Hallo! [ Rene, falls Ihr Euch an der Stellung von Fragen beteiligen könnt/wollt, seht Euch als herzlich eingeladen an! Ich denke da vor allem an Lutz. Falls Du das für sinnvoll erachtest, dann poste das bitte mal auf Eurer Liste. ] 'tschuldigung vorab für die lange Mail, aber ich denke, daß sie lesenswert ist... Auf dem gestrigen Vorstands-Treffen des G@te e.V. wurde das Thema der Digitalen Signatur mal wieder aufgegriffen. Aber zuerst etwas über den Hintergrund: - In der LUG sind Mails, die digitale Signaturen tragen, mittlerweile ja häufig zu sehen. Das ist prinzipiell ein "Gutes Ding", denn dadurch kann sichergestellt werden, daß die Mail auch wirklich von dem ist, der sich als Absender in den Header geschrieben hat. Andererseits kann auch sichergestellt werden, daß der Inhalt der Mail nicht nachträglich geändert wurde. - Auf dieser Basis wurde in einer kleinen Gruppe angedacht, die Stadt Gütersloh zu eine certification authority zu machen. Das bedeutet, daß die Stadt unter einem solchen PGP/GPG-Key unterschreibt, daß der Name, der auf dem Key steht, auch wirklich zu der Person dahinter gehört. Die Stadt verbürgt sich dann mit ihrem Namen dafür. Im Rahmen dieser Idee wurde bereits ein Termin (bei einem möglichen 2ten Termin bin ich mit jetzt nicht sicher...) vereinbart, der aber aus terminlichen Gründen nicht eingehalten werden konnten. Geplant war, daß der Stadt von uns eine CD bereitgestellt werden sollte, die bootfähig auf einem 08/15 Rechner sein sollte und die notwendige Software enthalten hätte, die für die Zertifizierung von Bürgern durch die Stadt notwendig gewesen wäre. Diese Zertifizierung hätte dann in der Meldestelle durchgeführt werden sollen, um bürgernah zu sein. Mittlerweile sind wir aber zu halbwegs aktuellen Erkenntnissen gekommen, die wir gestern diskutiert haben. - Im Rahmen europäischer Richtlinien ist die Einführung der Digitalen Signatur (bzw. der Gleichstellung dieser mit der bisherigen händischen Unterschrift) beschlossen worden. Es gibt ein Stichtag (ich _meine_ irgendwann 2001), in dem diese Richtlinie in allen europäischen Ländern umgesetzt sein muß. In Deutschland soll das schon etwas früher geschehen. - Vorgesehen ist die Einführung von (Chip-)Karten, die von entsprechenden Lesegeräten gelesen werden können. Ich *denke*, daß man sich natürlich zusätzlich mit einer Art von Passwort zusätzlich authentifizieren muß. In dieser Karte steckt allerdings dann auch schon das "Problem": - Wie sicher ist sie (Schlüssellänge, Algorithmus, ...)? - Basiert sie auf einem offenen Standard (Software nur für Windows 95, 98, 2000, ...)? - Knackpunkt Trust-Center: Die Karte an sich ist wertlos. Erst, wenn ein staatlich anerkanntes Trust-Center diese Karte bestätigt (hat), hat sie einen rechtsgültigen Charakter. Mir sind bisher 3 Trust-Center bekannt (ich weiß nicht, inwiefern die schon arbeiten oder noch in der Planung sind, aber bis zur rechtlichen Gleichstellung der Digitalen Signatur mit den herkömmlichen Signaturen werden *wahrscheinlich* alle Trust-Center einsatzfähig sein: - Telekom - Deutsch Post - und ein Zusammenschluß von Firmen, die Produkte rund um die Digitale Signatur (Kartenleser, Karten, Software, ...) herstellen Diese Trust-Center haben *IMHO* einige Schwachpunkte: - Telekom: Man geht in einen T-Punkt, beantragt die Karte. Der/die dort Angestellte prüft den Perso und leitet den Antrag weiter. Dieser wird dann die ersehnte Karte zur Folge haben. { Ich weiß allerdings nicht, inwiefern ich der "Tante am Tresen" traue. Wie Fehleranfällig ist sie? Kann ich nicht in den T-Punkt eindringen, sie knebeln und eigene Anträge für fiktive Personen eingeben, um dann eine Karte zu erlangen, die ich dann gut in *rechtlich gesicherten* Betrügereien zu benutzen? } [Anm. d. Autors: überspitzt...] Schwachpunkt Software: Aus gutunterrichteten Kreisen ist mir bekanntgeworden, daß es nicht zu schwierig ist, die Software, mit der das laufen soll, (in nicht kleinem Stil!) auszutauschen. --> DIESER CA TRAUE ICH NICHT, ABER SIE IST RECHTSGÜLTIG. [CA = Certification Authority, dt: Zertifizierungsstelle] - Deutsche Post: Siehe Telekom. - Zusammenschluß der Firmen: Sie können *IMHO* sicher_er_stellen, daß Anträge an sich ordnungsgemäß sind (diese Auffassung war _nicht_ Konsens!). _Aber_ es sind immernoch Firmen, die im Endeffekt relativ leicht wirtschaftlich zu beeinflussen sind. --> DIESER CA TRAUE ICH AUCH NICHT, ABER SIE IST RECHTSGÜLTIG. - Knackpunkt Verfahren: Unterschriften sind gefälscht worden, seitdem sie eingeführt wurden. Das wird (auf kurz oder lang) auch mit Digitalen Signaturen so passieren. Das Risiko hierfür wird in Kauf genommen. *Mir* ist aber nicht ersichtlich, wie weit die Risiken hier gehen, denn: - Bei einer gefälschten Unterschrift kann im Zweifelsfall eine wissenschaftliche Untersuchung angesetzt werden, die dann in vielen Fällen noch in der Lage wäre, das Original von der Kopie zu unterscheiden. - Bei Digitalen Signaturen ist das anders: hier gilt (die liebe Werbung zitierend:) "Jede Kopie ein Original, jede Kopie ein Original...". Per se _kann_ eine Digitale Signatur in ihrer Durchführung nicht als Fälschung entlarvt werden: es ist nur eine Butfolge. Diese paßt, oder sie paßt halt nicht. Wenn sie nicht paßt, dann ist's keine Signatur, und wenn sie paßt, dann ist sie (rechltlich gesehen) von der signenden Person. Eine Fälschung *kann nicht* aufgedeckt werden, da ein einer richtigen Bitfolge keine "Unregelmäßigkeiten" mehr enthalten sind, wie das bei normalen Unterschriften auf Papier der Fall wäre. - Knackpunkt Vertrauen: Mit der rechtlichen Gleichstellung Digitaler Signaturen werden eine Reihe von Trust-Centern als vertrauenswürdig eingestuft. Das ist rechtlich gesehen natürlich in Ordnung. Inwieweit man diesen allerdings auch *traut* (worum es hier ja geht...), ist dann aber *IMHO* eine andere Frage. Hier gibt es nämlich einen Widerspruch in der Sache: Der Staat traut diesen CAs (deren Aufbau jeweils in etwa eine halbe Mrd DM in Anspruch nimmt!!!), ich nicht. Zudem gibt's von diesen CAs wenige, was den Fall, daß eine von ihnen kompromitiert wird, tödlich für das Verfahren *an sich* macht, da damit ein Großteil aller Zertifikate hinfällig würde. Das von PGP/GPG her bekannte "Web of Trust" ist meiner Meinung nach weniger anfällig: { Prinzip des "Web of Trust": (1) Man bestätigt sich gegenseitig, daß man "man" ist. (2) Man definiert eine Reihe von Personen, denen man zutraut, nur Signaturen auf andere keys auszustellen, bei denen der Mensch dahinter auch *wirklich* seine Identität nachgewiesen hat. Bsp: wenn ich einem Dahergelaufenem eine Signatur ausstellen würde, ohne seine Identität sicher zu prüfen (er sagt mir seinen Namen, der auch auf dem Key steht, den er mit vorweist, und ich bestätige ihm seine Identität), dann würdet Ihr meiner Signatur unter anderer Leute keys keinen Glauben schenken. Wenn Ihr mir aber glaubt, daß ich Signaturen nur an Personen ausstelle, von denen ich *wirklich* sichergestellt habe, daß die Personen auch die sind, für die sie sich ausgeben, dann traut ihr (zu einem gewissen Grad) allen Euch fremden Personen, die eine Signatur von mir unter ihren keys aufweisen. Wenn sich jetzt im Nachhinein herausstellen sollte, daß ich jedem Sepp seine Identität "bestätige" indem ich nur seinen Namen glaube und diesen nicht überprüfe, dann könnt Ihr einfach sagen, daß ihr meiner Signatur unter dem key eines Euch Fremden keinen Glauben mehr schenkt. Dadurch steigt die Vertrauenswürdigkeit in den key der fremden Person aus Eurer Sicht *nicht* mehr. Dadurch ist *IMHO* das Web of Trust besser, als das Vertrauen in einer derart kleine Anzahl von CAs. } Außerdem muß man (gerade bei dem Zusammenschluß der Firmen, die auch eine CA aufbauen wollen) dazusagen, daß man sich durch eine Zertifizierung durch sie in einem gewissen Grade abhängig macht (Wer kennt den Film "Das Netz"?) Ich denke, daß ich bis hierher zumindest einige (halbwegs ernstzunehmende) Fragen aufgeworfen habe. *Ich* (und zumindest Volker, Frank und Wolfgang) teilen die Ansicht, daß wir zumindest Recht und Pflicht haben, uns das mal "genauer" anzugucken. Das Thema an sich ist zu ernst, als das man blauäugig an dieses herangehen kann/darf/soll. Entweder sind diese Digitalen Signaturen sicher (das muß man zumindest *mir* aber noch zeigen, da ich bisher eher enttäuscht als beruhigt bin...), oder sie sind es nicht. In diesem Fall ist es aber IMHO an uns (von der LUG), darauf auch aufmerksam zu machen. Denn der Durchschnitts-08/15-Bürger hat nicht die Kenntnisse, die in der LUG vorhanden sind, um die Verfahren technisch-inhaltlich zu durchblicken und Schwachstellen zu entdecken, in Frage zu stellen. Gerade, daß z.B. Anträge anscheinend in T-Punkt Filialen angenommen werden sollen, hat mir (im 2ten Augenblick) eher Angst gemacht. ___Im ersten Augenblick hab ich mich allerdings vor Lachen auf dem Boden gekugelt___. Dieses Vorgenen ist für *mich* inakzeptabel, solange mir keiner zeigt, die man sich das *sicher* vorstellt. Der Ausweg aus dieser Misere (die größtenteils auf fehlender Information basiert) ist, Personen einzuladen, die in der Technik sind und Ahnung haben. Es geht also darum, Techniker (und vielleicht auch 1..2 Politiker) zu einem _öffentlich zugänglichen_ Gespräch einzuladen. Wer genau das sein soll, steht noch zur Diskussion, aber Folgendes ist bereits abgesteckt: - Der G@te-Vorstand steht hinter der Idee, Personen und Persönlichkeiten einzuladen und ist bereit, Honorare (mit)zutragen. - Die (verfahrens)technischen Fragen können _nur_ von der LUG kommen. Es ist der einzig halbwegs "kompetente Haufen" von Leuten, die zumindest die Prinzipien kennen und teilweise auch Ahnung von bisherigen Ansätzen (PGP/PGP) haben. - Ein paar Namen von Leuten, die man einladen könnte, sind aus einer Konferenz in Speyer, die die Tage stattgefunden hat, bereits bekannt. - Vielleicht kann sich die VHS Gütersloh an der (schirmherrschaftlichen) Ausrichtung auch noch beteiligen (Günther?) Bevor jetzt aber Steine ins Rollen gebracht werden, würde ich gerne wissen, ob _Ihr_ auch denkt, daß in diesem Rahmen noch dringender Diskussionsbedarf besteht. Wenn dem so ist (wovon ich aber eigentlich ausgehe), dann sollte sich ein Ausschuß bilden, der die Haupt-Fragen, die gestellt werden sollen, diskutiert. Comments? Wer den Hintergrund der Gesamt-Diskussion nicht verstanden hat, der sollte sich *in jedem Falle* mal melden. Dann werd' ich versuchen, eine Web-Seite zusammenzuschustern, die das erklärt. Ich denke, daß jeder wissen muß/sollte, worum es hier geht, weil es IMHO um ein Thema geht, daw große gesellschaftliche Umbrüche und Neuerungen mit sich bringt. MfG (und danke für das Lesen dieser Mörder-Mail), JBG -- Fehler eingestehen, Größe zeigen: Nehmt die Rechtschreibreform zurück!!! /* Jan-Benedict Glaw <jbglaw@lug-owl.de> -- +49-177-5601720 */ keyID=0x8399E1BB fingerprint=250D 3BCF 7127 0D8C A444 A961 1DBD 5E75 8399 E1BB