Von Hüpfburgen und Reisepässen

Public Key Infrastructure Von Hüpfburgen und Reisepässen

19.03.2021Autor: Melanie Staudacher

Zur Verifizierung von Identitäten nutzen Zertifizierungsstellen die sogenannte Public Key Infrastructure. Zwar kommt die Technologie häufiger im Alltag zum Einsatz, als man im ersten Moment glauben mag. Sie erfordert gleichzeitig jedoch eine Menge Knowhow.

Firmen zum Thema

Stulz GmbH

Fujitsu Technology Solutions GmbH

Tech Data GmbH & Co. OHG

Klingt komisch, ist aber so: Die „Legion der Hüpfburg“ stellt die API-Bibliothek, auf der die Lösungen von PKI-Anbieter Primekey basieren, bereit.
(Bild: © arkezz - stock.adobe.com)

Wie passen der elektronische Reisepass, Smart Devices, E-Mails und eine Hüpfburg in einen gemeinsamen Kontext? Das verbindende Element ist die Technologie Public Key Infrastructure (PKI)! Dabei handelt es sich um eine Sicherheitsinfrastruktur, die Services für einen sicheren Datenaustausch bereitstellt.

Mithilfe der PKI lassen sich Zertifikate und die Zugehörigkeit von öffentlichen Schlüsseln prüfen. Dieser Schlüssel könnte zum Beispiel per E-Mail versendet oder von einer Website heruntergeladen werden. Mit digitalen Zertifikaten wird sichergestellt, dass es sich nicht um eine Fälschung des Schlüssels handelt.

Daraus ergibt sich eine große Bandbreite an Anwendungsszenarien. Sowohl der Reisepass wie auch der elektronische Personalausweis verbinden eine natürliche Person mit einer digitalen Identität. Bei der Beantragung des Passes überprüft das Einwohnermeldeamt die Identität und mit Abgabe des Fingerabdrucks wird zusätzlich die physische Identität elektronisch übertragen. An der Grenzkontrolle wird der Pass dann auf ein Lesegerät gelegt, welches die elektronischen Zertifikate liest. „Man kann sich so ganz gut vorstellen, was da für eine Infrastruktur zur Verfügung stehen muss. Ich muss schließlich weltweit die Identität jeder Grenzkontrollstelle bekannt machen können“, resümiert Andreas Philipp, Business Development Manager bei Primekey. Das schwedische Unternehmen ist einer der bekanntesten Anbieter für zertifikatsbasierte IT-Sicherheitssysteme.

Bestandteile einer Public Key Infrastructure

Eine PKI umfasst folgende Komponenten:

eine Zertifizierungsstelle, die die digitalen Zertifikate ausgibt

ein Zertifikat mit öffentlichem Schlüssel

eine Registrierungsstelle, die die Richtigkeit der Daten im Zertifikatsantrag prüft und genehmigt

ein Verzeichnis zur Aufbewahrung und Verwaltung der Zertifikate und ihrer Schlüssel

Geben beispielsweise Unternehmen elektronisch gesicherte Mitarbeiterausweise aus, ist die Infrastruktur natürlich weitaus kleiner. Auch intelligente Geräte sind häufig mit digitalen Zertifikaten ausgestattet. Wenn der Nutzer Daten abfragen möchte, meldet sich das Gerät bei der zentralen Plattform des Herstellers, wo es sich mit dem Zertifikat ausweisen muss. Dann prüft die Plattform, ob dieses Gerät überhaupt Zugriff auf die betreffenden Informationen haben darf.

Wie funktioniert der elektronische Reisepass?

Der ePass wurde in Deutschland im November 2005 eingeführt. In der Datenkarte des Passbuchs ist ein kontaktloser Radio Frequency Chip integriert. Auf diesem befinden sich die persönlichen Daten und das biometrische Gesichtsbild des Inhabers. Seit 2007 zudem auch zwei Fingerabdrücke.

Eine zentrale Speicherung der Daten findet laut BSI nicht statt. Die Fingerabdrücke werden nur auf dem Chip für eine kurze Zeit während der Produktion des Passes gespeichert. Sobald der Inhaber seinen Pass bei der Meldebehörde abholt, werden die Abdrücke gelöscht. Zum Schutz des Chips gegen unbefugtes Auslesen gibt es verschiedene Sicherheitsmechanismen. Dadurch ist es möglich, Fälschungen oder Verfälschungen des Passes schnell zu erkennen.

Smarte Geräte und IoT-Devices sind für die PKI jedoch eine Herausforderung. Denn hier handelt es sich nicht um natürliche Identitäten, die mit den Zertifikaten versehen werden, sondern um Maschinen, die sich gegenüber einem Dienst ausweisen müssen. „Die Identität wird bereits in der Produktion an das Gerät vergeben. Es wird produziert, eine Software wird darauf gespielt und dann geht es online. Erst dann bekommt es sein Zertifikat. Und in diesem Moment weiß ich nicht, in welcher Umgebung sich das Gerät befindet“, erläutert Philipp. Deswegen benötigen Firmen sichere Kommunikationsnetzwerke bis zu den Fabriken. Doch dies sei für Primekey ein noch neues Gebiet. „Gerade im Maschinenbau müssen wir aus der IT-Branche noch einiges dazulernen.“

Auch E-Mail-Signaturen, die die Integrität von Daten und Absender sicherstellen sollen, benötigen Zertifikate, die eine PKI bereitstellt. „Microsoft zum Beispiel hat das schon früh erkannt und liefert mit den Standard-Servern Software-Lizenzen, die eine PKI enthalten. Die Zertifikate sind so integriert, dass der Nutzer davon gar nichts mitbekommt.“ Vor allem durch mehr Homeoffice und Fernarbeit ist das Zugriffsmanagement noch wichtiger geworden als ohnehin schon. Die Relevanz von Infrastrukturen für elektronische Ausweise sei im vergangenen Jahr gesunken, sagt Philipp. Kleine Infrastrukturen für Unternehmen, um VPN-Netzwerke aufzubauen und sichere E-Mail-Kommunikation zu ermöglichen, wurden andererseits häufig angefragt.

Bouncy Castle

Der Zusammenhang des Reisepasses mit IoT-Geräten und der E-Mail erschließt sich also. Hinter jeder dieser Entwicklungen liegt eine PKI. Doch was hat eine Hüpfburg damit zu tun? Die kryptographischen Bibliotheken, die Primekey für die PKI-Lösungen verwendet, basieren auf einem Open-Source-Projekt in Australien. Dieses nennt sich Bouncy Castle, zu Deutsch Hüpfburg, und wird von der „Legion der Hüpfburg“ betreut. Die Programmierschnittstellen des Projekts sind plattformunabhängig und können somit externe Lösungen anbinden. Kommerziell betrieben wird die API-Sammlung von Bouncy Castle von dem australischen Unternehmen Crypto Workshop.

Anfang Februar 2020 hat Primekey Crypto Workshop übernommen. Damit vervollständigte das Unternehmen die eigenen Lösungen und deckt so den kompletten Software-Stack ab, der sowohl für PKI-bezogene wie auch für allgemeine Krypto-Anwendungen benötigt wird.

(ID:47278132)