Dieser Artikel beschreibt, warum und wie die für iOS und Android verfügbare Lissi Wallet Zertifikate zur Authentifizierung von Organisationen verwendet. Dieser Artikel ist auch auf English verfügbar.
Das Problem
Stellen Sie sich vor, Sie gehen auf eine Veranstaltung und sehen kurz vor dem Eingang ein QR-Code mit der Überschrift „Hier einchecken“ zusammen mit dem Logo des Veranstalters. Als Sie den QR-Code mit Ihrer Wallet einscannen werden Sie unter anderem nach Ihren Zahlungsinformationen gefragt. Aber sollten Sie diese wirklich präsentieren?
Wenn wir mit Dritten über das Internet kommunizieren, ist es nicht immer klar, ob die andere Partei wirklich die ist, für die sie sich ausgibt. Dieses Problem besteht unter anderem auch bei etablierten Kommunikationskanälen wie Webseiten und Emails. Phishing bezeichnet das betrügerische Abgreifen von Daten, um Zugang zu Bankkonten oder Informationen zu erhalten. Daher ist ein dauerhafter Kommunikationskanal, welcher es Nutzenden ermöglicht den Kommunikationspartner eindeutig zu identifizieren besonders wichtig. Einmal angelegt ermöglicht der Kommunikationskanal einen vertrauensvollen Informationsaustausch und ist essentiell um Nutzende vor Phishing zu schützen.
Der Kontext ist wichtig
Wir basieren unser Vertrauen in eine Interaktion häufig in abhängig davon, in welchem Kontext mit uns kommuniziert wird. So vertrauen wir z.B. einem Link in einem internen Mitarbeiterportal mehr als einem Link in einer Werbemail. Das Prinzip ist das gleiche, wenn Nutzende eines Wallets sich mit einem neuen Kontakt verbinden und die Verbindungsanfrage im Wallet angezeigt wird. Abhängig davon, in welchem Kontext die Verbindungsanfrage initiiert wird lässt sich ein unterschiedliches Maß an Vertrauen zuweisen. Der Kontext hilft uns Vertrauen zu etablieren, ist allein jedoch nicht ausreichend. Häufig fehlt der Kontext oder Angreifer versuchen gezielt diesen Umstand auszunutzen.
Authentifizierung von Organisationen
Wallet Nutzer müssen die Möglichkeit haben Organisationen, mit welchen sie sich verbinden auf deren Authentizität zu überprüfen. Allerdings muss die Organisation zunächst identifiziert und überprüft werden. Sobald die Organisation über die erforderlichen Zertifikate verfügt, kann diese im Wallet validiert werden.
Bevor eine Wallet die Organisation überprüfen kann, muss eine vertrauenswürdige Partei die Organisation zertifizieren. Zertifizierungsstellen sind Organisationen, welche die Unterzeichnung digitaler Zertifikate anvertraut werden. Sie prüfen die Identität und Legitimität des Unternehmens und der Person, die ein Zertifikat beantragt hat. Bei erfolgreicher Prüfung wird ein signiertes Zertifikat ausgestellt. Dieses Zertifikat kann dann von der Anwendung der Nutzenden wie z.B. einem Browser oder einer Wallet überprüft werden.
Vertrauen auf verschiedenen Ebenen
Ein verschlüsselter Kommunikationskanal zwischen natürlichen Personen und Organisationen ermöglicht es sensible Informationen auszutauschen, ohne dass Dritte diese mitlesen können. Dies ist jedoch nicht ausreichend, da die Identität der anderen Partei vorher überprüft werden muss. Um sicher zu stellen, dass es sich bei dem Kontakt z.B. wirklich um eine öffentliche Behörde handelt, nutzen wir Zertifikate um deren Identität zu verifizieren. Folglich, ergeben sich zwei Ebenen des Vertrauens. Auf der unteren Ebene besteht ein kryptographisch abgesicherter Kommunikationskanal. Dieser wird ergänzt durch Zertifikate, welche von verschiedenen Zertifikatsstellen bzw. Vertrauensdomänen ausgestellt werden.
Zertifikate und Vertrauensdomänen
Die Basis für Vertrauenswürdigkeit ist, dass die Zertifizierungsstelle auf einem angemessenen Sicherheitsniveau organisatorische und technische Maßnahmen implementieren und Regeln für alle Teilnehmer der Vertrauensdomäne aufstellt. Die speziellen Anforderungen an die Zertifikate sind abhängig vom Anwendungsfall und dem juristischen Rechtsrahmen, in welchem eine Transaktion stattfindet. Somit können sich die verwendeten Zertifikate abhängig vom notwendigen Vertrauensniveau je nach Anwendungsfall stark unterscheiden.
Regulierte Zertifikatsstellen agieren als Aussteller von Zertifikaten, welche die Legitimität des Inhabers der Domäne und die Sicherheitseigenschaften des Zertifikates bescheinigen. Die Signaturen der Zertifikatsstellen, dienen im Wesentlichen dazu, die Legitimität der Identität des Zertifikatsinhabers zu bestätigen und Vertrauen in Online-Datenübertragungen zu schaffen. Generische Anforderungen für Zertifikatsstellen, die als Zertifizierungsstelle mit der Sicherheitsstufe “hoch” fungieren sind vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in der Technischen Richtlinie TR-03145–1 beschrieben.
Überprüfung der Zertifikate im Lissi Wallet
Den Ansatz der Zertifikatsüberprüfung, die wir bisher aus den Webbrowser kennen, möchten wir nunmehr in die Welt der SSI-Wallets übertragen und haben ein entsprechendes Überprüfungskonzept in unsere Lissi Wallet integriert. Die Lissi Wallet überprüft die vom Kontakt bzw. Agent gesendeten Zertifikate. Falls ein Extended Validation Zertifikat übermittelt wird, überprüft die Wallet, dass der Name des Kontakts/Agenten mit dem Namen im Zertifikat übereinstimmt. Nur wenn ein gültiges Extended Validation Zertifikat vorliegt und der Name des Kontakts/Agenten mit dessen im Zertifikat übereinstimmt, wird der Kontakt als verifiziert eingestuft und angezeigt.
Anzeige für Nutzende im Lissi Wallet
Bei einer neuen Kontaktanfrage werden Nutzende gefragt, ob sie die Verbindung mit dem Kontakt eingehen möchten. Neben der angezeigten Information, ob ein Kontakt verifiziert werden konnte, wird auch eine Handlungsempfehlung an Nutzenden gegeben. Es können auch weitere Informationen zu dem Zertifikat des Kontakts angezeigt werden.
Wenn Nutzende eine Verbindungsanfrage (Abb. 1), einen neuen Nachweis (Abb. 2) oder eine Datenabfrage (Abb. 3) im Lissi Wallet erhalten, wird angezeigt, ob der Kontakt verifiziert ist.
Die Funktion ist in der Lissi Wallet für Android und iOS verfügbar. Wir freuen uns über Euer Feedback.
Die Abwägung zwischen Selbstbestimmung oder maximaler Sicherheit
Möchten wir lieber ein hohes Maß an Sicherheit oder Selbstbestimmung? Leider liegen die beiden Aspekte an verschieden Enden des Spektrums. Wenn wir nur vorher verifizierten und zugelassenen Parteien erlauben Identitätsdaten abzufragen, wie von der eIDAS Regulierung aktuell vorgesehen, dann schränkt dies die Nutzung stark ein. Erlauben wir Nutzenden ihre Daten in Eigenverantwortung zu teilen bietet dies mehr Flexibilität und Freiheit, aber auch Angriffspotenziale.
Über Lissi:
Lissi bietet einfache Anwendungen für Organisationen, um vertrauenswürdige Interaktionen und Kommunikation mit Nutzenden zu ermöglichen. Dazu gehört das Lissi Wallet sowie unsere Anwendungen für Organisationen.
