber die gewünschte Person oder das vorgegebene System ist.

3.2 Vertraulichkeit und verschlüsselte Datenablage

Wie bereits beschrieben, liegen den TCOS-Smartcards Kenntnisse modernster Verschlüsselungstechnik (Kryptologie) zugrunde. Verschlüsselung wird immer dann benötigt, wenn es darum geht, Informationen vor unberechtigtem Lesen oder Verarbeiten zu schützen.
Dazu wird zwischen einem Autor oder Absender einer Nachricht(A) und dem Verarbeiter oder Empfänger (B) ein Schlüssel ausgetauscht. Damit ist es A möglich, die Information so zu verschlüsseln, dass nur B sie wieder lesen oder verarbeiten kann.
Möchte man nun in einer größeren Gruppe von Teilnehmern Daten so austauschen, dass jeder mit jedem so verschlüsselt kommuniziert, dass kein Dritter mitlesen kann, wird das notwendige Schlüsselmanagement schnell sehr aufwendig.
So genannte Public Key Kryptologie vereinfacht das Schlüsselmanagement sehr stark. Jeder Teilnehmer benötigt genau ein Schlüsselpaar bestehend aus einem öffentlichen (public) Schlüssel und einem geheimen (secret) Schlüssel.
Öffentliche Schlüssel können über öffentliche Verzeichnisse verteilt werden. Somit ist es möglich, jedem Teilnehmer aus dem Verzeichnis Informationen vertraulich zukommen zu lassen. Dazu sind diese Informationen lediglich mithilfe des öffentlichen Schlüssels zu verschlüsseln. Nur der Inhaber des zugehörigen geheimen Schlüssels kann die Klardaten wieder reproduzieren.
Bei verschlüsselter Datenablage kann z. B. der Autor selbst seine Daten mit seinem eigenen öffentlichen Schlüssel verschlüsselt ablegen. Damit sind diese Daten vor dem Zugriff durch  Dritte geschützt.

3.3 Qualität der Komponenten der TCOS Smartcards

Die TCOS-Chipkarten der TeleSec bestehen aus zwei entscheidenden Komponenten, deren Qualität die Alleinstellung der TCOS-Smartcards ausmachen, die Qualität des Betriebssystems und die Qualität der internen Schlüssel.

3.3.1 Die Qualität des Betriebssystems

TCOS-Smartcards basieren auf dem TeleSec Chipcard Operating System (TCOS), welches seit vielen Jahren unter ständiger Begleitung durch neutrale Sicherheitsevaluatoren entwickelt und gepflegt wird.
So bildet TCOS zum Beispiel die Basis für die qualifizierten Signaturkarten der Deutschen Telekom AG oder auch für den Chip im deutschen Reisepass oder dem neuen deutschen Personalausweis.
Dies sind nur zwei Beispiele, in denen TCOS die jeweils notwendige Qualitäts- und Vertrauensstufe erreicht hat.

3.3.2 Die Qualität der internen Schlüssel

Die Generierung der Schlüssel für TCOS-Smartcards erfolgt innerhalb des T-Systems Trust Centers. Ausgesuchte TCOS-Smartcards, wie die TCOS 3.0 SignatureCard eine gesonderte Applikation (SigG), die als sogenannte Sicher Signatur Erstellungs Einheit (SSEE) nach dem deutschen Signaturgesetzt evaluiert und bestätigt ist. Das Schlüsselmaterial dieser Applikation stammt von einem ebenfalls evaluierten und bestätigten Schlüsselgenerator. Diese Bestätigung stellt sicher, dass die Schlüssel eines Generators nur in geeignete TCOS-Module geschrieben werden können. Diese SSEE kann somit im Zusammenspiel mit einem geeigneten Zertifizierungsdiensteanbieter für qualifizierte elektronische Signatur eingesetzt werden.

Andere Applikationen beinhalten ggf. mehrere ebenfalls im Trust Center erzeugte asymmetrische Schlüssel, die von einem technologisch gleichen Schlüsselgenerator erzeugt wurden. Diese Schlüssel erfüllen die Bedingungen für sogenannte fortgeschrittene Zertifikate.

4 Systemvoraussetzungen

Gängige moderne Computerbetriebssysteme stellen Schnittstellen und Middleware für die Anschaltung und Ansteuerung von Chipkartenlesern zur Verfügung.
Für die Benutzung von TCOS-Smartcards benötigen Sie einen geeigneten Chipkartenleser, der über solche Middleware die Verbindung zwischen den Kontakten der Chipkarte oder der Funkantenne und dem Betriebssystem Ihres Rechners herstellt.

5 Installation und Inbetriebnahme

Für Testzwecke wird für den TCOS Cardmanager ein Plug-In zur Verfügung gestellt, mit dem selbstsignierte Test-Zertifikate generiert und geeignete Karten geschrieben werden können. Hierzu muss zusätzlich die OpenSource-Bibliothek OpenSSL installiert werden. Das Plug-In unterstützt nur TCOS-Netkey 3.0 und TCOS-IDKey Chipkarten. Diese Zertifikate verwenden nicht die bei der Produktion auf den TCOS Smartcards vorinstallierten Schlüsselpaare. Für diese Zertifikate existiert keine vertrauenwürdige Root oder nicht die Möglichkeit zur standardiiserten Zertifikatsprüfung (LDAP/OCSP). Aus diesem Grund können in einigen Anwendungen diese selbstgenerierten Zertifikate nur eingeschränkt genutzt werden. Wir empfehlen immer hochwertige Zertifikate von einer entsprechenden CA mit einer vertrauenswürdigen Root und Verzeichnisdiensten zur Überprüfung der Vertrauenswürdigkeit und Gültigkeit der Zertifikate zu verwenden.