Chancen und Risiken

Risiken

„Ten risks of PKI“

Carl M. Ellison  and  Burce Schneier[85]

Kommentare:

RISK#1 “Who do we trust, and for what?”

CA: Certification Authority

Die Vorgaben für die CA sind in der Schweiz streng. Solange als CA Firmen benutzt werden, die der Europäischen oder Schweizerischen Gesetzgebung entsprechen, ist dies meines Erachtens kein Problem. Die langfristige Marktpräsenz der Firmen ist eher problematisch, da bei einem Besitzerwechsel viele Fehler passieren können.

Risk #2: “Who is using my key?”

Die Sicherheit des privaten Schlüssels ist ein zentraler Punkt. PCs sind heute zu unsicher. Eine gute Lösung ist externe Sicherung auf Smart-Cards. Die biometrische Absicherung ist eine gute ja notwendige Funktion. Von den möglichen Technologien bieten die Daktyloskopie und die elektronische Signatur am meisten Potential. Die Iriserkennung hat den Vorteil der besten Erkennungsrate und mit den Smart-Phones kommen potentielle Grundgeräte auf den Markt. Doch leidet die Iriserkennung unter einer mangelnden Benutzerakzeptanz und die Willentlichkeit ist nicht abgesichert.

Ein weiterer möglicher Schwachpunkt ist die Unterschiebung eines gefälschten Dokumentes im Arbeits-PC. = Absichtlicher Betrug. Nebst dem sehr grossen Aufwand für ein solches Vorgehen, kann dies zum Beispiel mit der temporären Entkoppelung des PCs von jedem Netz und einem Boot ab sicherer CD oder DVD umgangen werden. 

Risk #3: “How secure is the verifying computer?”

Die Frage ist ob “ich” den richtigen öffentlichen Schlüssel benutze. Es könnte sein, dass ein gefälschter öffentlicher Schlüssel geladen wurde und ein Trojaner eine korrekte Verifizierung vortäuscht.  Auch in diesem Falle gilt: Abnabeln und sicher Starten wie unter 2

Risk #4: “Welcher Hans Meier?”

Vorsicht ist in der ITC immer notwendig. Mit der entsprechenden Sorgfalt bei der Zertifikatskontrolle dürfte dieses Problem lösbar sein.

Risk #5: “Is the CA an authority?”

Die Ansprüche an die Zertifizierungsstelle sind hoch. Siehe Swisskey!

Risk #6: “Is the user part of the security design?”

Security is a Chain! Und der Benutzer oft das schwächste Glied. Benutzerschulung für den Umgang mit unsicheren Systemen in einer angriffigen IT-Umwelt ist notwendig.

Risk #7: “Was it one CA or a CA plus a Registration Authority?”

Eine Gewaltentrennung von Zertifizierungsstelle und Registrierungsstelle. Ist meines Erachtens  in der Schweiz so vorgesehen.

Risk #8: “How did the CA identify the certificate holder?”

Wie komme ich zu meinem öffentlichen  Zertifikat? Für die qualifizierte Signatur ist ein persönliches Erscheinen notwendig.

Risk #9: “How secure are the certificate practices?”

Entsprechend den verschiedenen Zertifizierungstuffen müssen Sicherheitsvorkehrungen getroffen werden. Die Sicherheitsrichtlinien (Security Policies) dürfen nicht nur auf dem Papier vorhanden sein. Sie müssen “in die Köpfe“.

Risk #10: “Why are we using the CA process, anyway?”

Die Digitale Signatur mit einer PKI ist kein Universalmittel für mehr Sicherheit. Im Jahr 2000 als Bruce Schneier und Carl Ellison diese 10 Risiken der PKI aufstellten, herrschte eine „PKI-Hype“. Heute werden die Möglichkeiten der Digitalen Signatur realistischer eingestuft. Die vielen privaten Implementationen von Banken, Bund, Spitäler, beweisen, dass die Produkte besser wurden und sich dem Markt angepasst haben.