Hallo!
[
Rene, falls Ihr Euch an der Stellung von Fragen beteiligen könnt/wollt,
seht Euch als herzlich eingeladen an! Ich denke da vor allem an Lutz.
Falls Du das für sinnvoll erachtest, dann poste das bitte mal auf Eurer
Liste.
]
'tschuldigung vorab für die lange Mail, aber ich denke, daß sie
lesenswert ist...
Auf dem gestrigen Vorstands-Treffen des G@te e.V. wurde das Thema der
Digitalen Signatur mal wieder aufgegriffen. Aber zuerst etwas über den
Hintergrund:
- In der LUG sind Mails, die digitale Signaturen tragen, mittlerweile ja
häufig zu sehen. Das ist prinzipiell ein "Gutes Ding", denn dadurch kann
sichergestellt werden, daß die Mail auch wirklich von dem ist, der sich
als Absender in den Header geschrieben hat. Andererseits kann auch
sichergestellt werden, daß der Inhalt der Mail nicht nachträglich geändert
wurde.
- Auf dieser Basis wurde in einer kleinen Gruppe angedacht, die Stadt
Gütersloh zu eine certification authority zu machen. Das bedeutet, daß die
Stadt unter einem solchen PGP/GPG-Key unterschreibt, daß der Name, der auf
dem Key steht, auch wirklich zu der Person dahinter gehört. Die Stadt
verbürgt sich dann mit ihrem Namen dafür. Im Rahmen dieser Idee wurde
bereits ein Termin (bei einem möglichen 2ten Termin bin ich mit jetzt
nicht sicher...) vereinbart, der aber aus terminlichen Gründen nicht
eingehalten werden konnten.
Geplant war, daß der Stadt von uns eine CD bereitgestellt werden sollte,
die bootfähig auf einem 08/15 Rechner sein sollte und die notwendige
Software enthalten hätte, die für die Zertifizierung von Bürgern durch die
Stadt notwendig gewesen wäre. Diese Zertifizierung hätte dann in der
Meldestelle durchgeführt werden sollen, um bürgernah zu sein.
Mittlerweile sind wir aber zu halbwegs aktuellen Erkenntnissen gekommen, die
wir gestern diskutiert haben.
- Im Rahmen europäischer Richtlinien ist die Einführung der Digitalen
Signatur (bzw. der Gleichstellung dieser mit der bisherigen händischen
Unterschrift) beschlossen worden. Es gibt ein Stichtag (ich _meine_
irgendwann 2001), in dem diese Richtlinie in allen europäischen Ländern
umgesetzt sein muß. In Deutschland soll das schon etwas früher geschehen.
- Vorgesehen ist die Einführung von (Chip-)Karten, die von entsprechenden
Lesegeräten gelesen werden können. Ich *denke*, daß man sich natürlich
zusätzlich mit einer Art von Passwort zusätzlich authentifizieren muß.
In dieser Karte steckt allerdings dann auch schon das "Problem":
- Wie sicher ist sie (Schlüssellänge, Algorithmus, ...)?
- Basiert sie auf einem offenen Standard (Software nur für Windows
95, 98, 2000, ...)?
- Knackpunkt Trust-Center:
Die Karte an sich ist wertlos. Erst, wenn ein staatlich
anerkanntes Trust-Center diese Karte bestätigt (hat), hat
sie einen rechtsgültigen Charakter. Mir sind bisher 3
Trust-Center bekannt (ich weiß nicht, inwiefern die schon
arbeiten oder noch in der Planung sind, aber bis zur
rechtlichen Gleichstellung der Digitalen Signatur mit den
herkömmlichen Signaturen werden *wahrscheinlich* alle
Trust-Center einsatzfähig sein:
- Telekom
- Deutsch Post
- und ein Zusammenschluß von Firmen, die Produkte rund um
die Digitale Signatur (Kartenleser, Karten, Software, ...)
herstellen
Diese Trust-Center haben *IMHO* einige Schwachpunkte:
- Telekom:
Man geht in einen T-Punkt, beantragt die Karte.
Der/die dort Angestellte prüft den Perso und leitet
den Antrag weiter. Dieser wird dann die ersehnte
Karte zur Folge haben.
{
Ich weiß allerdings nicht, inwiefern ich der
"Tante am Tresen" traue. Wie Fehleranfällig ist
sie? Kann ich nicht in den T-Punkt eindringen, sie
knebeln und eigene Anträge für fiktive Personen
eingeben, um dann eine Karte zu erlangen, die ich
dann gut in *rechtlich gesicherten* Betrügereien
zu benutzen?
} [Anm. d. Autors: überspitzt...]
Schwachpunkt Software: Aus gutunterrichteten Kreisen
ist mir bekanntgeworden, daß es nicht zu schwierig
ist, die Software, mit der das laufen soll, (in
nicht kleinem Stil!) auszutauschen.
--> DIESER CA TRAUE ICH NICHT, ABER SIE IST
RECHTSGÜLTIG. [CA = Certification Authority, dt:
Zertifizierungsstelle]
- Deutsche Post:
Siehe Telekom.
- Zusammenschluß der Firmen:
Sie können *IMHO* sicher_er_stellen, daß Anträge an
sich ordnungsgemäß sind (diese Auffassung war
_nicht_ Konsens!). _Aber_ es sind immernoch Firmen,
die im Endeffekt relativ leicht wirtschaftlich zu
beeinflussen sind.
--> DIESER CA TRAUE ICH AUCH NICHT, ABER SIE IST
RECHTSGÜLTIG.
- Knackpunkt Verfahren:
Unterschriften sind gefälscht worden, seitdem sie eingeführt
wurden. Das wird (auf kurz oder lang) auch mit Digitalen
Signaturen so passieren. Das Risiko hierfür wird in Kauf
genommen. *Mir* ist aber nicht ersichtlich, wie weit die
Risiken hier gehen, denn:
- Bei einer gefälschten Unterschrift kann im Zweifelsfall
eine wissenschaftliche Untersuchung angesetzt werden, die
dann in vielen Fällen noch in der Lage wäre, das Original
von der Kopie zu unterscheiden.
- Bei Digitalen Signaturen ist das anders: hier gilt (die
liebe Werbung zitierend:) "Jede Kopie ein Original, jede
Kopie ein Original...".
Per se _kann_ eine Digitale Signatur in ihrer Durchführung
nicht als Fälschung entlarvt werden: es ist nur eine
Butfolge. Diese paßt, oder sie paßt halt nicht. Wenn sie
nicht paßt, dann ist's keine Signatur, und wenn sie paßt,
dann ist sie (rechltlich gesehen) von der signenden
Person. Eine Fälschung *kann nicht* aufgedeckt werden, da
ein einer richtigen Bitfolge keine "Unregelmäßigkeiten"
mehr enthalten sind, wie das bei normalen Unterschriften
auf Papier der Fall wäre.
- Knackpunkt Vertrauen:
Mit der rechtlichen Gleichstellung Digitaler Signaturen werden eine
Reihe von Trust-Centern als vertrauenswürdig eingestuft. Das ist
rechtlich gesehen natürlich in Ordnung. Inwieweit man diesen
allerdings auch *traut* (worum es hier ja geht...), ist dann aber
*IMHO* eine andere Frage. Hier gibt es nämlich einen Widerspruch in
der Sache: Der Staat traut diesen CAs (deren Aufbau jeweils in etwa
eine halbe Mrd DM in Anspruch nimmt!!!), ich nicht. Zudem gibt's von
diesen CAs wenige, was den Fall, daß eine von ihnen kompromitiert
wird, tödlich für das Verfahren *an sich* macht, da damit ein
Großteil aller Zertifikate hinfällig würde. Das von PGP/GPG her
bekannte "Web of Trust" ist meiner Meinung nach weniger anfällig:
{
Prinzip des "Web of Trust":
(1) Man bestätigt sich gegenseitig, daß man "man" ist.
(2) Man definiert eine Reihe von Personen, denen man zutraut,
nur Signaturen auf andere keys auszustellen, bei denen der
Mensch dahinter auch *wirklich* seine Identität nachgewiesen
hat. Bsp: wenn ich einem Dahergelaufenem eine Signatur
ausstellen würde, ohne seine Identität sicher zu prüfen (er
sagt mir seinen Namen, der auch auf dem Key steht, den er
mit vorweist, und ich bestätige ihm seine Identität), dann
würdet Ihr meiner Signatur unter anderer Leute keys keinen
Glauben schenken.
Wenn Ihr mir aber glaubt, daß ich Signaturen nur an Personen
ausstelle, von denen ich *wirklich* sichergestellt habe, daß
die Personen auch die sind, für die sie sich ausgeben, dann
traut ihr (zu einem gewissen Grad) allen Euch fremden
Personen, die eine Signatur von mir unter ihren keys
aufweisen.
Wenn sich jetzt im Nachhinein herausstellen sollte, daß ich jedem
Sepp seine Identität "bestätige" indem ich nur seinen Namen glaube
und diesen nicht überprüfe, dann könnt Ihr einfach sagen, daß ihr
meiner Signatur unter dem key eines Euch Fremden keinen Glauben
mehr schenkt. Dadurch steigt die Vertrauenswürdigkeit in den key
der fremden Person aus Eurer Sicht *nicht* mehr.
Dadurch ist *IMHO* das Web of Trust besser, als das Vertrauen in
einer derart kleine Anzahl von CAs.
}
Außerdem muß man (gerade bei dem Zusammenschluß der Firmen, die auch
eine CA aufbauen wollen) dazusagen, daß man sich durch eine
Zertifizierung durch sie in einem gewissen Grade abhängig macht (Wer
kennt den Film "Das Netz"?)
Ich denke, daß ich bis hierher zumindest einige (halbwegs ernstzunehmende)
Fragen aufgeworfen habe. *Ich* (und zumindest Volker, Frank und Wolfgang)
teilen die Ansicht, daß wir zumindest Recht und Pflicht haben, uns das mal
"genauer" anzugucken. Das Thema an sich ist zu ernst, als das man blauäugig
an dieses herangehen kann/darf/soll. Entweder sind diese Digitalen
Signaturen sicher (das muß man zumindest *mir* aber noch zeigen, da ich
bisher eher enttäuscht als beruhigt bin...), oder sie sind es nicht. In
diesem Fall ist es aber IMHO an uns (von der LUG), darauf auch aufmerksam zu
machen. Denn der Durchschnitts-08/15-Bürger hat nicht die Kenntnisse, die in
der LUG vorhanden sind, um die Verfahren technisch-inhaltlich zu
durchblicken und Schwachstellen zu entdecken, in Frage zu stellen. Gerade,
daß z.B. Anträge anscheinend in T-Punkt Filialen angenommen werden sollen,
hat mir (im 2ten Augenblick) eher Angst gemacht. ___Im ersten Augenblick hab
ich mich allerdings vor Lachen auf dem Boden gekugelt___. Dieses Vorgenen
ist für *mich* inakzeptabel, solange mir keiner zeigt, die man sich das
*sicher* vorstellt.
Der Ausweg aus dieser Misere (die größtenteils auf fehlender Information
basiert) ist, Personen einzuladen, die in der Technik sind und Ahnung haben.
Es geht also darum, Techniker (und vielleicht auch 1..2 Politiker) zu einem
_öffentlich zugänglichen_ Gespräch einzuladen. Wer genau das sein soll,
steht noch zur Diskussion, aber Folgendes ist bereits abgesteckt:
- Der G@te-Vorstand steht hinter der Idee, Personen und Persönlichkeiten
einzuladen und ist bereit, Honorare (mit)zutragen.
- Die (verfahrens)technischen Fragen können _nur_ von der LUG kommen. Es ist
der einzig halbwegs "kompetente Haufen" von Leuten, die zumindest die
Prinzipien kennen und teilweise auch Ahnung von bisherigen Ansätzen
(PGP/PGP) haben.
- Ein paar Namen von Leuten, die man einladen könnte, sind aus einer
Konferenz in Speyer, die die Tage stattgefunden hat, bereits bekannt.
- Vielleicht kann sich die VHS Gütersloh an der (schirmherrschaftlichen)
Ausrichtung auch noch beteiligen (Günther?)
Bevor jetzt aber Steine ins Rollen gebracht werden, würde ich gerne wissen,
ob _Ihr_ auch denkt, daß in diesem Rahmen noch dringender Diskussionsbedarf
besteht. Wenn dem so ist (wovon ich aber eigentlich ausgehe), dann sollte
sich ein Ausschuß bilden, der die Haupt-Fragen, die gestellt werden sollen,
diskutiert.
Comments? Wer den Hintergrund der Gesamt-Diskussion nicht verstanden hat,
der sollte sich *in jedem Falle* mal melden. Dann werd' ich versuchen, eine
Web-Seite zusammenzuschustern, die das erklärt. Ich denke, daß jeder wissen
muß/sollte, worum es hier geht, weil es IMHO um ein Thema geht, daw große
gesellschaftliche Umbrüche und Neuerungen mit sich bringt.
MfG (und danke für das Lesen dieser Mörder-Mail), JBG
--
Fehler eingestehen, Größe zeigen: Nehmt die Rechtschreibreform zurück!!!
/* Jan-Benedict Glaw <jbglaw(a)lug-owl.de> -- +49-177-5601720 */
keyID=0x8399E1BB fingerprint=250D 3BCF 7127 0D8C A444 A961 1DBD 5E75 8399 E1BB