Sicherheitselemente in Smartphones

Mobile Geräte der neueren Generation (ab 2015) verfügen über sichere Hardware-Elemente die es ermöglichen, kryptographisches Schlüsselmaterial sicher im Smartphone zu speichern. Das Schlüsselmaterial lässt sich aus dieser Hardware nicht extrahieren und ist daher an das mobile Gerät gebunden. Darüber hinaus verhindert diese Eigenschaft, den Diebstahl der Schlüssel durch potentielle Angriffe und gewährleistet dadurch eine erhöhte Sicherheit. Optional kann der Zugriff auf das Schlüsselmaterial durch zusätzliche lokale Authentifizierungsmethoden (z.B. Fingerprint, Gesichtserkennung, etc.) geschützt werden, wodurch es nur autorisierten Benutzern möglich ist, diese Schlüssel zu verwenden (siehe Abbildung 1). Zudem gibt es auf Smartphones die Möglichkeit zur Erbringung eines Nachweises (Key Attestation), dass ein entsprechendes Schlüsselmaterial in einer sicheren Hardware erzeugt und gespeichert wurde. Abhängig vom Betriebssystem des mobilen Gerätes werden unterschiedliche Hardware-Elementen eingesetzt, die prinzipiell die gleiche Funktionalität bieten.

Android: Secure Elements

Secure Elements sind Chipsätze in Android Smartphones oder Teil der SIM-Karte und bieten die erforderliche Sicherheit für mobile Apps in Bereichen wie Mobile Payment oder Mobile Banking. Mobile Apps, die auf dem Smartphone ebenfalls installiert sind, haben keinen Zugriff auf das Schlüsselmaterial einer anderen App. Der Zugriff auf das Secure Element ist nur über vertrauenswürdige Apps möglich.

iOS: Secure Enclave

Secure Enclaves ist Teil des Apple A7 und neueren Chipsätzen, die speziell für den Datenschutz eingesetzt werden. Der Zweck der Secure Enclave ist ebenso die Verwaltung von kryptographischem Schlüsselmaterial und weiteren sensiblen biometrischen Informationen. Diese Chipsätze sind von anderer Hardware am mobilen Gerät isoliert.

Diese sicheren Hardware-Elementen stellen essentielle Komponenten dar, die zur sicheren Verwendung der ID Austria auf mobilen Geräten beitragen. Verwendung finden sie außerdem, insbesondere für die vereinfachte Weiterverwendung einer Benutzerauthentifizierung, die im nachstehenden Kapitel erklärt wird.

Vereinfachte Weiterverwendung des ID Austria

Nach erfolgter Registrierung des ID Austria hat der Benutzer die Möglichkeit, innerhalb seiner Digitales-Amt-App eine kryptographische Bindung zum Identity Provider (IDP) des ID Austria Systems zu erstellen. Unter Verwendung dieser Bindung kann in weiterer Folge eine vereinfachte Authentifizierung am IDP erfolgen, da für diesen Authentifizierungsvorgang lediglich der der Besitz des mobilen Geräts in Kombination mit einer Authentifizierung des Benutzers am mobilen Gerät notwendig ist. Voraussetzung für die Erstellung dieser Bindung ist, dass der Benutzer im Zuge der Registrierung seine Digitales-Amt-App bereits kryptographisch an den VDA gebunden hat. Alternativ kann eine kryptographische Bindung zum IDP auch unter Verwendung einer eIDAS-konformen ausländischen elektronischen Identität erfolgen.

Nicht zu verwechseln ist diese kryptographische Bindung zum IDP mit jener kryptographischen Bindung, die im Zuge der oben beschriebenen Registrierungsprozesse zwischen Digitales-Amt-App (bzw. konkret ihrer VDA-Komponente) und VDA etabliert wird.

Erstellung der kryptographischen Bindung

Für die Erstellung einer Bindung authentifiziert sich der Benutzer über den VDA unter Verwendung der Digitales-Amt-App. Wichtig ist, dass zur Erstellung einer Bindung zum IDP eine Authentifizierung am VDA stets über die Digitales-Amt-App erfolgen muss. Eine Authentifizierung via SMS-TAN wird nicht unterstützt, auch wenn der VDA diese Methode prinzipiell anbieten würde.

Alternativ kann eine kryptographische Bindung zum zentralen IDP des ID Austria Systems auch unter Verwendung eines ausländischen eIDAS-konformen elektronischen Identität erstellt werden. In diesem Fall erfolgt die Authentifizierung des Benutzers im Zuge der Erstellung der Bindung über die ausländischen elektronische Identität.

Die Erstellung der Bindung wird unter Verwendung der VDA-Komponente der Digitales-Amt-App durchgeführt. Dazu kontaktiert die ID Austria Komponente der Digitales-Amt-App den Bindungsservice, der die kryptographischen Informationen zur Erstellung eines Schlüsselpaares an die ID Austria Komponente retourniert. Nach der Erstellung des Schlüsselpaares in der ID Austria Komponente wird ein Certificate Signing Request (CSR) erstellt, der zum Bindungsservice geschickt und von diesem validiert wird. Die Authentifizierung des Benutzers erfolgt im Anschluss über den VDA. Die Interaktion mit diesem wird durch die Auth.-Handler Komponenten im ID Austria Frontend implementiert. Nach erfolgreicher Authentifizierung des Benutzers sendet das Bindungsservice den CSR an eine Public-Key-Infrastruktur (PKI), wo der CSR ein weiters mal validiert wird. Nach erfolgreicher Validierung wird das Bindungszertifikat ausgestellt, welches schließlich im User Store des ID Austria Systems eingetragen und zurück zur ID Austria Komponente der Digitales-Amt-App des Benutzers returniert wird. Abbildung 2 stellt alle involvierten Komponenten, bei der Erstellung der Bindung, dar.