[jbglaw@lug-owl.de: Diskussionsforum um Digitale Signaturen]

Rene Lange rene.lange at tlug.de
Mon Apr 10 12:07:28 CEST 2000


Ich forwarde das einfach mal an Euch. Sicher wird es den ein oder
anderen interessieren.

Jan-Benedict hat eine Mailingliste dazu eingerichtet unter
"signatur at lug-owl.de". Dort könnt Ihr Euch an der Diskussion
beteiligen.

----- Forwarded message from Jan-Benedict Glaw <jbglaw at lug-owl.de> -----

Envelope-to: admin at local-networkx.de
Delivery-date: Fri, 7 Apr 2000 12:40:16 +0200
Delivered-To: linux-outgoing at ev-stift-gymn.guetersloh.de
Delivered-To: linux at lug-owl.de
Date: Fri, 7 Apr 2000 12:38:59 +0200
From: Jan-Benedict Glaw <jbglaw at lug-owl.de>
To: Andre Homeyer <andrehomeyer at bigfoot.de>,
        Matthias Illiges <MatthiasI at gmx.de>, Lothar Schäfer <SJRGT at aol.com>,
        Martin Meißner <martin.meissner2 at gmx.net>,
        Philipp Vorst <specsart at aol.com>, Rene Lange <rine at rine.de>,
        Christian Schwaebisch <IceBaer at gmx.net>,
        Thomas Niehoerster <thomas.niehoerster at gmx.de>, linux at lug-owl.de
Subject: Diskussionsforum um Digitale Signaturen
Reply-To: jbglaw at lug-owl.de
Mail-Followup-To: Andre Homeyer <andrehomeyer at bigfoot.de>,
	Matthias Illiges <MatthiasI at gmx.de>,
	Lothar Schäfer <SJRGT at aol.com>,
	Martin Meißner <martin.meissner2 at gmx.net>,
	Philipp Vorst <specsart at aol.com>, Rene Lange <rine at rine.de>,
	Christian Schwaebisch <IceBaer at gmx.net>,
	Thomas Niehoerster <thomas.niehoerster at gmx.De>, linux at lug-owl.de
X-Mailer: Mutt 1.0i
X-Operating-System: Linux belgarath.esg-guetersloh.mediapoint.de 2.0.35 

Hallo!

[
 Rene, falls Ihr Euch an der Stellung von Fragen beteiligen könnt/wollt,
 seht Euch als herzlich eingeladen an! Ich denke da vor allem an Lutz.
 Falls Du das für sinnvoll erachtest, dann poste das bitte mal auf Eurer
 Liste.
]


'tschuldigung vorab für die lange Mail, aber ich denke, daß sie
lesenswert ist...

Auf dem gestrigen Vorstands-Treffen des G at te e.V. wurde das Thema der
Digitalen Signatur mal wieder aufgegriffen. Aber zuerst etwas über den
Hintergrund:

- In der LUG sind Mails, die digitale Signaturen tragen, mittlerweile ja
  häufig zu sehen. Das ist prinzipiell ein "Gutes Ding", denn dadurch kann
  sichergestellt werden, daß die Mail auch wirklich von dem ist, der sich
  als Absender in den Header geschrieben hat. Andererseits kann auch
  sichergestellt werden, daß der Inhalt der Mail nicht nachträglich geändert
  wurde.
- Auf dieser Basis wurde in einer kleinen Gruppe angedacht, die Stadt
  Gütersloh zu eine certification authority zu machen. Das bedeutet, daß die
  Stadt unter einem solchen PGP/GPG-Key unterschreibt, daß der Name, der auf
  dem Key steht, auch wirklich zu der Person dahinter gehört. Die Stadt
  verbürgt sich dann mit ihrem Namen dafür. Im Rahmen dieser Idee wurde
  bereits ein Termin (bei einem möglichen 2ten Termin bin ich mit jetzt
  nicht sicher...) vereinbart, der aber aus terminlichen Gründen nicht
  eingehalten werden konnten.
  Geplant war, daß der Stadt von uns eine CD bereitgestellt werden sollte,
  die bootfähig auf einem 08/15 Rechner sein sollte und die notwendige
  Software enthalten hätte, die für die Zertifizierung von Bürgern durch die
  Stadt notwendig gewesen wäre. Diese Zertifizierung hätte dann in der
  Meldestelle durchgeführt werden sollen, um bürgernah zu sein.

Mittlerweile sind wir aber zu halbwegs aktuellen Erkenntnissen gekommen, die
wir gestern diskutiert haben.

- Im Rahmen europäischer Richtlinien ist die Einführung der Digitalen
  Signatur (bzw. der Gleichstellung dieser mit der bisherigen händischen
  Unterschrift) beschlossen worden. Es gibt ein Stichtag (ich _meine_
  irgendwann 2001), in dem diese Richtlinie in allen europäischen Ländern
  umgesetzt sein muß. In Deutschland soll das schon etwas früher geschehen.
- Vorgesehen ist die Einführung von (Chip-)Karten, die von entsprechenden
  Lesegeräten gelesen werden können. Ich *denke*, daß man sich natürlich
  zusätzlich mit einer Art von Passwort zusätzlich authentifizieren muß.

In dieser Karte steckt allerdings dann auch schon das "Problem":
        - Wie sicher ist sie (Schlüssellänge, Algorithmus, ...)?
        - Basiert sie auf einem offenen Standard (Software nur für Windows
          95, 98, 2000, ...)?
- Knackpunkt Trust-Center:
        Die Karte an sich ist wertlos. Erst, wenn ein staatlich
        anerkanntes Trust-Center diese Karte bestätigt (hat), hat
        sie einen rechtsgültigen Charakter. Mir sind bisher 3
        Trust-Center bekannt (ich weiß nicht, inwiefern die schon
        arbeiten oder noch in der Planung sind, aber bis zur
        rechtlichen Gleichstellung der Digitalen Signatur mit den
        herkömmlichen Signaturen werden *wahrscheinlich* alle
        Trust-Center einsatzfähig sein:
        - Telekom
        - Deutsch Post
        - und ein Zusammenschluß von Firmen, die Produkte rund um
          die Digitale Signatur (Kartenleser, Karten, Software, ...)
          herstellen
        Diese Trust-Center haben *IMHO* einige Schwachpunkte:
        - Telekom:
                Man geht in einen T-Punkt, beantragt die Karte.
                Der/die dort Angestellte prüft den Perso und leitet
                den Antrag weiter. Dieser wird dann die ersehnte
                Karte zur Folge haben.
                {
                  Ich weiß allerdings nicht, inwiefern ich der
                  "Tante am Tresen" traue. Wie Fehleranfällig ist
                  sie? Kann ich nicht in den T-Punkt eindringen, sie
                  knebeln und eigene Anträge für fiktive Personen
                  eingeben, um dann eine Karte zu erlangen, die ich
                  dann gut in *rechtlich gesicherten* Betrügereien
                  zu benutzen?
                } [Anm. d. Autors: überspitzt...]
                Schwachpunkt Software: Aus gutunterrichteten Kreisen
                ist mir bekanntgeworden, daß es nicht zu schwierig
                ist, die Software, mit der das laufen soll, (in
                nicht kleinem Stil!) auszutauschen.
                --> DIESER CA TRAUE ICH NICHT, ABER SIE IST
                    RECHTSGÜLTIG. [CA = Certification Authority, dt:
                    Zertifizierungsstelle]
        - Deutsche Post:
                Siehe Telekom.
        - Zusammenschluß der Firmen:
                Sie können *IMHO* sicher_er_stellen, daß Anträge an
                sich ordnungsgemäß sind (diese Auffassung war
                _nicht_ Konsens!). _Aber_ es sind immernoch Firmen,
                die im Endeffekt relativ leicht wirtschaftlich zu
                beeinflussen sind.
                --> DIESER CA TRAUE ICH AUCH NICHT, ABER SIE IST
                    RECHTSGÜLTIG.
- Knackpunkt Verfahren:
        Unterschriften sind gefälscht worden, seitdem sie eingeführt
        wurden. Das wird (auf kurz oder lang) auch mit Digitalen
        Signaturen so passieren. Das Risiko hierfür wird in Kauf
        genommen. *Mir* ist aber nicht ersichtlich, wie weit die
        Risiken hier gehen, denn:
        - Bei einer gefälschten Unterschrift kann im Zweifelsfall
          eine wissenschaftliche Untersuchung angesetzt werden, die
          dann in vielen Fällen noch in der Lage wäre, das Original
          von der Kopie zu unterscheiden.
        - Bei Digitalen Signaturen ist das anders: hier gilt (die
          liebe Werbung zitierend:) "Jede Kopie ein Original, jede
          Kopie ein Original...".
          Per se _kann_ eine Digitale Signatur in ihrer Durchführung
          nicht als Fälschung entlarvt werden: es ist nur eine
          Butfolge. Diese paßt, oder sie paßt halt nicht. Wenn sie
          nicht paßt, dann ist's keine Signatur, und wenn sie paßt,
          dann ist sie (rechltlich gesehen) von der signenden
          Person. Eine Fälschung *kann nicht* aufgedeckt werden, da
          ein einer richtigen Bitfolge keine "Unregelmäßigkeiten"
          mehr enthalten sind, wie das bei normalen Unterschriften
          auf Papier der Fall wäre.
- Knackpunkt Vertrauen:
        Mit der rechtlichen Gleichstellung Digitaler Signaturen werden eine
        Reihe von Trust-Centern als vertrauenswürdig eingestuft. Das ist
        rechtlich gesehen natürlich in Ordnung. Inwieweit man diesen
        allerdings auch *traut* (worum es hier ja geht...), ist dann aber
        *IMHO* eine andere Frage. Hier gibt es nämlich einen Widerspruch in
        der Sache: Der Staat traut diesen CAs (deren Aufbau jeweils in etwa
        eine halbe Mrd DM in Anspruch nimmt!!!), ich nicht. Zudem gibt's von
        diesen CAs wenige, was den Fall, daß eine von ihnen kompromitiert
        wird, tödlich für das Verfahren *an sich* macht, da damit ein
        Großteil aller Zertifikate hinfällig würde. Das von PGP/GPG her
        bekannte "Web of Trust" ist meiner Meinung nach weniger anfällig:
        {
          Prinzip des "Web of Trust":
            (1) Man bestätigt sich gegenseitig, daß man "man" ist.
            (2) Man definiert eine Reihe von Personen, denen man zutraut,
                nur Signaturen auf andere keys auszustellen, bei denen der
                Mensch dahinter auch *wirklich* seine Identität nachgewiesen
                hat. Bsp: wenn ich einem Dahergelaufenem eine Signatur
                ausstellen würde, ohne seine Identität sicher zu prüfen (er
                sagt mir seinen Namen, der auch auf dem Key steht, den er
                mit vorweist, und ich bestätige ihm seine Identität), dann
                würdet Ihr meiner Signatur unter anderer Leute keys keinen
                Glauben schenken.
                Wenn Ihr mir aber glaubt, daß ich Signaturen nur an Personen
                ausstelle, von denen ich *wirklich* sichergestellt habe, daß
                die Personen auch die sind, für die sie sich ausgeben, dann
                traut ihr (zu einem gewissen Grad) allen Euch fremden
                Personen, die eine Signatur von mir unter ihren keys
                aufweisen.
          Wenn sich jetzt im Nachhinein herausstellen sollte, daß ich jedem
          Sepp seine Identität "bestätige" indem ich nur seinen Namen glaube
          und diesen nicht überprüfe, dann könnt Ihr einfach sagen, daß ihr
          meiner Signatur unter dem key eines Euch Fremden keinen Glauben
          mehr schenkt. Dadurch steigt die Vertrauenswürdigkeit in den key
          der fremden Person aus Eurer Sicht *nicht* mehr.
          Dadurch ist *IMHO* das Web of Trust besser, als das Vertrauen in
          einer derart kleine Anzahl von CAs.
        }

        Außerdem muß man (gerade bei dem Zusammenschluß der Firmen, die auch
        eine CA aufbauen wollen) dazusagen, daß man sich durch eine
        Zertifizierung durch sie in einem gewissen Grade abhängig macht (Wer
        kennt den Film "Das Netz"?)

Ich denke, daß ich bis hierher zumindest einige (halbwegs ernstzunehmende)
Fragen aufgeworfen habe. *Ich* (und zumindest Volker, Frank und Wolfgang)
teilen die Ansicht, daß wir zumindest Recht und Pflicht haben, uns das mal
"genauer" anzugucken. Das Thema an sich ist zu ernst, als das man blauäugig
an dieses herangehen kann/darf/soll. Entweder sind diese Digitalen
Signaturen sicher (das muß man zumindest *mir* aber noch zeigen, da ich
bisher eher enttäuscht als beruhigt bin...), oder sie sind es nicht. In
diesem Fall ist es aber IMHO an uns (von der LUG), darauf auch aufmerksam zu
machen. Denn der Durchschnitts-08/15-Bürger hat nicht die Kenntnisse, die in
der LUG vorhanden sind, um die Verfahren technisch-inhaltlich zu
durchblicken und Schwachstellen zu entdecken, in Frage zu stellen. Gerade,
daß z.B. Anträge anscheinend in T-Punkt Filialen angenommen werden sollen,
hat mir (im 2ten Augenblick) eher Angst gemacht. ___Im ersten Augenblick hab
ich mich allerdings vor Lachen auf dem Boden gekugelt___. Dieses Vorgenen
ist für *mich* inakzeptabel, solange mir keiner zeigt, die man sich das
*sicher* vorstellt.

Der Ausweg aus dieser Misere (die größtenteils auf fehlender Information
basiert) ist, Personen einzuladen, die in der Technik sind und Ahnung haben.
Es geht also darum, Techniker (und vielleicht auch 1..2 Politiker) zu einem
_öffentlich zugänglichen_ Gespräch einzuladen. Wer genau das sein soll,
steht noch zur Diskussion, aber Folgendes ist bereits abgesteckt:

- Der G at te-Vorstand steht hinter der Idee, Personen und Persönlichkeiten
  einzuladen und ist bereit, Honorare (mit)zutragen.
- Die (verfahrens)technischen Fragen können _nur_ von der LUG kommen. Es ist
  der einzig halbwegs "kompetente Haufen" von Leuten, die zumindest die
  Prinzipien kennen und teilweise auch Ahnung von bisherigen Ansätzen
  (PGP/PGP) haben.
- Ein paar Namen von Leuten, die man einladen könnte, sind aus einer
  Konferenz in Speyer, die die Tage stattgefunden hat, bereits bekannt.
- Vielleicht kann sich die VHS Gütersloh an der (schirmherrschaftlichen)
  Ausrichtung auch noch beteiligen (Günther?)

Bevor jetzt aber Steine ins Rollen gebracht werden, würde ich gerne wissen,
ob _Ihr_ auch denkt, daß in diesem Rahmen noch dringender Diskussionsbedarf
besteht. Wenn dem so ist (wovon ich aber eigentlich ausgehe), dann sollte
sich ein Ausschuß bilden, der die Haupt-Fragen, die gestellt werden sollen,
diskutiert.

Comments? Wer den Hintergrund der Gesamt-Diskussion nicht verstanden hat,
der sollte sich *in jedem Falle* mal melden. Dann werd' ich versuchen, eine
Web-Seite zusammenzuschustern, die das erklärt. Ich denke, daß jeder wissen
muß/sollte, worum es hier geht, weil es IMHO um ein Thema geht, daw große
gesellschaftliche Umbrüche und Neuerungen mit sich bringt.

MfG (und danke für das Lesen dieser Mörder-Mail), JBG

-- 
Fehler eingestehen, Größe zeigen: Nehmt die Rechtschreibreform zurück!!!
/* Jan-Benedict Glaw <jbglaw at lug-owl.de> -- +49-177-5601720 */
keyID=0x8399E1BB fingerprint=250D 3BCF 7127 0D8C A444 A961 1DBD 5E75 8399 E1BB



----- End forwarded message -----


Grüße
-- 
Rene Lange (rene.lange at tlug.de)		Tel# 0170 - 2014293
http://www.kommune-2.de			ICQ# 9014771
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname   : nicht verfügbar
Dateityp    : application/pgp-signature
Dateigröße  : 232 bytes
Beschreibung: nicht verfügbar
URL         : http://www.tlug.de/pipermail/tlug_allgemein/attachments/20000410/0cea256c/attachment.pgp