Sicherheitskonzepte

Sicherheitselemente in Smartphones

Mobile Geräte der neueren Generation (ab 2015) verfügen über sichere Hardware-Elemente die es ermöglichen, kryptographisches Schlüsselmaterial sicher im Smartphone zu speichern. Das Schlüsselmaterial lässt sich aus dieser Hardware nicht extrahieren und ist daher an das mobile Gerät gebunden. Darüber hinaus verhindert diese Eigenschaft, den Diebstahl der Schlüssel durch potentielle Angriffe und gewährleistet dadurch eine erhöhte Sicherheit. Optional kann der Zugriff auf das Schlüsselmaterial durch zusätzliche lokale Authentifizierungsmethoden (z.B. Fingerprint, Gesichtserkennung, etc.) geschützt werden, wodurch es nur autorisierten Benutzern möglich ist, diese Schlüssel zu verwenden. Abhängig vom Betriebssystem des mobilen Gerätes werden unterschiedliche Hardware-Elementen eingesetzt, die prinzipiell die gleiche Funktionalität bieten.

Android: Secure Elements

Secure Elements sind Chipsätze in Android Smartphones oder Teil der SIM-Karte und bieten die erforderliche Sicherheit für mobile Apps in Bereichen wie Mobile Payment oder Mobile Banking. Mobile Apps, die auf dem Smartphone ebenfalls installiert sind, haben keinen Zugriff auf das Schlüsselmaterial einer anderen App. Der Zugriff auf das Secure Element ist nur über vertrauenswürdige Apps möglich. Außerdem gibt es im Gegensatz zu iOS, auf Android Smartphones die Möglichkeit zur Erbringung eines Nachweises (Key Attestation), dass ein entsprechendes Schlüsselmaterial in einer sicheren Hardware erzeugt und gespeichert wurde.

iOS: Secure Enclave

Secure Enclaves ist Teil des Apple A7 und neueren Chipsätzen, die speziell für den Datenschutz eingesetzt werden. Der Zweck der Secure Enclave ist ebenso die Verwaltung von kryptographischem Schlüsselmaterial und weiteren sensiblen biometrischen Informationen. Diese Chipsätze sind von anderer Hardware am mobilen Gerät isoliert.

Diese sicheren Hardware-Elementen stellen essentielle Komponenten dar, die zur sicheren Verwendung des E-ID auf mobilen Geräten beitragen. Verwendung finden sie außerdem, insbesondere für die vereinfachte Weiterverwendung einer Benutzerauthentifizierung, die im nachstehenden Kapitel erklärt wird.

Abbildung 1: Sichere Hardware-Elemente auf Smartphones

Vereinfachte Weiterverwendung des E-ID

Nach erfolgter Registrierung des E-ID hat der Benutzer die Möglichkeit, innerhalb seiner Digitales-Amt-App eine kryptographische Bindung zum Identity Provider (IDP) des E-ID-Systems zu erstellen. Unter Verwendung dieser Bindung kann in weiterer Folge eine vereinfachte Authentifizierung am IDP erfolgen, da für diesen Authentifizierungsvorgang lediglich der Nachweis eines Authentifizierungsfaktors notwendig ist. Voraussetzung für die Erstellung dieser Bindung ist, dass der Benutzer im Zuge der Registrierung seine Digitales-Amt-App bereits kryptographisch an den VDA gebunden hat. Alternativ kann eine kryptographische Bindung zum IDP auch unter Verwendung eines eIDAS-konformen ausländischen E-ID erfolgen.

Nicht zu verwechseln ist diese kryptographische Bindung zum IDP mit jener kryptographischen Bindung, die im Zuge der oben beschriebenen Registrierungsprozesse zwischen Digitales-Amt-App (bzw. konkret ihrer VDA-Komponente) und VDA etabliert wird.

Erstellung der kryptographischen Bindung

Für die Erstellung einer Bindung authentifiziert sich der Benutzer über den VDA unter Verwendung der Digitales-Amt-App. Wichtig ist, dass zur Erstellung einer Bindung zum IDP eine Authentifizierung am VDA stets über die Digitales-Amt-App erfolgen muss. Eine Authentifizierung via SMS-TAN wird nicht unterstützt, auch wenn der VDA diese Methode prinzipiell anbieten würde.

Alternativ kann eine kryptographische Bindung zum zentralen IDP des E-ID-Systems auch unter Verwendung eines ausländischen eIDAS-konformen E-ID erstellt werden. In diesem Fall erfolgt die Authentifizierung des Benutzers im Zuge der Erstellung der Bindung über den ausländischen E-ID.

Die Erstellung der Bindung wird unter Verwendung der VDA-Komponente der Digitales-Amt-App durchgeführt. Dazu kontaktiert die E-ID-Komponente der Digitales-Amt-App den Bindungsservice, der die kryptographischen Informationen zur Erstellung eines Schlüsselpaares an die E-ID-Komponente retourniert. Nach der Erstellung des Schlüsselpaares in der E-ID-Komponente wird ein Certificate Signing Request (CSR) erstellt, der zum Bindungsservice geschickt und von diesem validiert wird. Die Authentifizierung des Benutzers erfolgt im Anschluss über den VDA. Die Interaktion mit diesem wird durch den Auth.-Handler implementiert. Nach erfolgreicher Authentifizierung des Benutzers sendet das Bindungsservice den CSR an eine Public-Key-Infrastruktur (PKI), wo der CSR validiert wird. Nach erfolgreicher Validierung wird das Bindungszertifikat ausgestellt, welches schließlich im User Store des E-ID Systems eingetragen und zurück zur E-ID-Komponente der Digitales-Amt-App des Benutzers geschickt wird. Abbildung 2 stellt alle involvierten Komponenten, bei der Erstellung der Bindung, dar.

Abbildung 2: Erstellung einer kryptographischen Bindung zur vereinfachten Weiterverwendung der Benutzerauthentifizierung