digitale Signatur

[PILCH Hartmut <phm@a2e.de>]

Unter

	http://a2e.de/phm/adv/digisig/

habe ich meine laienhaften Erkenntnisse zur digitalen Signatur
zusammengestellt.  Unten ist eine Kopie wesentlicher Auszüge.  Für kundige
Kritik wäre ich dankbar.

Bei allen Bemühungen frage ich mich noch immer ernsthaft, ob eine digitale
Signatur wirklich fälschungssicher ist.

Man kann doch ein Programm schreiben, welches immer wieder nach
Versuch-und-Irrtum-Verfahren alle möglichen Signaturen erzeugt und
prüft, bis es fündig wird.  Notfalls könnte man einen Großrechner
ein paar Tage daran setzen.  Sind die Algorithmen wirklich so sicher,
dass der auf keinen grünen Zweig kommt?  Wer hat das wo nachgewiesen?
Wo gibt es eine FAQ zu diesem Thema?

 
---------

Einführende Hinweise zur digitalen Signatur

     [...]


Digitale Rechnungsstellung unter dem Signaturgesetz

   Finanzämter müssen neuerdings beim Vorsteuerabzug immerhin Rechnungen mit
   "qualifizierter digitaler Signatur" anerkennen. Diese Hürde ist allerdings
   so hoch, dass bislang nur ein paar Großunternehmen sie im Rahmen der
   "Massensignatur" überwinden.

   Die "qualifizierte digitale Signatur" nach SigG ist nit teurer Bürokratie
   verbunden. Die Software muss zertifiziert werden. Diese Last schultern
   normalerweise nur Anbieter proprietärer Systeme. Eine Anerkennung offener
   (und somit besonders sicherer) Lösungen auf Basis des OpenPGP-Standards ist
   dadurch bislang verhindert worden. So hat das das Gesetz als "Gesetz zur
   Verhinderung der Digitalen Signatur" gewirkt. Die zuständige Behörde der
   Bundesregierung fördert OpenPGP-basierte Alternativen, aber auch sie kann
   (laut privater am CeBIT-Stand des BSI erhaltener Auskunft) nicht die nötigen
   Finanzmittel aufbringen, um das PGP-Verfahren zertifizieren zu lassen.

   All dies ist kein hinreichender Grund, weiterhin Bäume für das Finanzamt zu
   fällen. Es gibt folgende Möglichkeiten, die Forderung des Finanzamts zu
   umgehen:

    1. Der Besteller verzichtet darauf, aufgrund unbezahlter Rechnungen einen
       Vorsteuerabzug zu beantragen und bezahlt stattdessen einfach immer
       sofort.
    2. Der Lieferant stellt dem Besteller in regelmäßigen Abständen eine
       zusammenfassende Papierbescheinigung über die gestellten Rechnungen aus.
       Dies ist sofort praktikabel und wird vom Finanzamt anerkannt.
    3. Der Lieferant und der Besteller vereinbaren auf Papier die Anerkennung
       der zwischen ihnen verwendeten fortgeschrittenen digitalen Signaturen in
       eigener Verantwortung und versuchen, ihr Finanzamt zur Kooperation zu
       überreden. Vielleicht lohnt an dieser Stelle eine grundsätzliche
       Auseinandersetzung, die ein Verein wie der [15]FFII führen könnte.

   Interessanten Aufschluss über die derzeitige Situation beim Signaturgesetz
   gibt der unten besprochene Artikel "Akkreditierung ohne Zukunft?".

   [...]

PGP auf Chipkarte ?

   Vielfach wird im Schrifttum der Eindruck erweckt, das PGP-Verfahren stelle
   eine Lösung dar, die nicht den Anforderungen an die "voll qualifizierte
   Signatur" gemäß SigG genüge. Dass ein lesegeschütztes Medium wie die
   Chipkarte die Sicherheit erhöht, ist eicht einzusehen. Nicht so leicht zu
   verstehen ist allerdings, warum OpenPGP-Chipkarten die Anforderungen nicht
   erfüllen sollen. Auf der CeBIT 2006 befragte ich einige Experten hierzu.
   Demnach liegt es daran, dass bei einem offenen Standard wie OpenPGP ein
   wirtschaftlich interessierter Akteur fehlt, der die teuren
   Zertifizierungsauflagen des SigG bezahlen könnte. Auch das BSI habe hierfür
   nicht die Mittel, hieß es.

SSL-Zertifizierung von Webservern: eine Welt für sich?

   Jeder Webserver, der etwas auf sich hält, lässt sich kostenpflichtig (ca 300
   eur im Jahr) zertifizieren, damit die Benutzer beim Besuchen einer Seite wie
   [28]https://a2e.de/ bescheinigt bekommen, dass dieser Webserver tatsächlich
   der Firma gehört, die vorgibt, hinter ihm zu stehen.

   Hiermit ist bereits ein relativ breites Zertifizierungsnetz entstanden, aber
   für die gesetzliche digitale Signatur lässt es sich wohl nicht nutzen.

   Allgemeine Informationen über SSL finden sich unter
     * [29]SSL-FAQ -- Anweisungen zur Einrichtung eines SSL-fähigen Webservers
       (Apache), wie sie auch bei [30]https://a2e.de zur Anwendung kamen.
     * [31]SSL-Zertifizierung durch IKS Jena -- die Firma beklagt, dass die
       Arbeitsteilung in diesem Bereich erst sehr rudimentär entwickelt ist.
       Insbesondere nimmt der Berufsstand der Notare seine Funktionen offenbar
       überhaupt nicht wahr.

Verweise

   5. http://einklich.net/anleitung/pgp2.htm
   6. http://www.bretschneidernet.de/tips/secmua.html
   7. http://www.pgp.de/
   8. http://www.gnupg.de/
   9. http://winpt.sourceforge.net/
  10. http://linuxwiki.de/AqBanking
  11. http://www.reiner-sct.de/
  12. http://www.gnupg.org/howtos/card-howto/en/smartcard-howto.html
  13. http://www.kes.info/archiv/online/02-03-24-digsig.htm
  14. http://www.onlinebanking-forum.de/phpBB2/viewtopic.php?p=24406&;
  16. http://www.signaturportal.de/
  17. http://www.dig-rechnung.at/
  18. http://www.medizon.de/
  19. http://www.telesec.de/
  20. http://www.trustcenter.de/
  21. http://www.d-trust.de/
  22. http://www.datev.de/
  23. http://www.authentidate.de/
  24. http://www.signamus.de/
  25. http://www.signaturportal.de/
  26. http://www.kes.info/archiv/online/02-03-24-digsig.htm
  27. http://www.ti.fhg.de/publikationen/studien_und_bucher/
  29. http://www.modssl.org/docs/2.8/ssl_faq.html
  31. http://www.iks-jena.de/leistungen/ca


-- 
To unsubscribe, e-mail: debate-unsubscribe@lists.fitug.de
For additional commands, e-mail: debate-help@lists.fitug.de