Home

- Infotech

1. 1 Feld 2 Feld 3 Fed 4Feld Richtung leer OK ITSigner V2 0 Win32 lt Zufallswert gt gt APP leer Activate lt AppName gt lt AUTH gt gt SAK leer OK Activate gt APP Die Applikation bergibt den Applikationsnamen und einen Authentisierungswert der aus dem Zufallswert dem Applikationsnamen und einem der Applikation bekannten geheimen Schl ssel gebildet wird zur Pr fung gegen die Konfiguration Im Anschluss wird der regul re Betrieb nach dem Protokoll mit den nachfolgend benannten Funktionen fortgef hrt Handbuch AGD Seite 94 104 3 Bei fehlschlagenden Authentisierung der Applikation 1 Feld 2 Feld 3 Feld 4 Feld Richtung leer OK ITSigner V2 0 Win32 lt Zufallswert gt gt APP leer Activate lt AppName gt lt AUTH gt gt SAK leer ERR Activate lt Fehlermeldung gt gt APP Die Kommunikation wird seitens der SAK abgebrochen die SAK beendet sich Die Fehlermeldung gibt ggf Aufschluss ber die Ursache des Abbruchs In der Konfigurationsdatei sind weder der Applikationsname noch das Passwort klarschriftlich hinterlegt Zur Pr fung der Authentizit t der Applikation mit dem Applikationsnamen lt AppName gt und dem Passwort lt AppPass gt befinden sich in der Konfigurationsdatei stattdessen folgende Wertepaare ID1 Bin2Hex SHA1 lt AppName gt x20 lt AppPass gt ID2 Bin2Hex SHA1 lt ID1 gt 20 lt AppN
2. Auch Multisignaturkarten sind mindestens bei der ersten Signaturausf hrung durch PIN Eingabe zu ffnen Wenn die Signaturkarte die eingegebene DIN ablehnt die PIN nicht innerhalb der vorgegebenen Zeit eingegeben wurde oder andere korrigierbare Fehler auftreten kann der Benutzer die PIN Eingabe wiederholen Das Auftreten nicht korrigierbarer Fehler wie das Entfernen der Signaturkarte f hren zum Abbruch des gesamten Signaturauftrags und zum Verwerfen aller in dem aktuellen Signaturauftrag erzeugten Signaturen Die folgende Anzeigesequenz zeigt die Ausf hrung eines Signaturauftrags Abbildung 4 13 Screenshot Statusanzeige Signaturbeginn B Infotech Signer Y2 0 ITSignerTest 91 0 Status ell Sl Kartenleser Signaturkarte 1 b Eh IPCISCHREINER SCT cyberJack pinpadje cm EES Objekte 1 Aa XML sakftestdata smisak_suite_3 xml E 2 P7 sakftestdata xmisak_suite_3 xml Fi Signatur wird ausgef hrt Weber Christian Signatur wird ausgef hrt Handbuch AGD Seite 37 104 Abbildung 4 14 Screenshot Statusanzeige Signatur nach PIN B Infotech Signer Y2 0 ITSignerTest Y1 0 Status ell xl Kartenleser Signaturkarte 1 a AN Objekte 1 Aa XML sakftestdata xmisak_suite_3 xml 2 er s kftestdata xmlsak_suite_3 xml S Signatur wird ausgef hrt Weber Christian Signatur wird ausgef hrt Abbildung 4 15 Screenshot Statusanzeige Signatur ausgef hrt B Infotech
3. 7 Jedes Zertifikat ist von seinem Aussteller mit seinem Zertifikat signiert Daraus ergibt sich eine Kette von Zertifikaten die durch ein selbstsigniertes Zertifikat Wurzelzertifikat abgeschlossen wird Bei Zertifikatexporten werden stets alle Zertifikate der Kette bis zum aus der Konfigurationsdatei bekannten Wurzelzertifikat exportiert Handbuch AGD Seite 54 104 PKCS Dokumente fest auf p7m eingestellt Das geladene Urdokument wird als Dokument_ lt n gt _StoredObject lt suffix gt exportiert Wenn es signiert wurde wird es unter dem Namen Dokument _ lt n gt _SignedObject lt suffix gt exportiert Beide Dokumente k nnen mit angemessenen Viewern eingesehen werden Signaturbezogene Daten tragen als ersten Namensbestandteil stets Dokument _ lt n gt _sig_ lt m gt mit lt m gt laufende Nummer der Signatur bei XML Dokumenten in der nat rlichen Abfolge des Dokuments bei PKCS 7 Dokumenten von au en nach innen beginnend mit 1 Zu Signaturen werden f nf unterschiedliche Datenarten nach 6 1 23 BINARY EXPORT ausgegeben e Signaturinhalt Selektor Dokument_ lt n gt _sig_ lt m gt mit Suffix xml bei XML Dokumenten Der in 1 Ordnung signierte Inhalt Bei XML Dokumenten ist dies der kanonisierte Inhalt des SignedInfo Knotens der Signatur bei PKCS 7 der Bin rkodierte Inhalt der SignedAttributes e Signaturreferenz Selektor Dokument_ lt n gt _sig_ lt m gt _ref_ lt r gt mit Suffix
4. OCSP Check erfolgreich durchgef hrt werden konnte 6 1 6 XML OCSP Struktur f r die Response Daten eines OCSP Checks lt OCSP Selector gt lt Date gt DateTime lt Status Info gt Int lt RevocationTime gt DateTime lt Reason Info gt Int lt Certificate gt XML CERTIFICATE OCSP Container Ergebnisdaten des einer durchgef hrten OCSP Abfrage Selector Selektor f r die bin ren Daten der OCSP Response Date Datum und Uhrzeit aus der OCSP Response Status Zustand des Zertifikats aus der OCSP Response nach OCSP STATUS Info textuelle Darstellung des Status s v RevocationTime Zeitpunkt des R ckrufs Reason Grund des R ckrufs nach REVOCATION STATUS Info textuelle Kurzbeschreibung der Reason Ss v Certificate Zertifikat des Responders nach XML CERTIFICATE 6 1 7 XML TIMESTAMP Daten zu einem Zeitstempel lt TimeStamp Selector gt lt Status Info gt Int lt Time gt DateTime lt ImprintHashMethod gt HASH METHOD lt ImprintHashValue gt HexString lt Certificate gt XML CERTIFICATE TimeStamp Wurzelelement f r die Daten zu einem Zeitstempel Selector Ident f r den Abruf der Daten des Zeitstempels ber LoadObject oder Name der Exportdatei Handbuch AGD Seite 81 104 Status Ergebnis der Pr fung des Zeitstempels gegen die Signatur nach TIMESTAMP STATUS Info Textuelle Darstellung des Status s v Time Zeitpunkt der Zeitstempelausstellung ImprintHashMethod Algorithmus zur Hashwertbildung nach
5. E Objektspeicher ERT C DE O Infotech GmbH OU Business Service CN Weber Christian serialNumber 1 200905071338432 f XML dsig 2 CRT C DE O Infotech GmbH OU Business Service CN Weber Christian serialNumber 1 bis 201008010935222 E CRT C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test CA 16 PN serialNumber 1 pseudonym T TeleSec SigG Test CA 16 PI CRT C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test Root CA 5 PN serialNumber 1 pseudonym T TeleSec SigG Test I ATZ C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test CA 16 PN serialNumber 1 pseudonym T TeleSec SigG Test CA 16 PN Ce E CRT C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test CA 16 PN serialNumber 1 pseudonym T TeleSec SigG Test CA 16 Pf CRT C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test Root CA 5 PN serialNumber 1 pseudonym T TeleSec SigG Test TST 200905071338432 E CRT C DE O Deutsche Post Com GmbH OU Signtrust CN T55 DP Com 75 PN bis 201306202259592 CRT C DE O Bundesnetzagentur CN 12R CA 1 PN bis 201205251056072 H un Ei Die Objekte werden mit einem K rzel ihres Typs in eckigen Klammern und ausgew hlten Kenndaten angezeigt M gliche Typen sind Handbuch AGD Seite 43 104 e XML oder P7 Dokument Das Dokument wurde von der
6. SIGNATURE STATUS Status Msg Bemerkung 0 unbekannt keine Signatur gefunden keine Pr fung durchgef hrt 1 konsistent die mathematische Konsistenz der Signatur wurde best tigt 2 gebrochen die mathematische Pr fung hat Inkonsistenzen aufgezeigt 6 1 13 SIG TIMESOURCE Quelle der ausgewiesenen Signaturzeit Tabelle 6 5 SIG TIMESOURCE Status Msg Bemerkung 0 unbekannt es liegt keine bekannte Zeitquelle vor 1 Systemzeit aktuelle Systemzeit Signatur Angabe aus Signatur Systemzeit w hrend der Signatur Zeitstempel Zeitangabe aus g ltig gepr ftem Zeitstempel Handbuch AGD Seite 86 104 6 1 14 OCSP STATUS Status einer OCSP Response nach RFC 2560 Konvention s v Tabelle 6 6 OCSP STATUS Status Msg Bemerkung 0 g ltig Das gepr fte Zertifikat ist im Verzeichnis des Ausstellers vorhanden und nicht zur ckgerufen 1 zur ckgerufen Das gepr fte Zertifikat ist im Verzeichnis des Ausstellers und wurde zur ckgerufen 2 unbekannt Das angefragte Zertifikat ist im Verzeichnis des Ausstellers nicht vorhanden oder nicht ver ffentlicht 6 1 15 REVOCATION STATUS Beschreibt den Grund des R ckrufs eines Zertifikats nach RFC 2560 Tabelle 6 7 REVOCATION STATUS Status Bedeutung englisch 0 unspecified _ keyCompromize cACompromize affiliationChanged superseded cessationOfOperation OO 01 A Gol N
7. Die Geheimhaltung und Unversehrtheit des privaten Schl sselmaterials obliegt der eingesetzten Signaturkarte Die Verwendung der Signaturkarte ist personengebunden die PIN zur Authentisierung ist vertraulich Zu keiner Zeit darf die PIN weitergegeben niedergeschrieben oder sonst irgendwie bekannt gemacht werden Wenn Zweifel an der Vertraulichkeit der PIN bestehen ist die Signaturkarte unverz glich beim Aussteller zu sperren Die Signaturkarte ist vor dem Zugriff unberechtigter Dritter zu sch tzen und muss sich stets im unmittelbaren Einflussbereich des Endanwenders befinden Dieser Schutzbedarf besteht in gesteigertem Ma f r Multisignaturkarten Zur Signaturausf hrung freigeschaltete Signatur karten d rfen den unmittelbaren Einflussbereich des Endanwenders zu keiner Zeit verlassen Die SAK tr gt in den angefertigten Signaturen die Uhrzeit des Rechners ein auf dem sie ausgef hrt wird Generell wird als Zeitbasis Datum und Uhrzeit in UTC verwendet Die SAK verf gt ber keinerlei Mechanismus zur Feststellung der korrekten Uhrzeit Der Anwender hat die zutreffende Einstellung des Datums der Uhrzeit und der Zeitzone auf der verwendeten Arbeitsstation sicherzustellen Handbuch AGD Seite 20 104 4 Benutzerhandbuch f r den Endanwender Dieses Handbuch beschreibt die Eigenschaften der SAK und enth lt Screenshots typischer Anzeigen w hrend der Programmausf hrung Es enth lt die zum sicheren Umgang mit der SAK erforderlichen Informati
8. Die SAK bekommt das zu pr fende Dokument als Datenblock sowie die Klasse des Blocks bergeben PKCS 7 oder XML Signature mit XAdES PKCS 7 Im Falle von PKCS 7 wird zun chst die ggf vorhandene base64 Transportkodierung entfernt so dass die Rohdaten vorliegen Auf diese wird ASN 1 angewandt und der Signaturwert extrahiert Anschlie end wird ber den Datenblock der gew nschte Hashwert gebildet Wenn die Signatur authentisierte Attribute enth lt wird gepr ft ob diese den ermittelten Hashwert enthalten und ber alle authentisierten Attribute erneut der Hashwert gebildet Der Signaturwert wird mit dem ffentlichen Schl ssel des enthaltenen Zertifikats nach RSA entschl sselt und der so erhaltene Hashwert wird mit dem oben berechneten verglichen Die Signaturzeit wird den authentisierten Attributen entnommen Dieser Vorgang wird wiederholt wenn die Rohdaten wiederum im PKCS 7 Format vorliegen XML Bei XML werden zun chst die Knoten ermittelt die Signaturdaten nach dem XML Signature Standard enthalten Die innerhalb der Signedinfo Struktur enthaltenen Reference Knoten werden ausgewertet und die XML Daten entsprechend des XML Signature Standards gefiltert und nach Canonical XML transformiert ber die resultierenden Datenbl cke werden Hashwerte gebildet und mit den Reference Eintr gen verglichen Die SignedInfo Struktur wird ebenfalls nach Canonical XML transformiert Aus diesem wird der resultierende Hashwert berechnet D
9. Die SAK unterst tzt die Verwendung h chstens eines Signaturzeitstempels zu einer Signatur daher ist lt t gt stets 1 Der Imprint des Zeitstempels geh rt zu dem Signaturinhalt s o Die Zertifikate der zugeh rigen Handbuch AGD Seite 55 104 Zertifikatskette tragen denselben Namen mit zus tzlich angeh ngten Bestandteilen issuer_cert_1 Die Datei mit dem Namen Dokument_ lt n gt _Syslog txt enth lt textuelle Loginformatinen vorwiegend zur Fehlerdiagnose im UNIX Textformat Zeilenenden ohne lt CR gt nur lt LF gt 4 2 6 1 Beschreibungsdatei Bei jedem Export legt die SAK eine Beschreibungsdatei mit festem Namen content vm im Exportverzeichnis an Bei der Beschreibungsdatei handelt es sich um eine wohlgeformte XML Datei nach 6 1 1 XML CONTENT ff mit impliziter Zeichenkodierung nach UTF8 Sie enth lt die Namen aller weiteren im Exportverzeichnis angelegten Dateien in Selector Attributen und stellt sie untereinander in Beziehung Sie dient ferner als Informationsquelle wichtiger bei der Ausf hrung von Signaturen oder deren Verifikation anfallender Informationen Dazu geh ren die G ltigkeit von Signaturen und Zertifikaten die den Signaturen zugrunde liegenden Funktionen und Parameter sowie Pr fergebnisse Die Beschreibungsdatei gibt insbesondere Aufschluss ber die in der Statusanzeige wiedergegebenen Verifikations und Validierungsergebnisse Im Folgenden sind die Pfade zu den Elementen der Besc
10. G ltigkeitzeitraum bis 201003010935222 Attributzertifikate Nein Geeignet f r Signaturen Ja Qualifizierungseintrag gcStatement QcCompliance Policy cp sigconform Selbstbeschr nkung Yertretungsmacht Weitere Informationen Zulassung Folgende Detailinformationen werden angezeigt e Status Information zum vorliegenden Pr fergebnis des Zertifikats nach 6 1 17 CERTIFICATE STATUS Der Wert Referenzfehler ist f r Attributzertifikate vorgesehen und taucht bei Hauptzertifikaten niemals auf e OCSP Status Information zum Ergebnis einer OCSP Pr fung nach 6 1 16 CERTOCSP STATUS Handbuch AGD Seite 48 104 OCSP Abfragedatum Systemzeit Systemzeit zum Zeitpunkt der Entgegennahme der OCSP Response nach deren Pr fung Inhaber Einzeilige Darstellung der Attribute des Namens des Zertifikatseigent mers aus dem Zertifikat Der Name kann einige kommaseparierte Attribute enthalten Attributname und wert werden durch Gleichheitszeichen separiert ausgegeben Aussteller Einzeilige Darstellung der Attribute des Namens des Zertifikatsausstellers sonst wie vor Seriennummer Eindeutige Seriennummer des vorliegenden Zertifikats beim Aussteller G ltigkeitszeitraum von Zeitangabe ber den Beginn des G ltigkeitszeitraums des Zertifikats nach dem im Zertifikat hinterlegten G ltigkeitsbeginn G ltigkeitszeitraum bis Zeitangabe ber das Ende des G ltigkeitszeitraums des Zertifikats nach dem im Zertifikat hinterlegten
11. Kartenleser Signaturkarte 1 b 8 PC SC REINER SCT cyberJack pinpadje com EES Objekte 1w It XML sakftestdataf xmlsak_suite_3 xml 2 x pat sak testdata xmisak_suite_3 xmi Das Dokument ist w hrend des Signaturyorgangs im Speicher wl Ver nderung des Urdokuments festgestellt ver ndert worden Der gesamte Signaturvorgang wird abgebrochen Alle Signaturergebnisse werden gel scht Signatur wird ausgef hrt Handbuch AGD Seite 68 104 4 3 3 berpr fung von Dokumenten vor der Signatur Um ein geladenes Dokument vor der Signaturausf hrung einzusehen bricht man die PIN Eingabe ab z B durch Bet tigung des Abbruch Knopfes auf dem Tastenfeld des Kartenleseger ts fordert mit dem Navigationselement der Statusanzeige siehe 4 2 3 1 Statusanzeige bei Signaturausf hrung die Detailanzeige des interessierenden Dokuments an und f hrt dessen Export durch siehe 4 2 6 Dateiexporte Im Exportverzeichnis findet man unter dem Namen Dokument_ lt n gt _StoredObject mit Suffix xml oder p7m das zur Signatur anstehende Dokument Die Integrit t des exportierten Urdokuments kann anhand des in der Detailanzeige ausgewiesenen SHA 256 Hashwerts gepr ft werden siehe 4 2 5 2 Detailanzeige Dokument 4 3 4 berpr fung von Dokumenten nach der Signatur Nachdem eine Signatur ausgef hrt wurde muss die bertragung der Ergebnisdaten an die Applikation best tigt werden siehe 4 2
12. REINER SCT cyberJack pinpad e com USB 52 Multisignatur zulassen nur f r die geladenen Dokumente zulassen solange die Signaturkarte gesteckt bleibt speziell zulassen besch nkt auf h chstens 5 E Minuten zwischen Signaturen und 2 CG Signaturausf hrungen M chten Sie diese Einstellungen zur Multisignatur bernehmen von Der Dialog zeigt den Namen des zur Signaturausf hrung festgelegten Kartenleseger ts und einige Einstellm glichkeiten zur Nutzung der Multisignaturkarte Die Optionen bedeuten im Einzelnen Handbuch AGD Seite 41 104 e Multisignatur nicht zulassen PIN Eingabe f r jede Signatur erforderlich Das Setzen dieser Option entspricht der Voreinstellung Zwischen Signaturausf hrun gen wird die Signaturkarte geschlossen und steht anderen Applikationen zur Verf gung e Multisignatur zulassen nur f r die geladenen Dokumente Diese Option bewirkt das Halten der Signaturkarte in ge ffnetem Zustand f r die Anzahl von Signaturen die zur Signaturausf hrung auf allen Ablagef chern erforderlich ist e Multisignatur zulassen solange die Signaturkarte gesteckt bleibt Durch Anwahl dieser Option bleibt die Multisignaturkarte nach erfolgter Authentisierung in ge ffnetem Zustand gehalten bis sie entfernt oder das Programm beendet wird e Multisignatur speziell zulassen beschr nkt auf Diese Option gestattet die Einstellung spezieller Beschr nkungen der Nutzung der
13. SignedInfo Knoten bei XML Signed Attributes oder Urdokument bei PKCS 7 Ergebnis der Signaturpr fung nach VERIFICATION STATUS String textuelle Darstellung des Status s v Ergebnis der Signaturpr fung nach SIGNATURE STATUS textuelle Darstellung des CrypoStatus s v DateTime Signaturzeit aus Zeitstempel sofern vorhanden und g ltig sonst aus Eintragung in der Signatur i d R Systemzeit sofern vorhanden sonst aktuelle Systemzeit Angabe der Quelle der Signaturzeit s v nach SIG TIMESOURCE String textuelle Darstellung der Quelle der Signaturzeit s v Algorithmen und Parameter die zur Signaturerzeugung genutzt wurden s SIGNATURE METHOD L nge des Signaturschl ssels des verwendeten Cryptographischen Verfahrens Hier RSA PKCS 1 Schl ssell nge L nge Modulus Aussage ob die Signatur 1 Ordnung integer ungebrochen ist Wenn true reproduziert die Nachberechnung des Hashwerts des Signaturgegenstands 1 Ordnung s o Selector den im SignedHash enthaltenen und mit SignedHashValue ausgewiesenen Hashwert Handbuch AGD SecureUhltil SignedHashMethod SignedHashValue SignedHash XMLSignature PKCS7Signature Certificate AttribCert TimeStamp Seite 75 104 Fr hester Zeitpunkt an dem die Sicherheitseignung der Hashmethode oder des Verschl sselungsverfahrens ausl uft Algorithmus zur Hashwertbildung nach HASH METHOD aus dem entschl sselten Signaturwert s u SignedHash Hex Darstellung des
14. ausreicht oder nur ein bestimmtes Ergebnis erwartet wird Eine vorhandene Anfragenummer wird in der zugeh rigen Ergebnissequenz verwendet Das zweite Feld einer Sequenz bezeichnet die Funktion oder das Ergebnis Alle weiteren Felder enthalten die Parameter oder die R ckgabewerte soweit diese vorgesehen sind Handbuch AGD Seite 93 104 Funktionsaufrufe und Ergebnisse werden prinzipiell immer gleich bertragen Sie werden nur durch das zweite Feld unterschieden Bei der Kommunikation von Ergebnissequenzen wird in dem zweiten Feld ein K rzel ber den Returncode der Funktion mit nachgestelltem Doppelpunkt und eine Wiederholung der Funktion bertragen Der Returncode kann einen der folgenden Werte annehmen es OK Die Funktion wurde sachgerecht verarbeitet e ERR Bei der Funktionsausf hrung ist ein Fehler aufgetreten Details ber die Funktionsausf hrung oder die Fehlerursache k nnen abfragbar oder in der Sequenz selbst enthalten sein 6 2 4 Aktivierungsphase In der Aktivierungsphase wird zwischen ITSigner und der Applikation eine der folgenden Sequenzen ausgetauscht 1 Nach fehlgeschlagener Selbstpr fung 1 Feld 2 Feld 3 Feld 4 Feld Richtung leer ERR ITSigner V2 0 Win32 lt Fehlermeldung gt gt APP Die Kommunikation wird seitens der SAK abgebrochen die SAK beendet sich Die Fehlermeldung gibt ggf Aufschluss ber die Ursache des Abbruchs 2 Nach erfolgreicher Selbstpr fung der SAK
15. certificateHold 6 1 16 CERTOCSP STATUS Status einer OCSP Anfrage zu einem Zertifikat Konvention s v Dieser Status ber cksichtigt den Umstand dass bei einer OCSP Anfrage auch selbst Fehler auftreten k nnen Tabelle 6 8 CERTOCSP STATUS Status Msg Bemerkung 0 ungepr ft es ist noch keine Pr fung erfolgt 1 gut das Zertifikat ist beim Aussteller als g ltig bekannt 2 zur ckgerufen das Zertifikat wurde beim Aussteller zur ckgerufen ung ltig Handbuch AGD Seite 87 104 unbekannt das Zertifikat ist beim angefragten Aussteller nicht bekannt abfragefehler es konnte tempor r keine g ltige Antwort eingeholt werden aussteller der Aussteller des Zertifikats ist nicht bekannt unbekannt 6 verifikationsfehler das Zertifikat des OCSP Responders konnte nicht verifiziert werden 6 1 17 CERTIFICATE STATUS Status zum Pr fergebnis eines Zertifikats Konvention s v Tabelle 6 9 CERTIFICATE STATUS Status Msg Bemerkung 0 ungepr ft das Zertifikat ist nicht gepr ft worden 1 g ltig das Zertifikat ist nach dem Pr fmodell g ltig 2 ung ltig das Zertifikat ist nach dem Pr fmodell ung ltig 3 vertraut Zertifikat vertrauensw rdig im Zertifikatsstamm 4 kettenfehler die Zertifikatskette ist fehlerhaft oder unvollst ndig 5 referenzfehler das Attributzertifikat referenziert nicht das Hauptzertfikt 6 1 18 VERIFICATION STATUS Gesamtstatus zum P
16. nnen Es spezifiziert die erforderlichen Ma nahmen zur Herstellung der zul ssigen Einsatzumgebung und den Umgang mit den Hilfsmitteln zur rechtssicheren Erstellung und Pr fung qualifizierter Signaturen Dem Entwickler dient es als Leitfaden wie die Dokumentation zu seiner Fachapplikation zu erg nzen ist um den Endanwender in die Lage zu versetzen eine sichere Einsatzumgebung herzustellen die Integrit t der SAK vertrauensw rdig zu pr fen und sie sicher zu verwenden 3 2 Betriebsmodi Die SAK gen gt in ihrer Standardkonfiguration den Anforderungen des Signaturgesetzes und der Signaturverordnung SigG i V m SigV Die Standardkonfiguration wird nach jedem Programmstart angenommen Die SAK kommuniziert zu jeder Zeit mit h chstens einer sie verwendenden Fachapplikation Der gleichzeitige Betrieb mehrerer SAK Instanzen ist allerdings m glich Jede die SAK verwendende Fachapplikation ist dann einer dezidierten Instanz der SAK zugeordnet 3 3 Sichere Umgebung Die SAK verf gt ber Mechanismen zur Pr fung der Integrit t des eigenen Programmcodes die jedwede Manipulation zuverl ssig feststellten Die SAK terminiert mit einer Fehlermeldung falls der Programmcode ver ndert wurde Um sicherzustellen dass von der Fachapplikation das richtige Programm verwendet wird ist die Integrit t der Installation vor der ersten Inbetriebnahme und dann regelm ig wenigstens jedoch monatlich zu pr fen Die SAK weist den Namen und Speicherort d
17. und ausgehenden Daten nach folgenden Prinzipien statt Die Kommunikation erfolgt ber eine Sequenz von Feldern Jedes Feld wird von dem folgenden durch einen Tabulator ASCII 09 separiert Die Sequenz wird durch ein einzelnes Linefeed ASCII 10 abgeschlossen In den Feldern treten keine Steuerzeichen auf Bei der Kodierung werden diese in eine Zeichensequenz xx umgesetzt wobei xx die hexadezimale Repr sentation des Steuerzeichens ist Ein im Feldinhalt vorkommender Tabulator w rde also als 09 im Stream kodiert Der Backslash selbst wird einfach verdoppelt Auf der lesenden Seite werden alle Steuerzeichen au er Tabulator und Linefeed berlesen Alle anderen Zeichen werden ohne Ver nderung bertragen Durch die Art der Kodierung k nnen in allen Feldern Bin rdaten bertragen werden Dieses erm glicht auch eine Verschachtelung von Feldsequenzen Textuelle Feldinhalte in ASCII 1ISO 8859 oder UTF 8 Kodierung werden abgesehen vom Backslash unver ndert bertragen Sequenzen werden immer vollst ndig bertragen 6 2 3 Basis Kommunikationsprotokoll F r die Realisierung der Funktionen werden f r das TSF Protokoll Namensgebung Tab Separierte Felder folgende Festlegungen getroffen Das erste Feld enth lt eine Anfragenummer um das Ergebnis der Anfrage zuordnen zu k nnen Die Anfragenummer kann leer bleiben wenn sichergestellt ist dass das Ergebnis eindeutig zugeordnet werden kann z B weil die Ergebnisbezeichnung schon
18. ungebrochen ist Wenn true reproduziert die Nachberechnung des Hashwerts nach der in HashMethod ausgewiesenen Methode auf den referenzierten Daten Handbuch AGD SecureUntil HashMethod HashValue CoveredSignatures Seite 76 104 s o Selector den in der Referenz enthaltenen und mit HashValue ausgewiesenen Wert Zeitpunkt an dem die Sicherheitseignung der Hashmethode ausl uft Algorithmus zur Hashwertbildung s HASH METHOD HEX Darstellung des im Dokument gefundenen Hashwertes Leerzeichen separierte Liste der mit dieser Signatur umschlossenen Signaturen innerhalb des Dokuments nach Reihenfolge des Auftauchens im Dokument beginnend mit 1 6 1 3 2 XML SIGNATURE PKCS7 Struktur spezifischer bersichtsdaten zu PKCS 7 Signaturen lt PKCS7Signature Mime Detached Selector gt lt Reference Selector gt lt Consistent gt Bool lt SecureUntil gt DateTime lt HashMethod gt HASH METHOD lt HashValue gt HexString lt sigHint gt String lt unstructuredName gt String lt unstructuredAddress gt String lt emailAddress gt String PKCS7Signature Mime Detached Reference Selector Consistent SecureUhntil HashMethod HashValue SigHint Container Wurzelelement PKCS 7 spezifischer Signaturdaten Bool true wenn ein Ausgabeformat nach S MIME vorliegt Bool true wenn die Signatur als detached signature vorliegt Container f r die signierten Urdaten Signatur 2 Ordnung Selektor f r den Datenblock das Urdokum
19. 104 Alle aus der Konfigurationsdatei geladenen Zertifikate erhalten den Zertifikatsstatus vertrauensw rdig Der Zertifikatsstatus ungepr ft wird als Anfangszustand jedem neu gelesenen Zertifikat zugeordnet Alle Signaturzertifikate werden gepr ft Sie verbleiben in diesem Zustand nur dann wenn die mathematische Verifikation des Zertifikats nicht durchgef hrt werden kann und tritt im regul ren Betrieb nicht auf Attributzertifikate enthalten eine Referenz auf das Signaturzertifikat Attributzertifikate mit beschr nkendem Inhalt sollen nach Common PKI bei Signaturen stets zusammen mit dem Signaturzertifikat verwendet werden Wenn ein bei einer Signatur verwendetes Attributzertifikat nicht das Signaturzertifikat referenziert erh lt es den Zertifikatsstatus referenzfehler Die SAK hat keine Kenntnis vom Inhalt m glicher Attributzertifikate und ob sie beschr nkend wirken Daher flie t die G ltigkeit eines Attributzertifikats in die G ltigkeitsbewertung einer Signatur nicht ein Die Merkmale des Attributzertifikats werden in der Beschreibungsdatei als Element AttribCert unterhalb des Signaturpfades hinterlegt Auch zu Attributzertifikaten wird die vollst ndige Zertifikatskette in dem Unterelement Certificate ausgewiesen 4 2 6 1 3 Zeitstempel Zum Nachweis des sp testen Erzeugungszeitpunkts einer Signatur kann zu der Signatur ein Zeitstempel eingeholt werden Ein Signaturzeitstempel enth lt neben der am
20. 8 f r Informations Datentechnik mbH z Infotech Signer Common Criteria Evaluation Auszug Handbuch Guidance Document Infotech GmbH Autor Stephan Slabihoud T VIT GmbH Frank Raub Infotech GmbH Christian Weber Infotech GmbH Kategorie CC Evaluation Status Final Version 0 5 Letzte nderung 2013 04 16 Dateiname ZEDAL_AGD_0 5 doc Dieses Dokument beinhaltet Benutzerhandbuch AGD der Komponente Infotech Signer Stichw rter CC AGD Common Criteria Revisionshistorie Datum 14 Oct 08 5 Jun 09 30 Jun 09 15 Jan 10 22 Sep 10 Version 0 1 0 2 0 3 0 4 0 5 Autor Infotech GmbH Infotech GmbH Infotech GmbH Infotech GmbH Infotech GmbH Bemerkung Erstellt Erg nzungen Interne Revision SSEE hinzugef gt Formatkorrektur Plattform hinzugef gt Kleine Korrektur an Multisignaturdialog Zertifikatsanzeige Screenshots Handbuch AGD Seite 2 104 Diese Seite wurde absichtlich leer gelassen Handbuch AGD Seite 3 104 Inhaltsverzeichnis T EINLEITUNG u 222er nes 9 2 INSTALLATION UND PROGRAMMSTART uuuunssnunsnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnn 10 2 1 Voraussetzungen eek 10 22 Auslielerling der SAR au unse een a aa 11 2 3 V rberelt ngen z rlnstallati n useassee sea u 12 2 4 Programminstallation EE 12 2 5 berpr fung der Integrit t euere eege re e 16 2 6 Starten der SAK u ea leer 16 27 Wartung und Pflege ek eek 17 2 8 EIER eege e
21. Applikation bergeben oder ist bereits signiert Angezeigt werden die bergebenen Metadaten e SIG Signatur Angezeigt wird der X509 Name des Inhabers des verwendeten Signaturzertifikats die zugrunde gelegte Signaturzeit die Signaturrolle nur bei PKCS 7 Signaturen AJ die Signatur ID nur bei XML Signaturen und das Signaturformat PKCS 7 oder XML dsig e CRT Zertifikat Der X509 Name des Inhabers und das Ende der G ltigkeit des Zertifikats werden angezeigt Das Zertifikat wurde bei der Ausf hrung oder Verifikation einer Signatur oder w hrend seiner Pr fung als Element der Zertifikatskette ermittelt e ATZ Attributzertifikat Angezeigt werden der Holder des Zertifikats und das Ende seiner G ltigkeit Der Holder ist entweder der X509 Name des Zertifikatsausstellers und der Seriennummer des Zertifikats der den Eigent mer identifiziert oder der X509 Name des Eigent mers wie er in seinem Zertifikat eingetragen ist e TST Zeitstempel Bei einem Zeitstempel wird lediglich der mitsignierte Zeitpunkt angezeigt e Vorgabe aus der Applikation Die Applikation kann ein beliebiges Objekt Datenblock mit beliebigem Typkennzeichen zur Signatur nach PKCS 7 vorlegen Das angegebene Typkennzeichen wird zusammen mit den bergebenen Metadaten angezeigt Vor einem Objekteintrag wird ein Expansionssymbol angezeigt welches bei Anzeige der abh ngigen Objekte als Minuszeichen sonst geschlossen als
22. Ausgabe der Signaturdaten nach 6 1 3 XML SIGNATURE mit allen abh ngigen Daten wie Signaturzertifikat Attributzertifikat und Zeitstempel s u Der Export auf der Detailanzeige eines Zertifikats oder Attributzertifikats bewirkt die Ausgabe der Zertifikatsdaten nach 6 1 4 XML CERTIFICATE bzw 6 1 5 XML ATTRIBCERT mit den Handbuch AGD Rohdaten des Zertifikats und seiner Zertifikatskette sowie vorliegenden OCSP Responsen jeweils mit Responderzertifikat und Zertifikatskette Im Folgenden ein Beispiel zum Inhalt eines Exportverzeichnisses zu einem mit Signatur und Attributzertifikat signierten XML Dokument mit Signaturzeitstempel Seite 53 104 Abbildung 4 27 Screenshot Export Exportverzeichnisinhalt C temp export_2009 06 23_151138_002 Datei Bearbeiten Ansicht Favoriten Extras Zur ck Suchen L Ordner ale E x a E BEE em Adresse Ci templexport_2009 06 23_151138_002 DI Wechseln zu Dateiname e en Leander content xml 13KB XML Datei 23 06 2009 17 11 Document_1_sig_1 xmil ZER XML Datei 23 06 2009 17 11 al Document 1 ag 1 attert Latz 2ER ATZ Datei 23 06 2009 17 11 E Document _1 _sig_1_attcert_1_issuer_cert_1 cer 2KB Sicherheitszertifikat 23 06 2009 17 11 Ebocument_1 _sig_1_attcert_1_issuer_cert_1_issuer_cert_l cer ZER Sicherheitszertifikat 23 06 2009 17 11 E Document _1 _sig_1_cert_1 cer 2KB Sicherheitszertifikat 23 06 2009 17 11 E Document _1 _sig_1_cert_
23. G ltigkeitsende Attributzertifikate Kennzeichnung ob das Zertifikat die Anbringung von Attributzertifikaten vorsieht Ja oder nicht Nein Geeignet f r Signaturen Kennzeichnung ob das Zertifikat ber die nach Common PKI V2 0 zur Erstellung qualifizierter Signaturen erforderlichen Eintr ge verf gt Ja oder nicht Nein Qualifizierungseintrag Nein oder qcStatement QcCompliance und oder Policy cp sigconform Nein zeigt an dass das Zertifikat keinen Eintrag enth lt der es als qualifiertes Zertifikat kennzeichnet Selbstbeschr nkung Attribut Restriction aus dem Zertifikat Freitext Vertretungsmacht Attribut Procuration aus dem Zertifikat in mehrzeiliger Darstellung Weitere Informationen Attribut Additionallnformation aus dem Zertifikat Freitext Zulassung Attribut Admission aus dem Zertifikat in mehrzeiliger Darstellung Der Benutzer kann folgende Operationen auf einem Dokument ausl sen OCSP Diese Operation bewirkt die Einholung einer Online Statusauskunft zu dem Zertifikat bei Handbuch AGD Seite 49 104 seinem Aussteller Das Ergebnis der Auskunft wird nach bernahme in den Feldern OCSP Status und OCSP Abfragedatum dargestellt und samt Zertifikatskette in den Navigationsbaum aufgenommen e Export Durch Ausl sen dieser Operation wird das Zertifikat mit seiner Zertifikatskette sowie einer ggf vorliegenden OCSP Auskunft mit Res
24. HASH METHOD ImprintHashValue Hex Darstellung des im Imprint des Zeitstempels gefundenen Hashes Certificate Container Zertifikatsdaten des Responders nach XML CERTIFICATE 6 1 3 XML STOREPARAM Diese Parameterstruktur enth lt die erforderlichen Angaben f r die Erstellung einer Signatur Je nach Art und Umfang der Signatur werden unterschiedliche Teile ben tigt lt Params gt lt Description gt String lt XMLSignature ID ParentPath BeforeElement gt lt Comment gt String lt Reference URI Type gt lt EnvelopedSignature gt lt Base64 gt lt XPath gt String lt XPathFiltering Filter gt String lt Canonicalization Comments Exclusive gt lt PKCS7Signature Mime Detached gt lt sigHint gt String lt unstructuredName gt String lt unstructuredAddress gt String lt emailAddress gt String lt TimeStamp gt lt URL gt String lt Userid gt String lt Pass gt String lt Policy gt String lt Digest gt HASH METHOD Handbuch AGD Params Description XMLSignature ParentPath BeforeElement Comment Reference URI Type EnvelopedSignature Base64 XPath XPathFiltering Filter Seite 82 104 Root Element der Parameter Hat f r sich selbst keine Bedeutung Optionale Inhaltsangabe zu dem Dokument Dieses Element darf nur einmal pro Parametersatz vorkommen Dieser Text wird in der Detailanzeige zu dem geladenen Dokument angezeigt Einfache Textformatierungen bleiben
25. Pluszeichen dargestellt wird 4 2 5 2 Detailanzeige Dokument Dieses Anzeigeelement enth lt zwei Buttons f r die Benutzeraktionen Untersuchen und Export die Gruppenbezeichnung der dargestellten Detailinformationen Dokument und die Detailinformationen selbst Die Detailanzeige ist einsehbar sobald ein Dokument von der Applikation bergeben wurde bis das zugeordnete Ablagefach wieder geleert wird Die Leerung des Ablagefachs erfolgt durch die Applikation jedoch fr hestens nach der Best tigung der Daten bergabe nach ausgef hrter Signaturanfertigung oder Validierung Handbuch AGD Seite 44 104 Abbildung 4 21 Screenshot Detailanzeige Dokument Mk Dokument Typ XML Meta a sak testdata xmlsak_suite_3 xml SHA256 Hash Urdokument b9d484703393fe05c52a0303fbb b1c1d88cb392e402c5c03b566fef8be8abid SHA256 Hash Signiertes Dokument a aaca3711ae51fb0d3db9d36f0918ff4d335a01048d2ad6872cd6832172fd35 Inhalt Freitext zur Beschreibung der enthaltenen Daten Der Text wird in UTF8 transportiert mit Umlauten Leerzeilen nur bei entsprechender Kodierung Kodierungen D n Tab amp xa Linefeed Alle angezeigten Detailinformationen werden von der Applikation zusammen mit dem Datenblock bertragen Folgende Detailinformationen werden angezeigt e Typ Je nach Signaturart k nnen XML Dokumente nach XML DSig oder beliebige Datenbl cke nach PKCS 7 signiert werden Der Typ gibt das Format der
26. Signer Y2 0 ITSignerTest Y1 0 Status fm x Kartenleser Signaturkarte 1 E A PC SC REINER SCT cyberJack pinpad e com USB 52 Objekte A wi Go Leakltestdatatomlsak sute 2 xml ef 2 wl wi pa sak testdata xmlsak_suite_3 xml w Signaturauftrag durchgef hrt bergabe an Applikation gestatten Ablehnung l scht das Signaturergebnis S Freigabe durch Benutzer Zum Abschluss des Signaturauftrags ist die bergabe der signierten Daten an die Applikation zu best tigen Der Benutzer kann Details zu den geladenen Daten zu jeder Zeit durch Anforderung der Detailanzeige einsehen Die Detailanzeige ist zu jeder Zeit zwischen der Daten bernahme der Rohdaten mindestens bis zur bergabe der Ergebnisdaten verf gbar Die Details nach Signaturausf hrung enthalten zu jedem Dokument nur die Daten zu der gerade angefertigten Signatur nicht zu bereits vor der Signaturausf hrung im Dokument vorhandenen Signaturen Alle Signaturen k nnen durch einen unmittelbar folgenden Verifikationsauftrag untersucht werden soweit dies durch die Applikation unterst tzt wird Handbuch AGD Seite 38 104 4 2 3 2 Statusanzeige bei Verifikationsausf hrung Zur Durchf hrung von Verifikationsauftr gen ist kein Kartenleseger t erforderlich Die angeschlossenen Kartenleseger te verbleiben in ihrem Zustand es findet kein Datenaustausch mit einer Signaturkarte statt Die Applikation bel sst vorhandene gerade sig
27. Signer in der Version V2 0 Win32 ist eine Signaturanwendungskomponente SAK zur signaturgesetzkonformen Erstellung und Verifikation qualifizierter Signaturen nach XML DSig und nach RSA PKCS 7 Die SAK wurde zur Verwendung 32 Bit Betriebssystemen von Microsoft entwickelt Als Arbeitsumgebung wird die korrekte Installation eines der folgenden Systeme vorausgesetzt e Windows XP e Windows Vista e Windows 7 Der Rechner auf dem die SAK betrieben werden soll muss ber einen Intel 586 kompatiblen Prozessor und sollte zum Programmstart ber mindestens 128 MB freien Arbeitsspeicher RAM verf gen Die Dateien der SAK belegen etwa 6 Megabyte Festplattenplatz Zur Anfertigung von Signaturen muss mindestens ein Kartenleseger t und eine Signaturkarte vorhanden sein Die zum Betrieb des Kartenleseger ts erforderlichen Treiber m ssen installiert sein Die zur Verwendung geeigneten Kartenleseger te m ssen ber eine Tastatur zur sicheren PIN Eingabe verf gen Die SAK unterst tzt die Verwendung folgender Kartenleseger te e Reiner SCT cyberJack e com Version 2 0 TUVIT 09363 TE 06 2002 e Reiner SCT cyberJack pinpad Version 3 0 TUVIT 93107 TU 11 2004 Folgende best tigte Signaturkarten werden unterst tzt D Trust TC TrustCenter e Chipkarte mit Prozessor SLE66CX322P CardOS V4 3B Re_Cert mit Applikation f r digitale Signatur T Systems 02182 TE 11 2006 S Trust e ZKA Banking Signature Card Version 6 6 Giesecke amp Devrie
28. aus dem Signaturwert mit dem ffentlichen Schl ssel des Erstellerzertifikats des Zeitstempels nach dem RSA Algoritnhmus und dem ffentlichen Schl ssel des Erstellerzertifikats des Zeitstempels extrahiert wurde Das Ergebnis der Zeitstempelpr fung und die im Zeitstempel enthaltenen Informationen werden dem Anwender angezeigt Weiterhin kann das Zertifikat mit dem der Zeitstempel signiert wurde angezeigt werden 4 1 8 SF8 Verwaltung der SFs mit der Konfigurationsdatei Variable Programmkonfigurationen werden anhand einer signierten Konfigurationsdatei bereitgestellt Die Konfigurationsdatei umfasst die Einstellungen zur Sicherheitseignung von Parametern Die SAK sieht eine Aktualisierung der Konfigurationsdatei vor Die Konfigurationsdatei besitzt eine festgelegte G ltigkeitsdauer nach deren Ablauf sie nicht mehr geladen wird und die SAK mit einer entsprechenden Meldung den Start verweigert Die Konfigurationsdatei wird bei jedem Programmstart geladen und anhand einer digitalen Signatur verifiziert Falls keine Konfigurationsdatei gefunden wird wird der Anwender darauf hingewiesen ein solches zur Verf gung zu stellen Die Signatur der Konfigurationsdatei wird von der SAK verifiziert und nur bei Korrektheit wird das Konfigurationsfile geladen und die Parameter werden bernommen und angewandt Die folgenden Parameter werden durch das Konfigurationsfile festgelegt e G ltigkeit Ablaufdatum des Konfigurationsfiles Nach diesem Datum wir
29. bergebenen Datenbl cke nach 6 1 10 DOCUMENT FORMAT an e Meta Dieses Feld zeigt die bergebenen Metadaten wie sie auch in der Statusanzeige angezeigt werden Der konkrete Inhalt wird von der Applikation vorgegeben und soll ein eindeutiges Ordnungsmerkmal f r den Dokumentinhalt tragen e SHA256 Hash Urdokument Hashwert der exportierten Urdaten nach SHA256 Dieser Wert kann zur Feststellung der Integrit t der exportierten Urdaten verwendet werden siehe 4 3 3 berpr fung von Dokumenten vor der Signatur e SHA256 Hash Bezugsdokument Hashwert des geladenen Bezugsdokuments nur bei Verifikation von Dokumenten in der Kodierung PKCS 7 DER detached e SHA256 Hash Signiertes Dokument Hashwert des signierten Dokuments nach SHA256 Dieser Wert kann zur Feststellung der Integrit t des exportierten signierten Dokuments herangezogen werden siehe 4 3 4 berpr fung von Dokumenten nach der Signatur Der F hrungstext und der Feldinhalt werden nur nach vorangegangener Signatur angezeigt e Inhalt Freitext zur Anzeige eines weiteren beschreibenden Textes Inhaltsangabe des Dokuments Der Inhalt ist von der Applikation vorgegeben Handbuch AGD Seite 45 104 Der Benutzer kann folgende Operationen auf einem Dokument ausl sen e Untersuchen Diese Operation bewirkt die Validierung der angezeigten Signaturzertifikate Zu jedem Zertifikat wird eine OCSP Auskunft eingeholt sofern sie nicht bereits vorliegt e Export
30. den Inhalt des Dokuments eindeutig erkennen l t Angabe der Applikation in welchem Datenformat der Datenblock angeliefert wird Siehe DOCUMENT FORMAT Wenn diese Angabe fehlt versucht die SAK das Format festzustellen Wird das Format angegeben wird der Datenblock gegen das angegebene Format gepr ft sofern das Format festgelegt ist Datenblock Die Daten f r die Erstellung oder Pr fung der Signatur im Format nach PKCS 7 XML X509 Zertifikat oder unbestimmt Das unbestimmte Format ist nur f r die Signatur nach PKCS 7 geeignet Die Erkennung des Datenformats erfolgt innerhalb der SAK Handbuch AGD Seite 100 104 Parameter Ein XML Datenblock der weitere optionale Parameter enth lt die innerhalb der Folgeoperationen auf den Daten ben tigt werden s XML STOREPARAM Subdatenblock Bei PKCS 7 muss zur Verifikation einer abgesetzten Signatur detached signature das Bezugsobjekt mitgeliefert werden Der Parameter wird nur in diesem Fall ben tigt In allen anderen F llen bleibt der Parameter leer Die Funktion kehrt unmittelbar zur ck Es werden zwischenzeitlich keine weiteren Funktionsaufrufe akzeptiert Sie liefert den Returncode OK StoreObject wenn der Parameterblock leer oder wohlgeformt ist und das Objekt in einem Ablagefach gespeichert werden konnte Sonst liefert sie den Returncode ERR StoreObject mit einer der Fehlermeldungen Operation nicht ausf hrbar Die Funktion wurde in einem anderen Zustand als Initialized
31. durch siehe Aktivierungsphase 6 2 4 AppName Name der Applikation i A Applikationstitel Auth Berechneter Authentisierungswert Die Funktion liefert bei erfolgreicher Anmeldung den Returncode OK Activate sonst ERR Activate und eine Fehlermeldung Die m glichen Fehlermeldungen sind 3 Authentisierung berf llig Authentisierung wurde nicht rechtzeitig durchgef hrt 4 Authentisierung fehlgeschlagen Authentisierung fehlgeschlagen Results CheckCertificates Selection F hrt eine OCSP Pr fung der ausgew hlten Signaturzertifikate durch Die Signaturen sind vorher durch VerifyObjects ermittelt worden Durch die Beschreibungsdatei nach 6 1 1 XML CONTENT erf hrt der Aufrufer welche Signaturen in dem Dokument vorkommen und kann deren Zertifikate gezielt pr fen lassen Selection Eine Liste mit Paaren aus Storageindex Signatureindex beginnend mit der Anzahl der Tupel Storageindex bezeichnet das Ablagefach beginnend bei 1 Signatureindex bezeichnet die Nummer der Signatur beginnend bei 1 in der Reihenfolge wie sie in XML CONTENT aufgef hrt werden Zur OCSP Pr fung geladener Zertifikate ist Signatureindex mit 0 zu belegen Results Liste mit den Zertifikatspr fergebnissen beginnend mit der Anzahl der Eintr ge identisch zu Selection gefolgt von den Pr fergebnissen Jeder Feld eines Pr fergebnisses besteht aus dem numerischen Wert einem Leerzeichen x20 und dem Text Msg nach CERTOCSP STATUS Die Funktion kehrt ni
32. einer Liste der Kartenleseger te der Ablagef cher einer Dialogfl che und einem Statusbalken mit einer kleinen Darstellungsfl che f r ein weiteres Icon an der linken Seite W hrend der Startphase sind noch keine Kartenleseger te bekannt und alle Ablagef cher leer Die Dialogfl che dient zur Informationsausgabe und bei Bedarf zur Entgegennahme von Benutzerentscheiden Der Statusbalken zeigt den aktuellen Gesamtzustand der SAK hier unmittelbar nach Programmstart Abbildung 4 5 Screenshot Statusanzeige Initialisierung B Infotech Signer Y2 0 Win32 Status ell x Kartenleser Signaturkarte Objekte Integrit tspr fung wird durchgef hrt Startphase Handbuch AGD Seite 31 104 Nach Abschluss der Startphase erfolgt die Inventarisierung bei der die in der Konfigurationsdatei enthaltenen Informationen weiterverarbeitet und die verf gbaren Kartenleseger te ermittelt werden Abbildung 4 6 Screenshot Statusanzeige Inventarisierung Infotech Signer Y2 0 Win32 Status ell x Kartenleser Signaturkarte Objekte Inventarisierung wird ausgef hrt Startphase Nach durchgef hrter Inventarisierung sind die angeschlossenen Kartenleseger te bekannt und ihre Namen und Zust nde werden in der Liste der Kartenleseger te angezeigt Anschlie end wird die Kommunikation mit der Applikation aufgenommen und deren Anmeldung erwartet Abbildung 4 7 Screenshot Statusanzeige Applikationsanmel
33. ge ffnet 5 Fehler Es sind Fehler aufgetreten Handbuch AGD Seite 90 104 6 1 23 BINARY EXPORT Zu allen XML Elementen mit dem Attribut Selector ist ein Export von Bin rdaten vorgesehen Die Bin rdaten werden ber die Funktion LoadObject von E APP von der Applikation angefordert oder durch Benutzeranforderung auf E FILE ausgegeben Die Applikation kann ber LoadObject einen Datenblock nach XML CONTENT anfordern und kann so die Selector IDs ermitteln Beim Export der Daten werden alle Bin rdaten als Dateien bereitgestellt und die Namen der Dateien in den Selector Attributen hinterlegt Zus tzlich wird die Datei nach XML CONTENT erstellt die alle exportierten Dateien in einen Zusammenhang bringt Tabelle 6 15 BINARY EXPORT Element Format Bemerkung Signature XML Bin r Erstellt den Datenblock aus dem der Hashwert gebildet wurde der der Signatur zugef hrt wurde Bei XML ist das der transformierte SignediInfo Block und bei PKCS 7 die Rohdaten Reference XML In XML Signature werden die zu signierenden Daten durch Reference Strukturen angegeben Zu jedem Reference Knoten wird ein eigener Hashwert gebildet Als Bin rdaten wrid der aus den Reference Informationen gebildete transformierte Datenblock exportiert Certificate X509 Es wird das Zertifikat in seiner X509 Struktur exportiert OCSP OCSP Es wird die OCSP Response bereitgestellt so wie sie empfangen wurde TimeStamp TS Es wir
34. gebildet und diese in die Reference Knoten eingetragen Aus dem Signedinfo Knoten wird dann der Hashwert f r die Signatur gebildet Zum Einsatz kommen hierbei SHA 1 SHA 224 SHA 256 SHA 384 SHA 512 oder RIPE MD 160 Nachdem der Hashwert berechnet wurde initiiert die SAK dessen Signierung mit Hilfe einer Signaturkarte und geeignetem Kartenleser ber die Schnittstelle zum Kartenleser Die elektronische Signatur wird in der Signaturkarte mit Hilfe des RSA Algorithmus berechnet Die SAK integriert den erhaltenen Signaturwert in den vorhandenen Datenbestand nach e PKCS 7 e XML Signature e XAdES Durch die elektronische Signatur wird die Authentizit t des Datenblocks sichergestellt Durch das zus tzliche Hinzuf gen des Zertifikats ist es zudem m glich den Datenblock zu verifizieren Bevor die Berechnung eines Hashwerts startet wird eine eindeutige Meldung angezeigt dass nun eine elektronische Signatur erzeugt wird Es wird zudem angezeigt welche Daten signiert werden Durch die Eingabe einer PIN am Kartenleser und dem notwendigen Besitz einer Signaturkarte ist es gew hrleistet dass nur autorisierte Personen eine elektronische Signatur erstellen k nnen Die SAK erlaubt es dem signierten Datenblock optional einen Zeitstempel hinzuzuf gen Es wird eine Massensignatur unterst tzt sofern geeignete Signaturkarten zum Einsatz kommen siehe Folgeabschnitt Wenn der Anwender einen Signaturvorgang abbricht werden alle bereits e
35. geladenen Dokuments Das Format wird zusammen mit dem Dokument und den Metadaten bereitgestellt Tabelle 6 2 DOCUMENT FORMAT Typ Bemerkung P7M Es wurde ein nach PKCS 7 signiertes Dokument bereitgestellt P7S Es wurde eine detached Signature nach PKCS 7 bereitgestellt XML Es wurde ein XML Dokument bereitgestellt CRT X509 Zertifikatsdatei CER DER Alle weiteren Formatangaben werden nur zur Information herangezogen Handbuch AGD Seite 85 104 6 1 11 DOCUMENT STATUS Definition des Verarbeitungsstatus eines Dokuments status bezeichnet den Status msg bezeichnet den f r de DE angezeigten Text in E DISPLAY Dieser Text wird zus tzlich als Info Attribut in der XML Struktur ausgegeben Tabelle 6 3 DOCUMENT STATUS Status Msg Bemerkung 0 unbearbeitet das Dokument wurde geladen und es wurden noch keine weiteren Operationen ausgef hrt 1 wird signiert auf diesem Dokument wird gerade ein Signaturvorgang ausgef hrt 2 wird verifiziert das Dokument wird gerade verifiziert 3 signiert Das Dokument ist signiert aber nicht verifiziert 4 gepr ft Das Dokument ist verifiziert worden Es wurde keine Signatur ausgef hrt 5 signiert und gepr ft Es wurde eine Signatur ausgef hrt und das Dokument ist verifiziert worden 6 ung ltig Das Urdokument wurde w hrend der Signatur ver ndert 6 1 12 SIGNATURE STATUS Cryptographie Status einer Signatur Konvention s v Tabelle 6 4
36. mit Anhang 1 Paragraph 1 Nr 2 SigV 22 11 2001 als geeignet identifiziert Handbuch AGD Seite 25 104 4 1 3 SF3 Eindeutige Anzeige der zu signierenden Daten Die SAK stellt sicher dass der Inhalt eines Datenblocks eindeutig durch die Anzeige von Meta Daten identifizierbar ist Die Metainformationen beinhalten keine versteckten oder aktiven Inhalte Prinzipiell k nnen alle Dateitypen signiert werden da die Signaturkomponente intern diese bis auf XML Daten nur als Datenblock behandelt Datenblock und Meta Daten werden der SAK zusammen bergeben und in demselben Ablagefach gespeichert so dass ein unmittelbarer Zusammenhang hergestellt werden kann und erhalten bleibt Bei Bedarf liegen die Daten an einer externen Schnittstelle an die dann mit einem f r dieses Format speziellen Viewer nicht innerhalb der Evaluierung betrachtet werden k nnen Im Falle von XML werden die Daten nach Anwendung der Filter und Transformationsregeln nach XML Signature exportiert die auch bei der Signatur zum Einsatz kommen F r den SignedInfo Block und jeden Reference Knoten wird eine eigene Datei erstellt 4 1 4 SF4 Schutz vor Hashwert Manipulationen Nachdem die elektronische Signatur erstellt wurde siehe SF1 berpr ft die SAK diese mit Hilfe des ffentlichen Schl ssels aus dem Zertifikat der Signaturkarte Wenn der Original Hashwert und der dekodierte Hashwert aus der elektronischen Signatur nicht bereinstimmen wurde der Hashw
37. oder Loading aufgerufen Allokationsfehler Das Ablagefach konnte nicht allokiert oder die Daten nicht darin gespeichert werden Parameterblock fehlerhaft Der bergebene Paramerblock ist fehlerhaft VerifyObjects F hrt die Pr fung der Signaturen durch Bei XML werden alle vorhandenen Signaturen ermittelt und einer mathematischen Pr fung unterzogen Bei PKCS 7 werden die enthaltenen Datenbl cke nach weiteren PKCS 7 Signaturen untersucht Die Ergebnisse der Pr fung werden zum Objekt im Ablagefach gespeichert und k nnen mit LoadObject abgefragt werden Die Funktion kehrt nicht unmittelbar zur ck und erlaubt w hrend der Bearbeitung weitere Funktionsaufrufe In diesem Zustand unzul ssige Funktionsaufrufe werden mit Fehlern abgewiesen siehe 6 2 6 Sie liefert den Returncode OK VerifyObjects wenn jedes der geladenen Objekte ber mindestens eine Signatur verf gt und alle lokalisierten Signaturen verifiziert werden konnten Sonst liefert sie ERR VerifyObjects mit einer der folgenden Fehlermeldungen Operation nicht ausf hrbar Die Funktion wurde in einem anderen Zustand als Loading Loaded oder Signed aufgerufen Threadwechsel nicht m glich Es ist bereits ein anderer Auftrag in Bearbeitung Verifikationsfehler F r mindestens ein geladenes Objekt konnte keine Signatur gefunden werden oder mindestens eine Signatur ist fehlerhaft Die Applikation stellt folgende Funktionen zur Nutzung durch die SAK bereit Response GetFile M
38. xml bei XML Dokumenten Der in 2 Ordnung signierte Inhalt der lt r gt ten Referenz in der Abfolge des Signaturinhalts beginnend mit 1 Bei XML Dokumenten ist es der Teil des Dokuments auf den sich die Referenz bezieht nach Anwendung der im SignedInfo Knoten angegebenen Kanonisierungs und Transformationsanweisungen Bei PKCS 7 Dokumenten existiert h chstens eine Signaturreferenz den signierten Inhalt das Urdokument e Signaturzertifikat Selektor Dokument_ lt n gt _sig_ lt m gt _cert_ lt c gt crt Das X509 Zertifikat mit dem die Signatur ausgef hrt wurde in Bin rform Die SAK unterst tzt keine Co Signaturen daher ist lt c gt stets 1 Exportierte Zertifikate k nnen mit dem Zertifikatsmanager des Betriebssystems in allen Details untersucht werden Die Zertifikate der zugeh rigen Zertifikatskette tragen denselben Namen mit zus tzlich angeh ngten Bestandteilen _issuer_cert_1 e Attributzertifikat Selektor Dokument_ lt n gt _sig_ lt m gt _attcert_ lt a gt atz Attributzertifikat zum Signaturzertifikat in Bin rform Die SAK unterst tzt die Verwendung von h chstens einem Attributzertifikat zu einer Signatur daher ist lt a gt stets 1 Die Zertifikate der zugeh rigen Zertifikatskette tragen denselben Namen mit zus tzlich angeh ngten Bestandteilen _issuer_cert_1 e Signaturzeitstempel Selektor Dokument_ lt n gt _sig_ lt m gt _timestamp_ lt t gt ts Zeitstempel einer Signatur in Bin rform
39. zur Vertretungsmacht Selbstbeschr nkung Freitext Zusatzinformationen Freitext Angaben zur beruflichen Zulassung Container Daten eines OCSP Checks nach XML OCSP wenn eine OCSP Check erfolgreich durchgef hrt wurde 6 1 5 XML ATTRIBCERT Diese Struktur beschreibt jeweils ein Zertifikat und seine Begleitdaten Der hier ausgewiesene G ltigkeitszeitraum ist der im Zertifikat ausgewiesene Zeitraum jedoch um die ggf durchgef hrte Verifikation und ein ggf vorliegenden OCSP Pr fergebnis korrigiert Aus dem Ausstellerzertifikat wird der G ltigkeitszeitraum nach dem in ihm ausgewiesenen G ltigkeitsmodell reduziert beim Schalenmodell auf den Zeitraum in dem beide Zertifikate g ltig sind beim Kettenmodell erfolgt keine Korrektur 10 Der ausgewiesene G ltigkeitszeitraum ist wie in korrigiert Wenn ein valides OCSP Pr fergebnis vorliegt und das Zertifikat zur ckgezogen wurde wird das G ltigkeitsende auf den darin ausgewiesen R ckrufzeitpunkt 6 1 6 XML OCSP Element lt RevocationTime gt korrigiert sofern er vor dem bereits ermittelten G ltigkeitsende liegt Handbuch AGD Seite 79 104 lt AttribCert Selector gt lt Status Info gt Int lt OCSPStatus Info Sysdate gt Int lt Holder gt String lt NotBefore gt DateTime lt NotAfter gt DateTime lt Serial gt String lt Issuer gt String lt Certificate gt XML CERTIFICATE lt Procuration gt String lt Restriction gt String lt Additionallnformation gt Str
40. 1_issuer_cert_1 cer 2KB Sicherheitszertifikat 23 06 2009 17 11 E Document 1 _sig_1_cert_1_issuer_cert_1_issuer_cert_1 cer 2KB Sicherheitszertifikat 23 06 2009 17 11 al Document_1_sig_1_cert_1_ocsp osr 4KB OSR Datei 23 06 2009 17 11 Document_1_sig_1_ref_1 xml ZER XML Datei 23 06 2009 17 11 Document_1_sig_1_ref_2 xmil DER XML Datei 23 06 2009 17 11 al Document_1_sig_1_timestamp_1 ts 4KB TS Datei 23 06 2009 17 11 EJbocument_1 _sig_1_timestamp_1_cert_l cer ZER Sicherheitszertifikat 23 06 2009 17 11 E Document _1 _sig_1_timestamp_1_cert_1_issuer_cert_1 cer 2KB Sicherheitszertifikat 23 06 2009 17 11 Document_1_SignedObject xmi 31KB hd Datei 23 06 2009 17 11 Document_1 _StoredObject xmil 17KB XML Datei 23 06 2009 17 11 SI Document 1 Ssslog Et IER TXT Datei 23 06 2009 17 11 17 Objekte 85 5 KB g Arbeitsplatz E Beispiel eines m glichen Inhalts des Exportverzeichnisses nach Export auf der Detailanzeige eines signierten XML Dokuments Die Dateinamen sind von der SAK automatisch generiert und mit den in der Beschreibungsdatei content vm hinterlegten Selektoren identisch Die Dateinamen werden aus einem Pr fix Dokument _ lt n gt mit lt n gt Nummer des Ablagefachs in der SAK beginnend mit 1 weiteren Namensbestandteilen und einem typabh ngigen Suffix gebildet Der Suffix von Urdokument und signierten Dokument wird nach dem Dokumentformat s 6 1 10 DOCUMENT FORMAT unterschieden F r XML Dokumente ist er fest auf xml f r
41. 3 1 Statusanzeige bei Signaturausf hrung W hrend der Anzeige des Best tigungsdialogs f hrt man den Export des Dokuments durch wie im vorangegangenen Abschnitt beschrieben Nach durchgef hrtem Export enth lt das Exportverzeichnis u a das signierte Dokument unter dem Namen Dokument_ lt n gt _SignedObject mit Suffix xml oder pzm und eine Zusammenstellung signaturrelevanter Datenextrakte siehe 4 2 6 Dateiexporte ff Die Integrit t des exportierten signierten Dokuments kann anhand des in der Detailanzeige des Dokuments ausgewiesenen SHA 256 Hashwerts gepr ft werden siehe 4 2 5 2 Detailanzeige Dokument Der signierte Anteil eines gerade signierten Dokuments wird idR durch die erste Referenz unter dem Namen Dokument mn ag 1 re 17 mit Suffix xml oder p7m exportiert Der Hashwert der referenzierten Daten wird in der Beschreibungsdatei zusammen mit dem Hashverfahren ausgewiesen Die SAK hat keine Kenntnis ber das Schema im Fall eines signierten XML Dokuments oder das Datenformat bei PKCS 7 Signaturen Der Datengehalt des von der Signatur berdeckten Anteils wird stets als Ganzes exportiert Der Bedeutungsgehalt dieser Daten ist nicht Gegenstand der SAK Handbuch AGD Seite 69 104 5 Benutzerhandbuch f r den Entwickler F r Entwickler gelten die Ausf hrungen aus Kapitel 4 dem Benutzerhandbuch f r den Endanwender Die folgenden Abschnitte dieses Kapitels enthalten die f r den En
42. 84 Hash SHA 384 SHA512 Hash SHA 512 RIPEMD160 Hash RIPEMD 160 Weitere Hashmethoden sind vorhanden jedoch nicht Teil der Best tigung 6 2 Applikationsschnittstelle ber diese Schnittstelle kommuniziert die Applikation mit der SAK Dieser Schnittstelle liegt folgendes Modell zugrunde e Die SAK verf gt ber mehrere Ablagef cher in denen jeweils ein Objekt zur Bearbeitung abgelegt werden kann e Alle Daten werden vor der Bearbeitung an die SAK bertragen und nach der Bearbeitung von dort angefordert e Nach dem Ausl sen einer Bearbeitung k nnen keine weiteren Objekte bereitgestellt werden e F r eine neue Signatur m ssen die Ablagef cher neu belegt werden Eine Verifikation kann ohne erneutes Laden der Objekte wiederholt werden e Eine Bearbeitungsfunktion wirkt immer auf alle Ablagef cher Jedes Ablagefach wird ber XML STOREPARAM spezifisch mit Parameterdaten versorgt Handbuch AGD Seite 92 104 6 2 1 Grundlagen Die Kommunikation zwischen Applikation und der SAK erfolgt ber eine bidirektionale Stream Schnittstelle Alle Daten werden serialisiert zur anderen Seite bertragen Zum Aufbau der Kommunikation f hrt der aufrufende Prozess eine Umlenkung der Standard Input Output Streams auf eigene Handles durch und hat so eine exklusive Stream Schnittstelle zur SAK ber die beidseitig Daten bertragen werden k nnen 6 2 2 TSF Protokoll Aufbauend auf der Stream Schnittstelle findet eine Strukturierung der ein
43. AGD Seite 13 104 Abbildung 2 1 Screenshot Setup Einleitung ER Willkommen beim Installations Assistenten f r E Form Plugin Dieser Assistent wird Sie durch die Installation von E Form Plugin begleiten Es wird empfohlen vor der Installation alle anderen Programme zu schlie en damit bestimmte Systemdateien ohne Neustart ersetzt werden k nnen Klicken Sie auf Weiter um fortzufahren Abbrechen Die Installation kann f r einen einzelnen Benutzer oder f r alle Benutzer der Arbeitsstation vorgenommen werden Der folgende Dialog bietet die entsprechenden Auswahlm glichkeiten Abbildung 2 2 Screenshot Setup Installationsart Strom Plugin Installation iol xj Installationsart T Hier k nnen Sie die Art der Installation ausw hlen C Bitte w hlen Sie aus volle Installation f r alle Benutzer Nullsoft Install System v2 37 lt Zur ck Abbrechen Die Wahl des Zielverzeichnisses richtet sich nach den Anforderungen der Fachapplikation kann aber zur Anpassung an spezielle Gegebenheiten angepasst werden Handbuch AGD Seite 14 104 Abbildung 2 3 Screenshot Setup Verzeichniswahl Is Zielverzeichnis ausw hlen P w hlen Sie das Verzeichnis aus in das E Form Plugin installiert werden soll G E Form Plugin wird in das unten angegebene Verzeichnis installiert Falls Sie in ein anderes Verzeichnis installieren m chten klicken Sie auf Durchsuchen und w hlen Sie ein ander
44. Beschr nkungen noch erf llt sind Der Dialog und die Einstellm glichkeiten sind im Abschnitt 4 2 4 Multisignatureinstellungen beschrieben Wenn das Signaturzertifikat den Hinweis auf ein Attributzertifikat enth lt kann der Benutzer ein vorhandenes Attributzertifikat durch die Applikation hinzuf gen lassen Abbildung 4 10 Screenshot Statusanzeige Attributzertifikat laden B Infotech Signer Y2 0 ITSignerTest 41 0 Status ell x Kartenleser Signaturkarte 1 ab PC 5C REINER SCT cyberlack pinpadje com USB52 Objekte 1 Du sakftestdata xmisak_suite_3 xml ES 8 Du sakftestdata xmisak_suite_3 1 xml Pe E Das Zertifikat verweist auf ein Attributzertifikat K Soll ein Attributzertifikat geladen werden Signatur wird ausgef hrt Handbuch AGD Seite 35 104 Bei Bejahung des Dialogs fordert die SAK die Applikation zur bermittlung eines Attributzertifikats auf Die Applikation l sst einen entsprechenden Dialog zum ffnen einer Datei erscheinen und bermittelt die in der Datei befindlichen Daten zur SAK Abbildung 4 11 Screenshot Dateiauswahldialog Fachapplikation Attributzertifikat xl Suchen in ES onxtest D e Dirr ES si additionallnformation atz si admission atz si no_atz atz Eigene Dateien ai procuration atz Ej l restriction atz Arbeitsplatz Dateiname 000000799944905 atz DI Dateityp atz files atz DI Abbrechen E N etzwerkumg 2 Die SAK nimmt
45. Hashwerts aus dem entschl sselten Signaturwert s u SignedHash Hex Darstellung des Signaturwerts Container nach XML SIGNATURE XML nur bei XML Signaturen Container nach XML SIGNATURE PKCS7 nur bei PKCS 7 Signaturen Container Daten des ersten Signaturzertifikats siehe XML CERTIFICATE Container Daten des ersten Attributzertifikats siehe XML ATTRIBCERT Container Daten des ersten Zeitstempels siehe XML TIMESTAMP 6 1 3 1 XML SIGNATURE XML Struktur spezifischer bersichtsdaten zu XML Signaturen Die Referenzknoten entstammen dem SignediInfo Element Sie sind von der Signatur umschlossen Signatur 2 Ordnung lt XMLSignature ID Path gt lt Reference URI Type XAdES Selector gt XMLSignature ID Path Reference URI Type XAdES Selector Consistent lt Consistent gt Bool lt SecureUntil gt DateTime lt HashMethod gt HASH METHOD lt HashValue gt HexValue lt CoveredSignatures gt String Container Wurzelement XML spezifischer Signaturdaten String die ID aus dem Signature Knoten sofern vorhanden String absoluter Pfad zum Signature Knoten nach XML PATH Container Wurzelelement eines Reference Knotens String im Reference Knoten eingetragenes URI String im Reference Knoten verwendetes Type Attribut Kennzeichnung true wenn der Reference Knoten nach XAdES angelegt wurde andernfalls false Selektor f r die referenzierten Daten Signatur 2 Ordnung Aussage ob die Signatur 2 Ordnung integer
46. Mit dieser Operation l st der Benutzer den Export des gesamten Dokuments mit allen abh ngigen Daten aus Vor einer Signaturausf hrung oder Verifikation liegen lediglich die von der Applikation bergebenen Daten vor Diese werden zusammen mit einer Beschreibungsdatei nach 6 1 1 XML CONTENT stets exportiert Wenn das Dokument signiert wurde werden zus tzliche Daten zur ausgef hrten Signatur exportiert Wenn das Dokument verifiziert wurde werden die Daten zu allen gefundenen Signaturen exportiert Zum Umfang der exportierten Daten bei Export von Signaturen siehe Folgeabschnitt 4 2 5 3 Detailanzeige Signatur Die Detailanzeige zur Signatur ist nach ausgef hrter Signaturanfertigung oder Verifikation verf gbar Sie enth lt einen Button zur Durchf hrung der Benutzeraktion Export Abbildung 4 22 Screenshot Detailanzeige Signatur MR Signatur Status Signatur g ltig Cryptographie Status konsistent Format XML DSig Signaturzeit Zeitstempel 201003021119222 Sicherheitsgeeignet bis 20151231235959 Signatur Id XML ERZ 00000000 1000 0000 0000 000000000002 SigHint PKCS 7 unstructuredName unstructuredAddress ema il ddress Die Details der angezeigten Signatur sind in Abh ngigkeit vom Signaturformat gef llt Stets bef llt sind Handbuch AGD Seite 46 104 e Status G ltigkeit der Signatur nach allen durchgef hrten Pr fungen nach 6 1 18 VERIFICATION STATUS e Cryptographie Status G ltigkeit der Sign
47. Signaturkarte Die Karte bleibt ge ffnet bis die eingestellte Anzahl zugelassener Signaturausf hrungen erreicht oder zwischen zwei Signaturen mehr als die eingestellte Zeit verstrichen ist Wird innerhalb der eingestellten Zeit erneut eine Signatur durchgef hrt beginnt die Zeitz hlung erneut Die Zeitangabe erfolgt in ganzen Minuten ohne Nachkommastellen Der Wert 0 deaktiviert die Zeitbeschr nkung d h die Multi signaturkarte bleibt zeitlich unbeschr nkt ge ffnet Die Anwahl einer der letzten beiden Optionen versetzt die SAK in einen nicht signaturgesetz konformen Betriebszustand weil die zur Signatur vorgelegten Dokumente vor der Signatur ggf nicht eingesehen werden k nnen F r signaturgesetzkonformen Betrieb d rfen sie nicht ver wendet werden Der Betrieb der SAK in diesem Zustand ist nicht Gegenstand der Evaluierung Das Feld zur Einstellung der zugelassenen Signaturausf hrungen ist mit der Anzahl bef llter Ablagef cher vorbelegt Die Einstellung von 0 bedeutet dass die Anzahl der Signatur ausf hrung nicht beschr nkt ist Das Feld hat einen Wertebereich von 0 bis 999 Das Feld zur Einstellung der Zeit zwischen den Signaturen beschr nkt die zugelassene Leerlaufzeit der ge ffneten Signaturkarte Wird die Karte ber ein gr eres als das eingestellte Zeitintervall nicht verwendet wird sie geschlossen Die Einstellung von 0 bedeutet dass die Leerlaufzeit nicht beschr nkt ist Das Feld hat eine
48. String optional OID der ggf vom Zeitstempeldienstanbieter geforderten Policy in Punktnotation String optional Identifikation des bei der Zeitstempelanfrage zu verwendenden Digests nach HASH METHOD vorbelegt mit SHA256 Handbuch AGD Seite 84 104 6 1 9 XML PATH Der Pfad zur Angabe einer Position innerhalb des XML Dokuments besteht aus wiederholbaren Angaben der Form Prefix ElementnamelIndex Elementname Name des XML Knotens ohne Pr fix Es wird nach Unterelementen mit diesem Namen gesucht Alle gefundenen Unterelemente bekommen Indexnummern beginnend bei 1 zugewiesen Prefix dieser Teil ist optional Wird er angegeben wird zus tzlich auf diesen Pr fix gepr ft Wird nur der Doppelpunkt angegeben wird nach Elementen mit leeren Pr fix gesucht Index dieser Teil ist optional Wird er angegeben wird das Unterelement mit der angegebenen Indexnummer verwendet Fehlt dieser Teil wird Index mit 1 angenommen Wird Index lt 1 oder gr er als die Liste der Unterelemente gew hlt wird die Suche abgebrochen bedeutet dass eine weitere Angabe folgt Die Suche wird in den Unterelementen des vorher gefundenen Elements fortgesetzt Das Zeichen wird hinter allen Angaben au er der letzten benutzt Leerzeichen und Steuerzeichen sind nicht zul ssig Die Suche beginnt immer vor dem Root Knoten D h die erste Positionsangabe enth lt immer den Namen des Root Knotens 6 1 10 DOCUMENT FORMAT Datenformat des
49. TSignerTest 91 0 Status ell xi Kartenleser Signaturkarte 1 ak T PC SC REINER SCT cyberJack pinpad e com USB 52 Objekte 0 j XML sak testdata xmlsak_suite_3 xml SS EN XML sakftestdatal xmlsak_suite_3 1 xmil Si Daten bernahme In der Liste der Ablagef cher k nnen simultan bis zu 5 Ablagef cher dargestellt werden Falls mehr als 5 Ablagef cher verwendet werden erh lt die Liste Scrollelemente 5 und Zb zur Navigation Jeder Listeneintrag besteht aus e Einer laufenden Nummer beginnend mit 1 e Symbol f r den Verarbeitungszustand in Abh ngigkeit vom geladenen Datenblock Bei Dokumenten nach DOCUMENT STATUS 0 unbearbeitet Dokument ist unbearbeitet 4 wird signiert Dokument wird gerade signiert amp 2 wird verifiziert Dokument wird gerade verifiziert oni 3 signiert Dokument ist signiert 4 gepr ft Dokument ist verifiziert Ais signiert und gepr ft Dokument ist signiert und verifiziert X e ung ltig Dokument ist ung ltig Bei Zertifikaten nach CERTIFICATE STATUS nur Verifikation 0 undefiniert Zertifikat ist unbearbeitet Y 1 g ltig Zertifikat ist g ltig X 2 ung ltig Zertifikat ist ung ltig e Symbol f r das Pr fergebnis in Abh ngigkeit vom geladenen Datenblock Bei Dokumenten nach VERIFICATION STATUS 0 undefiniert Dokument ist ungepr ft CC g ltig Dokument ist gepr ft und g ltig X 2 ung ltig Dokument ist gepr ft und ung ltig 11 bestreitbar Dokument ist unvollst ndig validie
50. Verifikation Confirmy Loaded Wenn vorher auf den Objekten keine Signatur ausgef hrt wurde Signed Wenn vorher auf den Objekte eine Signatur ausgef hrt wurde Die beiden Zust nde Confirms und Confirm unterscheiden sich aus Applikationssicht nur durch die vorangegangene Operation Beiden gemein ist der Wartezustand auf eine 12 Aus diesem Zustand kann die SAK kurzfristig in den Zustand Online bergehen wenn externe Daten ben tigt werden Zeitstempel OCSP Anfrage Laden eines Attributzertifikats Sie nimmt anschlie end wieder den vorangegangenen Zustand an 3 Dieser Zustand wird nach erfolgreich ausgef hrter Signatur automatisch angenommen Die SAK zeigt einen Best tigungsdialog mit der Benutzerwahl ob das Ergebnis zur bertragung an die Applikation freigegeben werden soll 4 Dieser Zustand wird nach ausgef hrter Verifikation automatisch angenommen Die SAK zeigt einen Best tigungs dialog zur Kenntnisnahme des Ergebnisses Handbuch AGD Seite 104 104 Benutzeraktion Best tigung und die M glichkeit einer Online Anforderung aus der SAK Dieser Zustand dient der Umsetzung der Anforderungen aus dem Signaturgesetz
51. ame gt Die Applikation muss das Ergebnis AUTH folgender Berechnung mit dem aus der Einschaltmeldung der SAK erhaltenen Zufallswert zusammen mit ID2 vorlegen AUTH Bin2Hex SHA1 lt ID1 gt x20 lt Zufallswert gt Die SAK berechnet zu jedem registrierten Wert ID1 nach derselben Regel den Authentisierungswert AUTH und vergleicht ihn mit dem vorgelegten Nur wen dieser Vergleich Identit t liefert und die vorgelegte ID2 ebenfalls mit dem Wert aus der Konfigurationsdatei bereinstimmt wird die Applikationsanmeldung akzeptiert 6 2 5 Funktionen der SAK Die Darstellung der Funktionen sieht vor dass auf der rechten Seite in Klammern sie Aufrufparameter und auf der linken Seite in Klammern die R ckgabewerte im Erfolgsfall dargestellt werden Wenn nur die erfolgreiche Durchf hrung der Operation zur ckgemeldet wird stehen auf der linken Seite keine Parameter Die Reihenfolge der Felder im TSF Protokoll bestimmt sich durch die Reihenfolge der Aufruf oder R ckgabewerte in der Funktionsbeschreibung Alle textuellen Parameter und R ckgabewerte werden UTF 8 kodiert erwartet oder bereitgestellt Unbekannte Funktionen werden entsprechend dem Basis Protokoll als Fehler zur ckgegeben Unbekannte Antworten die einen Doppelpunkt enthalten werden nicht beantwortet Die SAK stellt folgende Funktionen zur Nutzung durch die Applikation bereit Handbuch AGD Seite 95 104 Activate AppName Auth F hrt die Anmeldung der Applikation
52. ateianfrage K M chten Sie ein Attributertifikat laden Signatur wird ausgef hrt Handbuch AGD Seite 66 104 Abbildung 4 40 Screenshot Statusanzeige Attributzertifikat Referenzfehler B Infotech Signer Y2 0 ITSignerTest 91 0 Status Milz Kartenleser Signaturkarte 1 ab IPCISCHREINER 5CT cyberJack pinpadje com U5B52 Objekte DW Go sak testdatafxmlsak_suite_3 xml 2 al er sakftestdata xmlsak_suite_3 xmil Das Attributzertifikat wurde geladen Es passt jedoch nicht zum Signaturzertifikat M chten Sie ein anderes Attributertifikat laden Signatur wird ausgef hrt Abbildung 4 41 Screenshot Statusanzeige Attributzertifikat noch nicht g ltig 5 Infotech Signer 2 0 ITSignerTest 1 0 Status SIE Kartenleser Signaturkarte 1 ib D PC SC REINER SCT cyberJack pnpadfe com USB52 Objekte DEA Go sak testdata xmisak_suite_3 xml 2 al IG Leakltestdatatomlsak aute 2 xml Si Das Attributzertifikat ist noch nicht g ltig M chten Sie ein anderes Attributertifikat laden Signatur wird ausgef hrt Abbildung 4 42 Screenshot Statusanzeige Attributzertifikat nicht mehr g ltig B Infotech Signer Y2 0 ITSignerTest Y1 0 Status fei x Kartenleser Signaturkarte 1 ai A Objekte 1 al Go sak testdata xmlsak_suite_3 xml H EN er sak testdataf xmlsak_suite_3 xml Si 9 Das Attributzertifikat ist nicht mehr g lt
53. atur nach mathematischer Verifikation nach 6 1 12 SIGNATURE STATUS e Format Festtest abh ngig vom verwendeten Signaturformat XML DSig f r XML DSig und PKCS 7 f r PKCS 7 Signaturen e Signaturzeit lt Quelle gt Anzeige der Signaturzeit und ihrer Quelle Als Signaturzeit wird die lokale Systemzeit herangezogen soweit keine weitere Zeitinformation vorliegt Wenn die Signatur eine mitsignierte Zeitangabe enth lt wird diese angezeigt Wenn die Signatur einen Signaturzeitstempel enth lt wird dieser angezeigt Die Anzeige der Quelle der angezeigten Zeitangabe erfolgt nach 6 1 13 SIG TIMESOURCE e Sicherheitsgeeignet bis Anzeige des Ablaufdatums der Sicherheitseignung der verwendeten Signaturmethode Angezeigt wird das fr hste Ablaufdatum der Hashmethode und das Verschl sselungs verfahren mit Schl ssell nge Optional bef llte Detailangaben e Id Optionales Id Attribut des Elements Signature wenn die Signatur im Format XML dsig vorliegt e SigHint Optionale mitsignierte Signaturrolle bei PKCS 7 Signaturen Dieses Feld wird bef llt wenn in der Signatur ein Element unstructuredName nach PKCS 9 vorliegt jedoch davon abweichend mit ASN 1 Typ OctetString e unstructuredName Optionales Namenselement nach PKCS 9 nur bei PKCS 7 Signaturen e unstructuredAddress Optionales Adressfeld nach PKCS 9 nur bei PKCS 7 Signaturen e emailAddress Optionale Mailadresse nach PKCS 9 nur bei PCKS 7 Signaturen Fo
54. ausf hrbaren Programmdatei einer Treiber dil f r Kartenleseger te und einer Konfigurationsdatei Zur Pr fung der Integrit t der Installation ist jede dieser drei Dateien mit einer separaten Signaturdatei signiert Jede Signaturdatei tr gt denselben Namen wie die signierte Datei jedoch mit der zus tzlichen Endung p7s Alle 6 Dateien liegen zusammen in einem Installationsverzeichnis das i d R mit dem der Fachapplikation identisch ist Die Integrit t der Installation muss vor der ersten Verwendung verifiziert werden Dazu gen gt die Nachberechnung des SHA 256 Hashwerts ber die Programmdatei ITSigner exe und Vergleich des Berechnungsergebnisses mit dem hier ver ffentlichten Wert Der SHA 256 Hashwert der Programmdatei ITSigner exe lautet b3ec96606cde63e 16 1f3e8d664a38f9360666072fb457aa96d82771b3b07baed Das Infotech Signer Integrity Tool ITSigner Check exe berechnet die Hashwerte der signierten Dateien pr ft die Signaturen und weist die Hashwerte zusammen mit den Pr fergebnissen aus Der Hashwert SHA 256 kann auch mit einer anderen geeigneten Anwendung berechnet und ebenso telefonisch erfragt werden Telefonische Unterst tzung und Auskunft ber den korrekten Hashwert erhalten Sie bei der Infotech Zentrale unter 49 2361 9130 0 2 6 Starten der SAK Die SAK wird durch die sie verwendende Fachapplikation gestartet Der Start erfolgt je nach Applikation ggf verz gert sp testens jedoch bis zur ers
55. bar Sicherheitseignung abgelaufen Zertifikatsnutzung ohne Signatur Zertifikat nicht vertrauensw rdig Zertifikat noch nicht g ltig Zertifikat nicht mehr g ltig Signaturausf hrungsfehler Freigabe von Benutzer verneint Unbekannter Ausnahmefehler Die Funktion wurde in einem anderen Zustand als Loading oder Loaded aufgerufen Es ist bereits ein anderer Auftrag in Bearbeitung Kein Ablagefach allokiert kein Okjekt geladen Einer der bergebenen Paramerbl cke ist fehlerhaft Der angegebene Kartenleser ist nicht verf gbar Der angegebene Kartenleser enth lt keine Signaturkarte Das Signaturzertifikat konnte nicht gelesen werden Die Sicherheitseignung der mit der Signaturkarte erzeugbaren Signaturen ist abgelaufen Dem Zertifikat fehlt die Markierung ist zur Nutzung in Signaturen Das Zertifikat ist nicht vertrauensw rdig Es konnte keine Zertifikatskette mit bekannter Wurzelinstanz ermittelt werden Das Zertifikat ist noch nicht g ltig Das Zertifikat ist nicht mehr g ltig Fehler bei der Signaturausf hrung aufgetreten Der Benutzer hat die bergabe der Ergebnisdaten an die Applikation abgelehnt Bei der Signaturausf hrung ist ein unbekannter Ausnahmefehler aufgetreten StoreObject Metadaten Datenformat Datenblock Parameter Subdatenblock Speichert den Datenblock des Dokuments zusammen mit den Metadaten und Parametern im n chsten verf gbaren Ablagefach Metadaten Datenformat Ein String der
56. bbildung 4 17 Screenshot Statusanzeige Verifikation durchoeiOhbrt 2 2 38 Abbildung 4 18 Screenshot Multisignatureinstellungen nennen 40 Abbildung 4 19 Screenshot Detailanzeige esssessennreneeeseeennrrnntrssrrrtnrrnnnennnsserrrnnrnnnneeent 42 Abbildung 4 20 Screenshot Detailanzeige Navigationsbaum nenne 42 Abbildung 4 21 Screenshot Detailanzeige Dokument 44 Abbildung 4 22 Screenshot Detailanzeige Gigonaiur nn 45 Abbildung 4 23 Screenshot Detailanzeige Zertifikat nsonsenneneeeesserenrrrnrrsserrntrrrrrrnnresee 47 Abbildung 4 24 Screenshot Detailanzeige Attributzertifikat nenn 49 Abbildung 4 25 Screenshot Detailanzeige Zeitstempel ssnsssneseeessessnrrrrrrsssrrrrrrrnrrrnnneeee 51 Abbildung 4 26 Screenshot Export Verzeichniswahl 244440ssnnnnnnn nennen nennnnnnnnn 52 Abbildung 4 29 Screenshot Statusanzeige Konfigurationsdatei veraltet 60 Abbildung 4 30 Screenshot Statusanzeige Parametersatz unvollst ndig 1111errrrrreee 61 Abbildung 4 31 Screenshot Statusanzeige Signaturkarte nicht gelesen 61 Abbildung 4 32 Screenshot Statusanzeige Schl ssell nge unbestimmt 62 Abbildung 4 33 Screenshot Statusanzeige Sicherheitseignung abgelaufen 62 Abbildung 4 34 Screenshot Statusanzeige Zertifikat nicht qualifiziert 63 Abbildung 4 35 Screensh
57. bweichend nicht nur f r die angefertigte Signatur sondern f r alle ermittelten Signaturen zur Verf gung 4 2 3 3 Pr fergebnis und Pr fzeitpunkt Nach einer Signaturausf hrung wird das Ergebisdokument verifiziert Die Verifikation erstreckt sich nur auf gerade ausgef hrte Signatur Bei Verifikationsauftr gen werden alle Signaturen und Zertifikate der vorgelegten Pr fobjekte Dokumente und oder Zertifikate gepr ft In der Statusanzeige wird f r jedes Pr fobjekt das Symbol des schlechtesten Pr fergebnisses aller durchgef hrten Pr fmethoden Validierung OCSP Pr fung angezeigt Wenn noch keine Pr fung durchgef hrt wurde wird dies mit dem leeren Platzhalter angezeigt Nur wenn bei keiner der durchgef hrten Pr fungen ein Fehler erkannt wurde kann die Signatur oder das Zertifikat g ltig W sein Wenn eine der Pr fungen Inkonsistenzen aufweist z B weil ein Dokument nach der Signatur ver ndert wurde oder das Zertifikat zum Pr fzeitpunkt zur ckgerufen war wird dies mit dem Symbol x angezeigt Ergeben sich bei der Pr fungen Warnungen jedoch keine Fehler wird dies mit symbolisiert In diesem Fall konnte die G ligkeit einer Signatur oder eines Zertifikats nicht vollst ndig bestimmt werden z B weil das Signaturzertifikat nicht mitsigniert wurde oder beim Zertifikatsausstelle nicht bekannt ist Die G ltigkeit eines Dokuments kann dann ggf nur aus weiteren Informationen etwa dem Signaturzeitpunkt einer Archivierung ermitte
58. cht unmittelbar zur ck und erlaubt w hrend der Bearbeitung weitere Funktionsaufrufe In diesem Zustand unzul ssige Funktionsaufrufe werden mit Fehlern abgewiesen siehe 6 2 6 Die Funktion liefert im Erfolgsfall den Returncode OK CheckCertificates mit der Ergebnisliste sonst ERR CheckCertificates mit einer der folgenden Fehlermeldungen Operation nicht ausf hrbar Die Funktion wurde in einem anderen Zustand als Loading Loaded oder Signed aufgerufen Threadwechsel nicht m glich Es ist bereits ein anderer Auftrag in Bearbeitung Selektorliste falsch Die Selektorliste enth lt eine falsche Anzahl von Eintr gen Objekt zu Index nicht vorhanden Eine Adressierung aus der Liste konnte nicht zugeordnet werden Handbuch AGD Seite 96 104 DropObjects L scht alle Ablagef cher Die Funktion kehrt unmittelbar zur ck Zwischenzeitlich werden keine weiteren Funktionen akzeptiert Bei Aufruf in einem unzul ssigen Zustand liefert Sie den Returncode ERR DropObjects und die Fehlermeldung Operation nicht ausf hrbar sonst OK DropObjects Export Path F hrt einen Export aller Ablagef cher durch Path Basispfad des Verzeichnisses in das der Export erfolgen soll Diese Funktion kehrt unmittelbar nach Ausf hrung zur ck Sie ist f r Debugzwecke vorgesehen und wird in der Produktionsversion der SAK nicht verwendet Sie liefert stets den Returncode OK Export Properties GetCardProperties Readername Liefert die Properties der ein
59. d Verarbeitungsprotokoll bereitgestellt index Nummer des Ablagefachs beginnend bei 1 selectorlist Eine Stringliste mit Selektoren die festlegen welche Daten bereitgestellt werden sollen Die Liste beginnt mit der Anzahl der Selektoren gefolgt von den Selektoren selbst Ein leerer Selektor liefert nur die Inhaltsangabe Aus der Inhaltsangabe lassen sich ber die Selector Attribute die Idente f r alle weiteren Objekte ermitteln Einige Selector Idente sind festgelegt s u ObjectList Die Liste der angeforderten Objekte in der Reihenfolge der Angaben in selectorlist Die Liste beginnt mit der Anzahl der Eintr ge gefolgt von jeweils einem Tripel aus selectorid exists binarydata pro Eintrag Tabelle 6 18 Vordefinierte Selektoren ID Bedeutung lt leer gt Inhaltsangabe im Format XML CONTENT syslog Das System Protokoll signedobject das signierte Dokument storedobject der ber StoreObject abgelegte Datenblock storedsubdata der ber StoreObject abgelegte Subdatenblock Die Funktion kehrt unmittelbar zur ck Es werden zwischenzeitlich keine weiteren Funktionen akzeptiert Bei Aufruf in einem unzul ssigen Zustand liefert Sie den Returncode ERR LoadObject mit der Fehlermeldung Operation nicht ausf hrbar Wenn das mit index bezeichnete Ablagefach nicht existiert liefert sie ERR LoadObject mit der Fehlermeldung Objekt zu Index nicht vorhanden andernfalls liefert sie OK LoadObject und di
60. d das Konfigurationsfile vom Programm nicht mehr geladen und muss durch ein aktuelleres ersetzt werden Handbuch AGD Seite 28 104 e Tabelle mit den g ltigen Hash Algorithmen und deren Laufzeit bzw Ablaufdatum ihrer Sicherheitseignung e Tabelle mit den g ltigen Verschl sselungs Algorithmen RSA Parametern Schl ssell nge und dem Ablaufdatum ihrer Sicherheitseignung e Zertifikatsst mme bekannter Zertifikatsaussteller in Dateiform e Tabelle mit einer Zuordnung von Zertifikatsst mmen zu Responder URLs f r die OCSP Abfrage e Tabelle mit sprachspezifischen Strings f r andere Sprachen au er de DE e Tabelle mit erg nzenden OIDs deren Kurz und Langname soweit nicht bereits in den Bibliotheken hinterlegt e Tabelle mit XML IDs f r XML Signature Da die SAK ohne die Kenntnis von Schemadateien arbeitet wird die Festlegung weiterer ID Attribute und ihrer URI ben tigt Diese werden ggf hier ber die Konfiguration erg nzt 4 1 9 SF9 Schutz vor Manipulation der Programmdatei Die Programmdatei wird vom Hersteller signiert Das Programm verf gt ber den zugeh rigen ffentlichen Schl ssel und verifiziert beim Programmstart die mathematische Korrektheit der Signatur Schl gt die Verifikation fehl wird der Anwender auf diesen Umstand hingewiesen und die SAK verweigert die weitere Ausf hrung 4 2 Benutzerschnittstelle Im Folgenden finden Sie die Anzeigen und Bedienelemente des Infotech Signer Die Gestaltun
61. d der TimeStamp so bereitgestellt wie er empfangen wurde bzw wie er im Dokument hinterlegt wurde SignedObject XML PKCS 7 Das fertig signierte Dokument abh ngig von der Art des Dokuments und der Art der angefertigten Signatur StoredObject XML Bin r Das Dokument oder Zertifikat so wie es mit StoreObject bergeben wurde StoredSubdata Bin r Das von einer abgesetzten Signatur detached signature nach PKCS 7 referenzierte Dokument Wird ausschlie lich zur Pr fung von detached signatures nach PKCS 7 bereitgestellt 6 1 24 SIGNATURE METHOD K rzel der bei einer Signatur verwendeten Algorithmen und Parameter Die Schl ssell nge in Bits wird im Attribut KeyLength des Elements verzeichnet Tabelle 6 16 SIGNATURE METHOD K rzel Bedeutung RSA SHA1 Verschl sselung RSA PKSC 1 Hash SHA 1 RSA SHA224 Verschl sselung RSA PKSC 1 Hash SHA 224 Handbuch AGD Seite 91 104 RSA SHA256 Verschl sselung RSA PKSC 1 Hash SHA 256 RSA SHA384 Verschl sselung RSA PKSC 1 Hash SHA 384 RSA SHA512 Verschl sselung RSA PKSC 1 Hash SHA 512 RSA RIPEMD160 Verschl sselung RSA PKSC 1 Hash RIPEMD 160 Weitere Signaturmethoden sind vorhanden jedoch nicht Teil der Best tigung 6 1 25 HASH METHOD K rzel des bei der Hashwertbildung eingesetzten Hashalgorithmus Tabelle 6 17 HASH METHOD K rzel Bedeutung SHA1 Hash SHA 1 SHA224 Hash SHA 224 SHA256 Hash SHA 256 SHA3
62. dd660dfcab3aab4b67184 Ein Zeitstempel dokumentiert das Vorliegen eines Datenblocks zu der in ihm angegebenen amtlichen Zeit Im Fall eines Signaturzeitstempels wird die Signatur zeitgestempelt was die sp teste Signaturzeit dokumentiert Folgende Detailinformationen werden angezeigt e Status Zustand des Zeitstempels nach 6 1 19 TIMESTAMP STATUS nach allen vorgenommenen Pr fungen Wenn sich ein Zeitstempel nicht auf den Signaturwert bezieht oder seine Zertifikatskette nicht gebildet werden kann ist er ung ltig e Zeit signierte amtliche Zeitangabe aus dem Zeitstempel e ImprintHashMethod Bei der Hashberechnung des Imprints verwendete Methode e ImprintHashValue Hashwert des Datenblocks 4 2 6 Dateiexporte Die SAK bietet durch Dateiexporte die M glichkeit vorgelegte Dokumente vor der Signaturaus f hrung oder bereits signierte und verifizierte Dokumente vor der bergabe an die Applikation in s mtlichen Details zu pr fen Zur Einholung eines Zeitstempels wird dem Zeitstempeldienstanbieter TSP ein Imprint Hashmethode und Hashwert des zeitzustempelnden Datenblocks vorgelegt den der TSP signiert zur ckgibt Handbuch AGD Seite 52 104 Der Export wird auf Anweisung des Benutzers durch Bet tigen der Schaltfl che Export in einer der Detailanzeigen eingeleitet Es wird ein Eingabefeld zum Eintrag des Verzeichnisses angezeigt in den der Export vorgenommen werden soll hier bereits eingetragen Abbildung 4 26 Scree
63. den Dateiinhalt entgegen und pr ft ob es sich dabei um ein Attributzertifikat handelt ob es das Signaturzertifikat referenziert und g ltig nicht abgelaufen ist Wenn das Attributzertifikat den Pr fungen gen gt wird dies wie folgt angezeigt Abbildung 4 12 Screenshot Statusanzeige Attributzertifikat geladen 5 Infotech Signer Y2 0 ITSignerTest Y1 0 Status Kartenleser Signaturkarte 1 a SA Objekte 1 al Go a sak testdata xmlsak_suite_3 xml Ed 2 al ra Leakltestdatatomlsak sute 2 ml H 172 Das Attributzertifikat wurde geladen M chten Sie ein anderes Attributertifikat laden e Signatur wird ausgef hrt Handbuch AGD Seite 36 104 Zur Aufnahme des Attributzertifikats in die Signaturen ist der vorstehende Dialog zu verneinen Wenn das zu verwendende Zertifikat und ggf das Attributzertifikat f r den Signaturvorgang festgelegt sind f hrt die SAK die Signatur f r alle in den Ablagef chern befindlichen Dokumente durch Dabei kann die Signaturkarte nicht gewechselt werden Zu einer Signaturausf hrung muss die Signaturkarte durch Benutzereingabe PIN ge ffnet vorliegen Wenn es sich bei der Signaturkarte um eine Einzelsignaturkarte silbernes Schloss handelt ist die PIN zu jeder Signatur einzugeben Falls es sich jedoch um eine Mehrfachsignaturkarte handelt goldenes Schloss kann der Zustand bereits vorliegen und die Signaturkarte wird ohne weitere Nachfrage zur Signaturausf hrung verwendet
64. den Wert false an Der Wert ung ltig wird dem Signaturstatus zugewiesen wenn das verwendete Signaturzertifikat nicht ermittelt werden konnte es selbst zum Zeitpunkt der Signatur Content Document dSignature s SigningTime nach dem anzuwendenden G ltigkeitsmodell ung ltig war nicht zur Anfertigung qualifizierter Signaturen geeignet markiert ist oder seine Zertifikatskette nicht auf ein bekanntes Wurzelzertifikat f hrt Bei XML Signaturen ist ein Signaturstatus ungesichert m glich der dann angenommen wird wenn das Signaturzertifikat zwar korrekt verwendet jedoch nicht mitsigniert wurde Es werden nur solche Zertifikate als m gliches Signaturzertifikat betrachtet deren Wert im Unterelement lt KeyInfo gt der Signatur hinterlegt sind Als m gliche Signaturmechanismen werden alle Referenzen der betrachteten Signatur sowie die XAdES Elemente unterhalb lt Signature gt in SigningCertificates Cert ber cksichtigt Im Fall einer Signatur nach XAdES wird der in lt CertDigest gt ausgewiesene Hashwert ber das Zertifikat nachberechnet und muss zu demselben Ergebnis f hren Die in lt IssuerSerial gt ausgewiesenen Idente sind hinsichtlich der Interoperabilit t problematisch Sie bleiben daher unber cksichtigt 4 2 6 1 2 Zertifikate und Attributzertifikate Die SAK ber cksichtigt zu jeder Signatur nur ein Signaturzertifikat Wenn es in der Signatur enthalten ist und ihr zugeordnet werden konnte ist de
65. dung B Infotech Signer Y2 0 Win32 Status ell zl Kartenleser Signaturkarte 1 ick RS PZ SC REINER SCT cyberJack pinpadfe com USB 52 Objekte Applikationsanmeldung wird erwartet Startphase Die Anzeige stellt ein gefundenes Kartenleseger t dar Der Treiber zu dem Kartenleseger t wurde noch nicht geladen eine m glicherweise vorhandene Signaturkarte wurde noch nicht bestimmt Der Name des Kartenleserger ts wird in dem angezeigten Eingabefeld dargestellt In der Liste der Kartenleseger te k nnen simultan bis zu 3 Kartenleseger te angezeigt werden Falls mehr Kartenleseger te erkannt werden erh lt die Liste Scrollelemente und Zb zur Navigation Jeder Listeneintrag besteht aus e Einer laufenden Nummer beginnend mit 1 Handbuch AGD Seite 32 104 e Symbol f r den Zustand von Kartenleser Treiber entsprechend READER STATUS SS 0 Undefiniert Kartenlesertreiber wurde noch nicht geladen ch 1 Bereit Treiber geladen Kartenleser verbunden i 2 Fehler Fehlerzustand im Treiber aufgetreten e Symbol f r den Zustand der Signaturkarte nach CARD STATUS IE 0 Undefiniert Der Zustand wurde noch nicht bestimmt i SingleClose Einfachsignaturkarte geschlossen go gt SingleOpen Einfachsignaturkarte ge ffnet 3 MultiClose Mehrfachsignaturkarte geschlossen a Multi pen Mehrfachsignaturkarte ge ffnet X 5 Fehler Fehlerzustand eingetreten e Der Anzeige des Kartenleserger tenamens wie er an die Applikatio
66. durch den Benutzer beendet werden Ist dies der Fall wird das Men um den Men punkt Beenden erweitert dessen Bet tigung zur Beendigung der SAK f hrt Abbildung 4 3 Screenshot TrayMen erweitert ber Infotech Signer v2 0 Beenden EE ENT Bone Durch Klick mit der linken Maustaste auf das Traylcon oder durch Aktivierung des Men punkts Statusanzeige im TrayMen wird die Statusanzeige aktiviert und im Vordergrund dargestellt 4 2 2 Informationsdialog Die Anzeige des Informationsdialogs erfolgt durch Aktivierung des Traymen punktes ber Infotech Signer V2 0 und f hrt zur Ausgabe der Versionsinformationen des Speicherortes der Programmdatei der SAK und des in der Konfigurationsdatei hinterlegten Ablaufdatums Handbuch AGD Seite 30 104 Abbildung 4 4 Screenshot Informationsdialog B Infotech Signer Yersion x Copyright C 2009 Infotech GmbH Webseite http www infotech de Verwendet von ITSignerTest Vi 0 Produktname Infotech Signer Version v2 0 Win32 Erstellungsdatum Jan 26 2010 13 15 34 Best tigung nach Common Criteria 3 1 Pr fniveau EAL 3 Best tigungskennung TUVIT 93165 TE Installationspfad wiwt SAK debug Programmdatei itsigner exe Konfigurationsdatei _itsigner chq g ltig bis 20100331235959 4 2 3 Statusanzeige Die Statusanzeige besteht aus einer Gruppe von Anzeigeelementen die ber den Zustand der SAK Auskunft erteilen Die Gruppe besteht aus
67. e Applikation mit dem angegebenen Datenblock Das Ergebnis der Anfrage wird einer Plausibilit tspr fung unterzogen Diese Funktion wird f r die OCSP Pr fung verwendet URL Die Internet Adresse der Ressource ber die die Anfrage erfolgen soll Parameter enth lt einen Textblock mit Parametern zu einer http Anfrage Dieser Text ist so gestaltet dass er 1 1 in den Header der http Anfrage bernommen werden kann Datenblock Ein beliebiger Datenblock der an das Ziel bermittelt werden soll Response der Datenblock wie er aus der http Anfrage zur ckkommt Die Applikation muss aus der URL den bergebenen Parametern seinen eigenen Parametern und dem Datenblock eine http Anfrage zusammenstellen und diese an den in der URL angegeben Server weitergeben Handbuch AGD Seite 102 104 Die Funktion muss von der Applikation mit OK PostUrl und dem Ergebnis oder ERR PostUrl und einer Fehlermeldung beantwortet werden 6 2 6 Status berg nge Im Folgenden werden die Zust nde und deren berg nge beschrieben Abbildung 6 1 Status berg nge Initialized ER Z Confirm i Wer 3 Checking Loaded i Tabelle 6 19 Status berg nge Statusn Operation Status n 1 Bemerkung Programmstart Reset Anfangszustand Reset Initialisierung und Initialized automatischer bergang nach erfolgreicher Integrit tspr fung Integrit tspr fung S Quit Es kann jederzeit ein Quit ausgef hrt werde
68. e Exporte der selektierten Objekte Status GetStatus Liefert eine Aussage zum Zustand der SAK Diese Funktion kann w hrend der Funktionen die weitere Funktionsaufrufe zulassen ausgef hrt werden Status Der ermittelte Zustand der SAK nach SAK STATUS Handbuch AGD Seite 98 104 Die Funktion kann jederzeit ausgef hrt werden und kehrt unmittelbar zur ck Es werden zwischenzeitlich keine weiteren Funktionen akzeptiert Sie liefert stets den Returncode OK GetStatus und den Zahlenwert des aktuellen Status Quit Beendet die Kommunikation mit der SAK Diese Funktion kann jederzeit ausgef hrt werden und kehrt unmittelbar zur ck Sie liefert stets den Returncode OK Quit Wenn Daten zur Bearbeitung geladen sind bietet die SAK dem Benutzer die M glichkeit die Beendigung wahlfrei durchzuf hren andernfalls terminiert sie unverz glich SetLanguage lang Legt die Dialogsprache der SAK fest Diese Funktion wird nur dann ausgef hrt wenn keine Daten zur Bearbeitung anliegen lang Spezifikation der Sprache nach rfc 4646 ber die Sprachkonfiguration k nnen verschiedene Sprachen unterst tzt werden Teil der Best tigung ist jedoch nur die deutsche Sprache de DE Dieses ist die Voreinstellung beim Start Es werden nur die konfigurierten Sprachkennungen akzeptiert Die Funktion kehrt unmittelbar zur ck Es werden zwischenzeitlich keine weiteren Funktionen akzeptiert Bei Aufruf in einem anderen Zustand als Initial
69. eSec SigG Test CA 16 PN CertSerial 7999452 E CRT C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test CA 16 PN serialNumber 1 pseudonym T TeleSec SigG Test CA 16 PN bis 2011072006 CRT C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test Root CA 5 PN serialNumber 1 pseudonym T TeleSec SigG Test Root CA 5 PN bis E T5T 200905190912452 CRT C DE O Deutsche Post Com GmbH OU Signtrust CN T55 DP Com 77 PN bis 201306202259592 CRT C DE O Bundesnetzagentur CN 12R CA 1 PN bis 201205251056072 P7 sak testdata xmlsak_suite_3 xml meten oo Dokument Meta sak testdata xmisak_suite_3 xml Typ XML Inhalt Freitext zur Beschreibung der enthaltenen Daten Der Text wird in UTF8 transportiert mit Umlauten So Leerzeilen nur bei entsprechender Kodierung Kodierungen B n Tab B n Linefeed Die in den Detailanzeigen angebrachten Schaltfl chen f r Benutzeraktionen hier Untersuchen und Export sind nur nach ausgef hrter Signatur oder Verifikation verwendbar In allen anderen Zust nden f hren sie zu einer Fehlermeldung 4 2 5 1 Navigationsbaum Der Navigationsbaum enth lt diejenigen Elemente zu den Einzelausk nfte angezeigt werden k nnen Wurzel des Baums ist der Knoten Objektspeicher Unter diesem befinden sich die in den Ablagef chern gespeicherten Objekte Abbildung 4 20 Screenshot Detailanzeige Navigationsbaum
70. ege eet 17 3 BENUTZERHANDBUCH ALLGEMEINES uuuunuussaunnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnnn 18 3 1 Benutzerrollen E 18 3 2 Betriebsmodi EE EE EE 18 3 3 Sichere Umgebung eerste ces geleed ee eher Sieger 18 4 BENUTZERHANDBUCH F R DEN ENDANWENDER uuennsusnnnnnnnnnnnsonnnnnnnnnnnnnnnnnnnnnennn 20 4 1 Si herheitsfunktioN EE 20 4 1 1 GEI Hashberechnung und elektronische Signaturen nennen 21 4 1 2 SF2 Hashverifikation und elektronische Signaturen 44444ss0snnnns nenne 23 4 1 3 SF3 Eindeutige Anzeige der zu signierenden Daten 25 4 1 4 SF4 Schutz vor Hashwert Manipulationen nn nnnnnnnennnnnnnnnnnnnnn 25 4 1 5 SF5 Behandlung von OCSP Daten zur Zertifikatsvalidierung 25 4 1 6 SF6 Anbringung von Zeitstempeln uuuunnsssennnnnnnnennnnnnnnnnnnnnnnnnnnnnnnn nn 26 4 1 7 SF7 Validierung von Zeitstempeln sesssseseeeeenerrnreesseeenrrrnrrrsserrerrrrnnnrsserrrrernn 27 4 1 8 SF8 Verwaltung der SFs mit der kontourationsdatet ns 27 4 1 9 SF9 Schutz vor Manipulation der Programmdatel nennen 28 4 2 Benutzersehnitisteleain ne ed ar He 28 e Re WEE 28 nee EE EE 29 4 2 3 EE EE 30 4 2 4 Mult tisignatureinstellungen AANEREN 40 4 2 5 Detailanzeige 2a nen er 41 2 2 6 EIERE an ee ee ee eat 51 4 3 Sicherheitshinweise und empfehlungen nn 58 4 3 1 Fehleranzeige und behandlung kee 58 4 3 2 Automatische Pr fung von Dokumenten nach der Signatur
71. ent Aussage ob die Signatur 2 Ordnung integer ungebrochen ist Wenn true reproduziert die Nachberechnung des Hashwerts nach der in HashMethod ausgewiesenen Methode auf den referenzierten Daten das Urdokument s o Selector den in der Referenz enthaltenen und mit HashValue ausgewiesenen Wert Zeitpunkt an dem die Sicherheitseignung der Hashmethode ausl uft Algorithmus zur Hashwertbildung s HASH METHOD HEX Darstellung des im Dokument gefundenen Hashwertes String wird aus dem ersten String von unstructuredName nach PKCS 9 belegt sofern vorhanden und der ASN1 Typ gleich OCTET_STRING ist Handbuch AGD unstructuredName unstructuredAddress emailAddress Seite 77 104 String wird aus dem ersten String von unstructeredName nach PKCS 9 belegt sofern vorhanden String wird aus dem ersten String von unstructuredAddress nach PKCS 9 bernommen sofern vorhanden String wird aus dem ersten String von emailAddress nach PKCS 9 bernommen sofern vorhanden 6 1 4 XML CERTIFICATE Diese Struktur beschreibt jeweils ein Zertifikat und seine Begleitdaten lt Certificate Selector gt lt Status Info gt Int lt OCSPStatus Info Sysdate gt Int lt Subject gt String lt NotBefore gt DateTime lt NotAfter gt DateTime lt Serial gt String lt Issuer gt String lt Certificate gt XML CERTIFICATE lt AttributeCertificate gt Bool lt QualifiedForSignature gt Bool lt QualificationEntries gt String lt Proc
72. er eigenen Programmdatei in dem Informationsdialog aus Es ist sicherzustellen dass die Fachapplikation diese Programmdatei verwendet und dass eine Nachberechnung des Hashwertes ber die Programmdatei den korrekten ffentlich bekannten Wert aufweist Das Verfahren zur Feststellung der Integrit t ist in Abschnitt 2 5 berpr fung der Integrit t beschrieben Handbuch AGD Seite 19 104 Die Arbeitsstation d h der Rechner und das Betriebssystem mit dem die SAK verwendet wird muss frei von jedweder Schadsoftware Viren Trojaner Backdoor Programme sein Die SAK verf gt jedoch ber keinerlei Mechanismus die Unversehrtheit des Betriebssystems festzustellen Zur Diagnose sind geeignete Virenscanner mit aktuellen Virendefinitionsdateien zu verwenden Rechner und Betriebssystem sind vor Eingriffen unberechtigter Dritter zu sch tzen jede Kommunikation mit dem Internet ist ber geeignet konfigurierte Firewalls zu f hren Der Endanwender muss zu jedem Zeitpunkt die volle Kontrolle ber die eingelegten Speichermedien und Netzwerkfreigaben haben Der Installationsort der SAK darf zu keiner Zeit durch unberechtigte Dritte erreichbar sein Das bei Signaturvorg ngen eingesetzte Kartenleseger t ist vor Manipulationen Dritter zu sch tzen Vor der Inbetriebnahme ist zu pr fen ob die angebrachten Siegel unbesch digt sind Falls eine Besch digung erkennbar ist darf das betroffene Kartenleseger t nicht zu Signaturzwecken verwendet werden
73. ere Signatur ausgel st werden 7 Verifying Die geladenen Objekte werden gerade verifiziert Dieser Zustand wird automatisch beendet W hrenddessen kann keine weitere Operation ausgel st werden 8 Checking Auf den Objekten wird gerade eine Zertifikats oder Signaturpr fung ausgef hrt Dieser Zustand wird automatisch beendet W hrenddessen kann keine weitere Operation ausgel st werden 9 Exporting ber E DISPLAY ist ein Export ausgel st worden 10 Online Eine Onlineanfrage ber die Applikation wird ausgef hrt Dieser Zustand wird automatisch beendet W hrenddessen kann keine weitere Operation ausgel st werden 6 1 21 READER STATUS Zustand des Kartenlesers bzw des Treibers Tabelle 6 13 READER STATUS Status Bezeichnung Bemerkung 0 Undefiniert Der Treiber wurde noch nicht verwendet oder der Zustand des Kartenlesers ist noch nicht bestimmt worden 1 Bereit Der Treiber ist geladen das Kartenleseger t ist verwendbar 2 Fehler Es sind Fehler aufgetreten 6 1 22 CARD STATUS Zustand der Signaturkarte Tabelle 6 14 CARD STATUS Status Bezeichnung Bemerkung 0 Undefiniert Der Zustand der Signaturkarte ist noch nicht bestimmt worden 1 SingleClose Signaturkarte ist bekannt und geschlossen 2 SingleOpen Signaturkarte ist zur Signatur ge ffnet 3 MultiClose Multisignaturkarte ist bekannt und geschlossen 4 MultiOpen Multisignaturkarte ist zur Signatur
74. ert bei der bertragung von der Smartcard ver ndert und es wird eine eindeutige Meldung ausgegeben Durch den Vergleich des Hashwerts der f r die Erstellung der Signatur berechnet wurde und dem Hashwert der von der Signaturkarte f r die Erstellung der elektronischen Signatur verwendet wurde ist sichergestellt dass die Daten zur und von der Signaturkarte nicht manipuliert wurden Die Signierung des Datenblocks die Erstellung der Transport Datenstruktur wird nicht weiter durchgef hrt wenn die berpr fung der Signatur fehlschl gt Dieses wird dem Benutzer angezeigt 4 1 5 SF5 Behandlung von OCSP Daten zur Zertifikatsvalidierung Die SAK erm glicht es OCSP Informationen in die Pr fung eines Zertifikats mit einzubeziehen Der Zugriff auf den OSCP Dienst erfolgt ber die Applikation Die SAK erstellt die Anfrage und bergibt diese der Anwendung mit der zugeh rigen URL Die Anwendung f hrt die konkrete Anfrage durch und stellt die OCSP Antwort bereit Damit die SAK eine OCSP Antwort mit einbeziehen kann muss die elektronische Signatur der Antwort verifiziert werden Die OCSP Antwort wird von einem OCSP Dienst bereitgestellt bzw steht zwischengespeichert schon zur Verf gung Eine OCSP Antwort zu einem bereits gepr ften Zertifikat wird ber die Der verwendete Algorithmus wird ber das Konfigurationsfile welches eine Aufstellung ber die aktuell g ltigen Algorithmen und Parameter beinhaltet festgelegt Handbuch AGD Sei
75. es Verzeichnis aus Klicken Sie auf Weiter um fortzufahren m Zielverzeichnis te und Einstellungen Weber nwendungsdaten Mozilla Plugins Durchsuchen Ben tigter Speicher 20 4MB verf gbarer Speicher 2 3GB Hullsoft Install System v2 37 Die meisten Setupprogramme bieten die M glichkeit Shortcuts zum Programmstart anzulegen oder den Programmstart ber das Startmen verf gbar zu machen Abbildung 2 4 Screenshot Setup Shortcut ls Startmen Ordner bestimmen T Bestimmen Sie einen Startmen Ordner f r die Programmverkn pfungen Ca w hlen Sie den Startmen Ordner f r de Programmyerkn pfungen aus Falls Sie einen neuen Ordner erstellen m chten geben Sie dessen Namen ein E Eorm Plugin Abfallmanagement Altova XMLSpy 2009 Enterprise Edition Anthemion DialogBlocks 4 22 Anthemion DialogBlocks 4 27 Anthemion ImageBlocks 1 05 Auto No Start Autostart Avira BMU XML Viewer BRICKware Canon Cisco Systems YPN Client x Nullsoft Install System v2 37 lt Zur ck Installieren Abbrechen Nach Aufnahme der nderbaren Installationsparameter wird die Installation durchgef hrt und der Installationsfortschritt blicherweise angezeigt und ggf ein Installationsprotokoll angefertigt Handbuch AGD Seite 15 104 Abbildung 2 5 Screenshot Setup Installationsprotokoll EES Die Installation ist vollst ndig an Die Installation wurde erfolgreich abgeschlossen C Fer
76. essage Wildcard Handbuch AGD Seite 101 104 Veranlasst einen Dateizugriff ber die Applikation Message Bezeichnung des erwarteten Dateiinhalts Wildcard Suchkriterium zum Auffinden der Datei Posix hnlich Response der Dateiinhalt sofern vorhanden Die Funktion wird von der Applikation mit OK GetFile und dem Ergebnis oder ERR GetFile und einer Fehlermeldung beantwortet Response GetUrl URL Parameter Veranlasst einen Netzwerkzugriff ber die Applikation Das Ergebnis der Anfrage wird einer Plausibilit tspr fung unterzogen Die Funktion wird derzeit nicht verwendet Sie ist f r zuk nftige Anpassungen oder Erweiterungen vorgesehen URL Die Internet Adresse der Ressource die angefordert wird Parameter enth lt einen Textblock mit Parametern zu einer http Anfrage Dieser Text ist so gestaltet dass er 1 1 in den Header der http Anfrage bernommen werden kann Response der Datenblock wie er aus der http Anfrage zur ckkommt Die Applikation muss aus der URL den bergebenen Parametern und seinen eigenen Parametern eine http Anfrage zusammenstellen und diese an den in der URL angegeben Server weitergeben Die Funktion wird von der Applikation mit OK GetUrl und dem Ergebnis oder ERR GetUrl und einer Fehlermeldung beantwortet Diese Funktion ist f r zuk nftige Erweiterungen vorgesehen und wird gegenw rtig nicht verwendet Response PostUrl URL Parameter Datenblock Veranlasst einen Netzwerkzugriff ber di
77. g aus optionalem Vorzeichen und Dezimalzeichen 0 9 String Kette beliebiger UTF8 kodierter Unicode Zeichen RFC3629 6 1 1 XML CONTENT Diese Struktur umfasst den vollst ndigen Umfang der in der SAK gespeicherten Informationen Als Unterelemente stehen alternativ das Dokument und das Zertifikat zur Verf gung lt Content TimeOfExport gt lt Document gt XML DOCUMENT lt Certificate gt XML CERTIFICATE Content Container Wurzelelement der bersicht TimeOfExport DateTime Systemzeit zum Zeitpunkt des Exports Document Container optionales Unterelement f r ein einzelnes abgelegtes Dokument und seine Begleitdaten nach XML DOCUMENT Certificate Container optionales Unterelement f r ein einzelnes abgelegtes Zertifikat und seine Begleitdaten nach XML CERTIFICATE Handbuch AGD 6 1 2 XML DOCUMENT Seite 73 104 Diese Struktur beinhaltet die bersichtsdaten zu einem geladenen Dokument lt Document Meta Format gt lt Signature gt XML SIGNATURE lt SignedObject Selector gt lt StoredObject Selector gt lt StoredSubdata Selector gt lt Status Info gt DOCUMENT STATUS lt Log Selector gt Document Meta Format Signature SignedObject StoredObject StoredSubdata Status Info Log Selector 6 1 3 XML SIGNATURE Container Wurzelelement der bersichtsdaten zu einem Dokument String die bereitgestellten Meta Daten Erkanntes Datenformat nach DOCUMENT FORMAT Con
78. g und Farbgebung der Dialoge ist von dem verwendeten Betriebssystem und Oberfl cheneinstellungen abh ngig Die folgenden Screenshots wurden unter Windows 2000 mit Standarddialogeinstellungen vorgenommen In diesem Abschnitt wird die regul re Arbeitsweise und die zugeh rigen Anzeigen dargestellt Zu ggf auftretenden Fehlersituationen und deren Handhabung finden Sie n here Hinweise im Abschnitt 4 3 Sicherheitshinweise und empfehlungen 4 2 1 Traylcon Die SAK erstellt zu Programmstart ein Trayicon welches w hrend der gesamten Programmlaufzeit bestehen bleibt Die Verwendung von Hash Algoritimen sowie von Verschl sselungsalgorithnen und parametern zur Signaturausf hrung wird nach Ablauf ihrer Sicherheitseignung nicht unterbunden jedoch dem Benutzer durch eine eindeutige Warnmeldung zur Kenntnis gebracht FDP_DAU 2 Handbuch AGD Seite 29 104 Abbildung 4 1 Screenshot Traylcon LIMIT 1 5 Zu dem Traylcon geh rt ein TrayMenu Durch Klick mit der rechten Maustaste auf das Traylcon wird die Anzeige des TrayMen s ausgel st Das TrayMen enth lt Eintr ge zur Anzeige der Statusanzeige und des Informationsdialogs Abbildung 4 2 Screenshot TrayMen Statusanzeige ber Infotech Signer Y2 0 Kamenz Be Die SAK kann in den regul ren Arbeitszust nden nur von der ihn verwendenden Applikation beendet werden In besonderen F llen unter Abbruch der Verbindung mit der Applikation kann die SAK manuell
79. gesteckten Karte zur Unterst tzung der Applikation Diese Funktion ist nicht Bestandteil der Best tigung Readername Name des Kartenlesers Properties Liste von Name Wert Paaren wie sie von den Funktionen GetCardProps und GetCardSigGCert von E CARD bereitgestellt werden Die Funktion kehrt unmittelbar zur ck Es werden zwischenzeitlich keine weiteren Funktionen akzeptiert Diese Funktion ist f r zuk nftige Erweiterungen vorgesehen und wird gegenw rtig nicht verwendet Sie ist nicht Bestandteil der Best tigung Bei Aufruf in einem unzul ssigen Zustand liefert Sie den Returncode ERR GetCardProperties mit der Fehlermeldung Operation nicht ausf hrbar sonst ERR GetCardProperties ohne Fehlermeldung Liste GetReaderNames Liefert eine Liste mit den Namen der Kartenleser wie sie ber E CARD ermittelt wurde Die Liste wird in der Initialisierungsphase ermittelt und ist danach konstant Diese Funktion kann w hrend der Funktionen die weitere Funktionsaufrufe zulassen ausgef hrt werden Liste Eine Liste mit den Namen der Kartenleser Handbuch AGD Seite 97 104 Die Funktion kehrt unmittelbar zur ck Es werden zwischenzeitlich keine weiteren Funktionen akzeptiert Sie liefert stets den Returncode OK GetReaderNames und den R ckgabewert die aktuelle Liste ObjectList LoadObject index selectorlist Liest das durch index bezeichnete Ablagefach aus Es werden das signierte Dokument die Zusatzdaten zur Signatur un
80. gurationsdatei mit einem Ablaufdatum versehen Wenn dieses Datum berschritten ist weist die SAK auf diesen Sachverhalt hin und verweigert die weitere Ausf hrung siehe 4 3 1 1 Startfehler Die Aktualisierung der Konfigurationsdatei kann von den die SAK verwendenden Applikationen unterst tzt werden In diesem Fall sorgt sie f r den Download und die Hinterlegung im Dateisystem Andernfalls muss der Benutzer die Konfigurationsdatei und die zugeh rige Signaturdatei manuell aktualisieren Vor der Aktualisierung sind alle laufenden Instanzen der SAK zu beenden Zudem m ssen die Berechtigungen des Anwenders zur Aktualisierung hinreichen Aktuelle S tze aus Konfigurationsdatei und zugeh riger Signaturdatei k nnen ber die Firmenhomepage des Herstellerunternehmens ber einen sicheren Kanal geladen werden 2 8 Uninstallation Die Uninstallation der SAK erfolgt i d R zusammen mit der Uninstallation der Fachanwendung durch deren Setupprogramm bzw dem mitinstallierten Uninstaller Sie kann aber auch manuell durch L schung der Dateien im Installationsverzeichnis vorgenommen werden Handbuch AGD Seite 18 104 3 Benutzerhandbuch Allgemeines 3 1 Benutzerrollen Dieses Handbuch wendet sich an den Endanwender der SAK ebenso wie an den Entwickler der die SAK in einer Fachapplikation einsetzen m chte F r den Endanwender enth lt es die erforderlichen Informationen um die SAK innerhalb ihrer best tigen Umgebung sicher verwenden zu k
81. h PKCS 7 Muss genau einmal und darf nicht zusammen mit XMLSignature auftreten Bool optional Voreinstellung false Wenn true wird ein Ausgabe format nach S MIME erstellt Bool optional Voreinstellung false Wenn true wird die Signatur als detached signature erstellt String optional Dieser Parameter ist optional und ist daf r vorgesehen die applikationsspezifische Rolle zu bestimmen in der signiert wird Der Parameter belegt den ersten String in unstructuredName nach PKCS 9 als ASN1 Typ OCTET_STRING Darf nicht zusammen mit unstructuredName verwendet werden Dieser Wert wird mitsigniert String optional F llt den ersten String in unstructeredName nach PKCS 9 aus Darf nicht zusammen mit sigHint gesetzt sein Dieser Wert wird mitsigniert String optional F llt den ersten String in unstructuredAddress nach PKCS 9 aus Dieser Wert wird mit signiert String optional F llt den ersten String in emailAddress nach PKCS 9 aus Dieser Wert wird mit signiert Kennzeichnet die Parameter zur Integration von Zeitstempeln in die Signaturen Dieser Knoten ist optional Wenn er fehlt wird bei Signaturen kein Zeitstempel angefordert String URL unter der der Zeitstempeldienstanbieter einen Responder nach RFC 3161 ber das Protokoll HTTP zur Verf gung stellt String optional Benutzername zur Authentisierung gegen den Zeitstempeldienstanbieter String optional Passwort zur Authentisierung gegen den Zeitstempeldienstanbieter
82. hlersituation muss zun chst die aktuelle Systemzeit gepr ft werden Wenn sie korrekt eingestellt ist muss anstelle der vorliegenden Konfigurationsdatei eine Aktuelle samt Signaturdatei installiert werden Die Installation gelingt nur wenn keine Instanz der SAK die nderung der Konfigurationsdatei unterbindet Es sind daher vor der Installation alle laufenden Instanzen der SAK zu beenden Zudem m ssen die Berechtigungen des Anwenders zur Aktualisierung hinreichen Aktuelle S tze aus Konfigurationsdatei und zugeh riger Signaturdatei k nnen ber die Firmenhomepage des Herstellerunternehmens ber einen sicheren Kanal geladen werden 4 3 1 2 Anmeldefehler Wenn die Anmeldung der Applikation fehlschl gt oder nicht innerhalb einer Minute durchgef hrt ist beendet sich die SAK ohne weitere Anzeige Ein Benutzereingriff ist nicht m glich 4 3 1 3 Parameterfehler Die SAK pr ft vor jeder Signatur ob die von der die SAK verwendenden Fachapplikation bergebenen Signaturparameter zur Signaturausf hrung hinreichen Wenn sie nicht alle zur Signatur erforderlichen Angaben enthalten sind wird dies angezeigt und die Signaturausf hrung abgebrochen Handbuch AGD Seite 61 104 Abbildung 4 30 Screenshot Statusanzeige Parametersatz unvollst ndig B Infotech Signer Y2 0 ITSignerTest 1 0 Status ell xl Kartenleser 2ionaturkarte EE P lt SC REINER SCT cyberJack pinpad e com USB 52 Objekte tm sak testdatafxmlsak_su
83. hreibungsdatei content vmf nach 6 1 9 XML PATH angegeben 4 2 6 1 1 Verifikationsergebnis und Signaturen Das in der Statusanzeige dargestellte Verifikationsergebnis zu einem Dokument ist nur dann g ltig wenn jede untersuchte Signatur g ltig ist Wenn das Verifikationsergebnis zu einem Dokument ung ltig ausweist findet man anhand der Beschreibungsdatei schnell diejenige Signatur die zu diesem Ergebnis f hrt Die Angaben zu der s ten Signatur des d ten Dokuments findet man unter dem Signaturpfad Content Document d Signature s Das Ergebnis ber alle durchgef hrten Verifikationen und Validierungen zu einer Signatur wird im Element lt Status gt Signaturstatus ausgewiesen und kann einen der Werte aus 6 1 12 SIGNATURE STATUS annehmen Der Signaturstatus Content Document d Signature s Status ist gebrochen wenn die Nachberechnung des zugrunde liegenden Hashwerts nicht mit dem ausgewiesenen Hashwert bereinstimmt Wenn dies auf die Signatur 1 Ordnung zutrifft nimmt das Element Content Document d Signature s Consistent den Wert false an Der Signaturstatus ist ebenfalls dann gebrochen wenn die Nachberechnung eines der Hashwerte der in 2 Ordnung signierten Referenzen nicht mit den ausgewiesenen Hashwerten bereinstimmt In diesen F llen nimmt das zugeh rige Element Handbuch AGD Seite 56 104 Content Document d Signature s Referecelr Consistent der rien Referenz
84. ie lich f r Dokumentsignaturen vorgenommen da diese sonst nach Ende des G ltigkeitszeitraums des Zertifikats ebenfalls ung ltig w rden zumindest dann wenn sie keine Zeitinformation tragen bei bekannter Signaturausf hrungszeit sollten die Signaturen jedoch beiden Modellen standhalten k nnen Auch historische Signaturen sollen pr fbar sein Diese k nnen durchaus nach ung ltig gewordenen Verfahren angefertigt worden sein und wurden ggf bersigniert Die Anwendung eines nicht mehr sicherheitsgeeigneten Verfahrens oder abgelaufener Zertifikate wird nicht unterbunden jedoch dem Benutzer zur Kenntnis gebracht Handbuch AGD Seite 21 104 4 1 1 SF1 Hashberechnung und elektronische Signaturen Eine elektronische Signatur wird erstellt indem ber die zu signierenden Daten ein Hashwert berechnet und dieser Hashwert mit einem privaten Schl ssel verschl sselt wird Bei Signaturen nach PKCS 7v1 5 besteht die Alternative den Hashwert ber den gesamten Datenblock zu verschl sseln Signatur 1 Ordnung oder die Hashmethode und den Hashwert in die authentisierten Attribute einzutragen und diese gemeinsam mit weiteren authentisierten Attributen z B Signaturzeit zu signieren Signatur 2 Ordnung Die SAK verwendet bei der Signaturerzeugung nach PKCS 7 stets die Signatur 2 Ordnung Auch XML Signature verwendet die Signatur 2 Ordnung Es werden zun chst die Reference Knoten innerhalb des SignedInfo Knotens ausgewertet daraus Hashwerte
85. ie Signatur wird mit dem ffentlichen Schl ssel des enthaltenen Signaturzertifikats nach RSA entschl sselt und der so erhaltene Hashwert mit dem resultierenden Hashwert verglichen Die Signaturzeit wird ggf aus den erweiterten Signaturdaten nach XAdES ermittelt Handbuch AGD Seite 24 104 In beiden F llen wird zus tzlich die Zertifikatskette des verwendeten Signaturzertifikats aus dem in der Konfigurationsdatei enthaltenen Zertifikatsstamm ermittelt und nach ISIS MTT oder RFC 3280 gepr ft Die SAK zeigt eine eindeutige Meldung an ob die berechneten Hashwerte mit den im Dokument hinterlegten identisch sind die Signatur somit korrekt ist und die signierten Daten authentisch sind Durch die Verwendung einer internen Anzeige ist sichergestellt dass der Status der Signaturpr fung und die Meta Informationen ber die Daten eindeutig angezeigt werden Die Daten k nnen optional f r den Anwender exportiert werden so dass sie in einem geeigneten externen Viewer zur Kontrolle nochmals angezeigt werden k nnen Im Falle von XML wird zu jedem gebildeten Hashwert eine eigene Datei exportiert Das Ergebnis der Signaturpr fung wird ebenfalls der Anwendung zur Verf gung gestellt Die SAK bietet die M glichkeit den Anwender der die elektronische Signatur erstellt hat zu identifizieren Der Benutzer der die elektronische Signatur mit der SAK verifiziert kann sich Kenndaten des f r die Erzeugung der Signatur verwendeten Zertifikats anzeigen las
86. ieferung der SAK Die SAK wird in der Regel zusammen mit spezialisierten Fachanwendungen ausgeliefert Die Fachanwendung nutzt sie wie eine Signaturbibliothek Die Auslieferung erfolgt i d R zusammen mit der Fachanwendung per Webdownload von der Firmenhomepage des Unternehmens Der Download findet ber einen SSL gesch tzten Kanal statt ber das Serverzertifikat kann der Anwender die Identit t des Servers kontrollieren Die SAK ist auch als Entwicklerversion zur Verwendung in weiteren Fachanwendungen verf gbar Die Entwicklerversion wird auf Anfrage mit weiteren Dokumentationen und Klassen zur Integration in Anwendungen auf einem Installationsmedium CD ROM ausgeliefert Bei Bezug ber ein Installationsmedium ist sicherzustellen dass die Sicherheitsmerkmale der Verpackung Laminierungen und Siegel unbesch digt sind Wenn Besch digungen erkennbar sind darf das Installationsmedium nicht verwendet werden Sobald das Medium der Verpackung entnommen ist muss es vor dem Zugriff unberechtigter Dritter gesch tzt werden Handbuch AGD Seite 12 104 2 3 Vorbereitungen zur Installation Benutzer sowie ggf Administratoren und Wartungspersonal mit Zugang zu den Installationsdateien oder den installierten Dateien m ssen vertrauensw rdig sein und den Anweisungen der Benutzerdokumentation Folge leisten Vor der Installation ist sicherzustellen dass das Betriebssystem frei von jedweder Schadsoftware Viren Trojaner und Backdoor Programme i
87. iert und der ffentliche Schl ssel aus dem OCSP Signierzertifikat verwendet Anschlie end wird noch das Zertifikat des Erstellers der OCSP Antwort nach RSA verifiziert Nach Pr fung der elektronischen Signatur wird eine entsprechende Meldung ber die G ltigkeit der OCSP Antwort im Rahmen der Signaturverifikation SF2 angezeigt Weiterhin kann der Inhalt der OCSP Antwort mit dem entsprechenden Zertifikat angezeigt werden Die URL f r die OCSP Anfrage wird ber die in der Konfiguration hinterlegte Zuordnung zum Ausstellerzertifikat ermittelt 4 1 6 SF6 Anbringung von Zeitstempeln Die SAK erm glicht den Einsatz von Zeitstempeln Hierzu wird ein externer Zeitstempeldienst verwendet Der Zugriff auf den Zeitstempeldienst erfolgt ber die Applikation Die SAK generiert die Anfrage und bergibt diese der Applikation Diese entscheidet dar ber welcher konkrete Zeitstempeldienst in Anspruch genommen wird und stellt die Antwort bereit Die Korrektheit des Zeitstempels wird durch die SAK sichergestellt Die SAK verifiziert die elektronische Signatur des Zeitstempels mit dem ffentlichen Schl ssel des Zertifikats das benutzt wurde den Zeitstempel zu signieren Die Verifikation besteht aus der mathematischen Pr fung der Signatur der Antwort des Zeitstempeldienstanbieters TSP gegen das in der Antwort enthaltene Responderzertifikat Das Responderzertifikat muss g ltig sein Die Signaturpr fung erfolgt durch Vergleich des berechneten Hash
88. ig Q M chten Sie ein anderes Attributertifikat laden Signatur wird ausgef hrt Handbuch AGD Seite 67 104 Bei Bejahung eines der dargestellten Dialoge wird der Ladevorgang wiederholt Bei Verneinung wird der Signaturvorgang ohne Attributzertifikat fortgesetzt 4 3 2 Automatische Pr fung von Dokumenten nach der Signatur Unmittelbar nach der Signaturausf hrung erfolgt eine automatische Pr fung ob die angebrachte Signatur korrekt ist Wenn die Signatur nicht korrekt ausgef hrt werden konnte wird der folgende Dialog angezeigt und alle bis dahin erzeugten Signaturergebnisse verworfen Abbildung 4 43 Screenshot Statusanzeige Signaturausf hrungsfehler B Infotech Signer Y2 0 Win32 Status ell x Kartenleser Signaturkarte EN Objekte LA wi Go sakjtestdata xmlsak_suite_3 xml el 2 e er sakftestdata xmlsak_suite_3 xml H amp Signaturausf hrungsfehler Die Signatur konnte nicht korrekt erstellt werden Der gesamte Signaturvorgang wird abgebrochen Alle Signaturergebnisse werden gel scht Signatur wird ausgef hrt Es wird ferner gepr ft ob das geladene Urdokument bis zum Abschluss des Signaturvorgangs unver ndert geblieben ist Falls eine Ver nderung festgestellt wird wird der nachfolgende Dialog angezeigt und alle bis dahin erzeugten Signaturergebnisse verworfen Abbildung 4 44 Screenshot Statusanzeige Urdokument ver ndert B Infotech Signer Y2 0 Win32 Status ell x
89. ing lt Admission gt String lt OCSP gt XML OCSP AttribCert Container Beschreibungsblock f r ein Attributzertifikat Selector Ein Ident f r das Zertifikat ber das die Bin rform des Zertifikats ber E APP angefordert werden kann Beim Export bestimmt dieses den angeh ngten Anteil des Dateinamen Status Ergebnis der Zertifikatspr fung nach GERTIFICATE STATUS Info textuelle Darstellung des Status s v OCSPStatus Ergebnis der Online Zertifikatspr fung nach CERTOCSP STATUS Info textuelle Darstellung des OCSPStatus s v Sysdate Systemdatum zur Einholung der OCSP Information Holder voll qualifizierter Name des Attributinhabers oder des Ausstellers mit Seriennummer eines Zertifikats des Inhabers NotBefore Beginn des G ltigkeitszeitraum in UTC NotAfter Ende des G ltigkeitszeitraums in UTC Serial Seriennummer des Zertifikats Issuer voll qualifizierter Name des Ausstellers Certificate Container Ausstellerzertifikat nach XML CERTIFICATE sofern verf gbar AttributeCertificates Wert von LiabilityLimitationFlag default false QualifiiedForSignature Procuration Restriction Additionallnformation Admission true wenn das Zertifikat f r die Erstellung qualifizierter Signaturen geeignet ist Angaben zur Vertretungsmacht Selbstbeschr nkung Freitext Zusatzinformationen Freitext Angaben zur beruflichen Zulassung Handbuch AGD Seite 80 104 OCSP Container Daten eines OCSP Checks nach XML OCSP wenn eine
90. ite_3 xmil Si 2W mu sakftestdata xmlsak_suite_3 1 xml Der Parametersatz zur Signatur ist unvollst ndig O Signatur kann nicht erzeugt werden Signatur wird ausgef hrt Ein Benutzereingriff ist in dieser Fehlersituation nicht m glich Die Best tigung dieses Dialogs leitet die Information ber den Abbruch an die aufrufende Applikation weiter Es empfiehlt sich die Aktionen die zu dieser Fehlermeldung f hrten m glicht genau zu dokumentieren und dem Hersteller der Fachapplikation zukommen zu lassen 4 3 1 4 Signaturkarten Falls sich in dem Kartenleseger t keine Signaturkarte befindet oder die darin befindliche Signaturkarte nicht unterst tzt wird sollte eine andere Signaturkarte verwendet werden und folgender Dialog wird angezeigt Abbildung 4 31 Screenshot Statusanzeige Signaturkarte nicht gelesen B Infotech Signer Y2 0 ITSignerTest Y1 0 Status ell x Kartenleser Signaturkarte Objekte I tm sakftestdataf xmlsak_suite_3 xml 2 P7 sakftestdatafxmisak_suite_3 xml CH Die Signaturkarte kann nicht gelesen werden K Bitte f hren Sie Ihre Signaturkarte ein JE Signatur wird ausgef hrt Stellen Sie sicher dass sich die Signaturkarte in dem Kartenleser befindet und der Kartenleser richtig mit der Arbeitsstation verbunden ist Pr fen Sie ob das Kartenleseger t nicht bereits von einer anderen Applikation belegt ist Wenn Sie die Signaturkarte aus dem Kartenle
91. itsbeginn G ltigkeitszeitraum bis Zeitangabe ber das Ende des G ltigkeitszeitraums des Zertifikats nach dem im Zertifikat hinterlegten G ltigkeitsende Selbstbeschr nkung Attribut Restriction aus dem Attributzertifikat Freitext Vertretungsmacht Attribut Procuration aus dem Attributzertifikat in mehrzeiliger Darstellung Weitere Informationen Attribut Additionallnformation aus dem Attributzertifikat Freitext Zulassung Attribut Admission aus dem Attributzertifikat in mehrzeiliger Darstellung Der Benutzer kann folgende Operationen auf einem Dokument ausl sen OCSP Diese Operation bewirkt die Einholung einer Online Statusauskunft zu dem Zertifikat bei seinem Aussteller Das Ergebnis der Auskunft wird nach bernahme in den Feldern OCSP Status und OCSP Abfragedatum dargestellt und samt Zertifikatskette in den Navigationsbaum aufgenommen Export Durch Ausl sen dieser Operation wird das Zertifikat mit seiner Zertifikatskette sowie Handbuch AGD Seite 51 104 einer ggf vorliegenden OCSP Auskunft mit Responderzertifikat und Zertifikatskette exportiert 4 2 5 6 Detailanzeige Zeitstempel Die Detailansicht zu einem Zeitstempel enth lt kein Bedienelement f r Benutzeraktionen Abbildung 4 25 Screenshot Detailanzeige Zeitstempel Zeitstempel Status g ltig Zeit 200906291727522 ImprintHashMethod SHA256 ImprintHashYalue ddaa2ee53f83713e1327dab72c4336f569281aee85e
92. ized liefert Sie den Returncode ERR SetLanguage mit der Fehlermeldung Operation nicht ausf hrbar sonst OK SetLanguage SignObjects Readername Objektanzahl F hrt die Signaturerstellung aus Die Parameter f r die Signaturerstellung wurden vorher bei StoreObject mitgegeben Readername Objektanzahl Name des Kartenlesers wie er vorher ber GetReaderNames bekannt gemacht wurde Es werden nur die bekannten Kartenleser akzeptiert Optionale Anzahl der f r diesen Signaturvorgang vorgesehenen Objekte Die angegebene Objektanzahl kann die Anzahl der geladenen Dokumentbl cke bersteigen Die Optionale Objektanzahl dient der Vorbelegung m glicher Signaturen bei Einsatz von Multisignaturkarten wenn die der Applikation bekannte Anzahl auszuf hrender Signaturen die Anzahl der geladenen Objekte bersteigt Handbuch AGD Seite 99 104 Die Funktion kehrt nicht unmittelbar zur ck und erlaubt w hrend der Bearbeitung weitere Funktionsaufrufe In diesem Zustand unzul ssige Funktionsaufrufe werden mit Fehlern abgewiesen siehe 6 2 6 Als Returncode liefert sie nur dann OK SignObjects wenn auf allen Objekten eine Signatur ausgef hrt werden konnte sonst ERR SignObjects mit einer der folgenden Fehlermeldungen Operation nicht ausf hrbar Threadwechsel nicht m glich Kein Objekt vorhanden Parameterblock fehlerhaft Kartenleser nicht verf gbar Signaturkarte nicht verf gbar Zertifikat nicht verf g
93. les Attribut zu Reference Ein String der in das Attribut URI des Reference Knotens bernommen wird Da keine externen Ressourcen vorgesehen sind muss dieser Parameter mit einem ZS beginnen optionales Attribut zu Reference Ein optionaler String der in das Attribut Type des Reference Knotens bernommen wird Dieser Parameter ist beliebig und wird nicht weiter gepr ft F gt die Transformation nach XML Signature f r enveloped signatures ein Es sind keine weiteren Angaben vorgesehen Eine Transformation eines Base64 Blocks F r die Signatur eines origin ren Bin r Datenblocks F gt eine Transformation nach XPath ein F gt eine Transformation nach XPathFiltering ein Attribut zu XPathFiltering Belegung des gleichnamigen Attributs in der zu erstellenden Transformation Spezifikation Handbuch AGD Canonicalization Comments Exclusive PKCS7Signature Mime Detached sigHint unstructuredName unstructuredAddress emailAddress TimeStamp URL Userid Pass Policy Digest Seite 83 104 http www w3 org TR xmldsig filter2 Erlaubt sind intersect subtract und union Dieses Element mu am Ende eingef gt werden und bestimmt die Art und Weise der Canonicalization Bool Wenn true dann werden Kommentare in der Canonicalization ber cksichtigt Bool Wenn true wird eine Transformation nach Exclusive Canonical XML durchgef hrt Kennzeichnet die Parameter f r eine Signatur nac
94. lgende Benutzeraktion ist m glich e Export Diese Operation besteht aus dem Export der Signatur s 6 1 3 XML SIGNATURE und aller abh ngigen Detaildaten zu dem verwendeten Signaturzertifikat s 6 1 4 XML CERTIFICATE einem optionalen Attributzertifikat s 6 1 5 XML ATTRIBCERT einem optionalen Zeitstempel s 6 1 7 XML TIMESTAMP und optionalen OCSP Ausk nften s 6 1 6 XML OCSP jeweils mit der Zertifikatskette soweit diese Handbuch AGD Seite 47 104 bestimmt werden konnte Zus tzlich werden Detaildaten zu Referenzen exportiert s 6 1 3 1 XML SIGNATURE XML f r XML DSig und 6 1 3 2 XML SIGNATURE PKCS7 f r PKCS 7 Signaturen 4 2 5 4 Detailanzeige Zertifikat Die Detailansicht zu einem Haupt Zertifikat enth lt ungeachtet der Herkunft des Zertifikats von Applikation geladen in einer Signatur verwendet Responder oder Ausstellerzertifikat stets dieselben Schaltfl chen f r Benutzeraktionen OCSP und Export und dieselben Detailinformationen Abbildung 4 23 Screenshot Detailanzeige Zertifikat ed Zertifikat Status g ltig OCSP Status gut OCSP Abfragedatum Systemzeit 200906291742432 Inhaber C DE O Infotech GmbH OU Business Service CN Weber Christian serialNumber 1 Aussteller C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center ChN T TeleSec SigG Test CA 16 PN serialumber 1 pseudonym T TeleSec SigG Test CA 16 PN Seriennummer 799945247 G ltigkeitzeitraum von 200708010935222
95. lidierung der Signatur sind Warnungen aufgetreten die unvollst ndig G ltigkeit kann bestritten werden 6 1 19 TIMESTAMP STATUS Gesamtstatus zum Pr fergebnis eines Zeitstempels Tabelle 6 11 TIMESTAMP STATUS Status Msg Bemerkung 0 ungepr ft es wurde keine Pr fung durchgef hrt 1 g ltig keine Pr fung hat einen Fehler festgestellt 2 ung ltig mindestens ein Fehler ist aufgetreten 6 1 20 SAK STATUS Arbeitsstatus der SAK Dieser Status bestimmt welche Operationen ausgel st werden k nnen Tabelle 6 12 SAK STATUS Status Bezeichnung Bemerkung 0 Reset Die SAK befindet sich in einem Zustand der dem unmittelbar nach dem Start entspricht 1 Initialized Der Integrit tstest war erfolgreich es sind keine Objekte geladen 2 Loading Es ist mindestens ein Objekt geladen es wurde noch keine Folgeoperation ausgel st 3 Loaded Die Objekte sind geladen und es wurde eine Folgeoperation ausgel st Es wurde keine erfolgreiche Signatur durchgef hrt Das Ausl sen einer Signatur ist zul ssig 4 Signing Die geladenen Objekte werden gerade signiert Dieser Zustand wird automatisch beendet W hrenddessen kann keine weitere Operation Handbuch AGD Seite 89 104 ausgel st werden 5 Confirm Der Benutzer nach erfolgter Signatur oder Verifikation zur Best tigung aufgefordert 6 Signed Alle geladenen Objekte sind erfolgreich signiert worden Es kann keine weit
96. lt werden In jedem Fall sollten die Detailinformatinen zu dem Pr fobjekt Zertifikate und Signaturen von Dokumenten eingesehen und zur Bewertung herangezogen werden siehe Abschnitt 4 2 5 Detailanzeige Die G ltigkeit von Signaturen und Zertifikaten werden zu Pr fzeitpunkten festgestellt Dokumente tragen i d R ihren Pr fzeitpunkt in Form eines Zeitstempels oder einer mitsignierten Systemzeit die Signaturzeit Fehlt dieser Pr fzeitpunkt im Dokument oder wurde ein Zertifikat zur Pr fung vorgelegt wird die aktuelle Systemzeit als Pr fzeitpunkt verwendet Der Pr fzeitpunkt wird w hrend der Pr fung bestimmt und die Zeitquelle bei Signaturen in deren Detailanzeigen ausgewiesen siehe Abschnitt 4 2 5 3 Detailanzeige Signatur Er kann nicht durch die Fachapplikation oder Benutzerangaben beeinflusst werden F r Zertifikate erh lt man die G ltigkeitsinformation stets zur aktuellen Systemzeit Die Pr fergebnisse werden anhand der durchgef hrten Pr fungen in der Statusanzeige verdichtet am Pr fobjekt angezeigt Wenn eine Pr fmethode wie die OCSP Pr fung noch nicht angewandt wurde wird sie in das Ergebnis nicht einbezogen Durch die Validierung der Objekte zusammen mit der optionalen Einbeziehung der Zustandsinformation ihrer Zertifikate vom ihren Ausstellern erh lt man eine umfassende Aussage ber die G ltigkeit der Signaturen Handbuch AGD Seite 40 104 4 2 4 Multisignatureinstellungen Der Dialog zu Multisignatureinstellu
97. n RK GetStatus i Der Status kann jederzeit abgefragt werden und ver ndert den Status nicht i GetReaderNames Die Liste der Kartenleser kann jederzeit erfragt werden Bei nicht durchgef hrter Initialisierung ist die Liste leer Initialized DropObjects Initialized bewirkt effektiv nichts ist aber zul ssig SetLanguage Initialized Die Sprache kann nur gewechselt werden wenn die SAK ordnungsgem initialisiert ist und noch kein Objekt zur Bearbeitung geladen wurde StoreObect Loading Handbuch AGD Seite 103 104 Loading StoreObject Loading LoadObject Loading SignObjects Signing VerifyObjects Verifying Checking Loaded Signing Loaded automatischer Ubergang bei nicht erfolgreicher Signatur Vorliegende Signaturergebnisse werden gel scht und die Objekte in ihren urspr nglichen Zustand versetzt Confirms automatischer bergang bei erfolgreicher Signatur Confirms 7 l Loaded Benutzer hat bergabe des Signaturergebnisses verneint Vorliegende Signaturergebnisse werden gel scht und die Objekte in ihren urspr nglichen Zustand versetzt Signed Benutzer hat bergabe des Signaturergebnisses bejaht Signed LoadObject Signed DropObject Initialized VerifyObjects Verifying Checking Signed Loaded SignObjects Signing DropObjects Initialized VerifyObjects Verifying LoadObject Loaded Checking Loaded Verifying Confirmy automatischer bergang nach abgeschlossener
98. n Wertebereich von 0 bis 30 Bei Bejahung des Dialogs werden die get tigten Einstellungen wirksam Wird er verneint gilt die Voreinstellung bis der laufende Signaturvorgang abgeschlossen ist jedoch wird die wiederholte Anzeige des Dialogs erm glicht 4 2 5 Detailanzeige Die Detailanzeige besteht aus einer Gruppe von Anzeigeelementen die wiederum in zwei Darstellungsformen angezeigt werden Dem Navigationsbaum im oberen Fensterbereich und der Detailanzeige im unteren Fensterbereich Die in der Detailanzeige dargestellte Information bezieht sich auf das im Navigationsbaum ausgew hlte Element Handbuch AGD Seite 42 104 Abbildung 4 19 Screenshot Detailanzeige 5 Infotech Signer 2 0 ITSignerTest 1 0 Detailansicht nfotech GmbH OU Business Service CN Weber Christian serialNumber 1 200905190912452 ERZ 00000000 0000 0000 0000 000000000002 xML DSig E CRT C DE O Infotech GmbH OU Business Service CN Weber Christian serialNumber 1 bis 201008010935222 E CRT C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test CA 16 PN serialNumber 1 pseudonym T TeleSec SigG Test CA 16 PN bis 2011072006 CRT C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test Root CA 5 PN serialNumber 1 pseudonym T TeleSec SigG Test Root CA 5 PN bis E ATZ C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test CA 16 PN serialNumber 1 pseudonym T Tel
99. n weitergegeben und von ihr zur Benennung des f r einen Signaturvorgang zu verwendenden Kartenleseger ts verwendet wird Der Hintergrund der Anzeige wird in Abh ngigkeit von der Verwendung der Signaturkarte und ihrem Zustand eingef rbt Wei Leerlaufzustand Signaturkarte geschlossen oo Cyan Kartenleseger t zur Signaturausf hrung ausgew hlt 9 Gelb Signaturkarte zur Signaturausf hrung ge ffnet mm Rot Leerlaufzustand Signaturkarte ge ffnet Abh ngig von der angemeldeten Applikation wird eine Grafik unterhalb der Titelleiste unterhalb der Statuszeile am linken oder am rechten Fensterrahmen integriert Die Grafik enth lt keine aktiven Elemente und bleibt w hrend der Programmlaufzeit bestehen Abbildung 4 8 Screenshot Statusanzeige Applikationsgrafik B Infotech Signer Y2 0 ITSignerTest Y1 0 Status ell xl Kartenleser Signaturkarte 1 ax T PC SC REINER SCT cyberJack pinpadje com USB 52 Objekte Bereit Software a Business Serice WwWww infotech de Tech Distribution Zur Durchf hrung oder Verifikation von Signaturen bergibt die Applikation einen oder mehrere Datenbl cke mit Meta und Parameterdaten Die Datenbl cke werden mit ihren Begleitdaten in Ablagef cher hinterlegt und die Metadaten zusammen mit den Bearbeitungszust nden in der Liste der Ablagef cher angezeigt Handbuch AGD Seite 33 104 Abbildung 4 9 Screenshot Statusanzeige Datenbl cke geladen B Infotech Signer Y2 0 I
100. naturvorgang abgebrochen Handbuch AGD Seite 65 104 Abbildung 4 38 Screenshot Statusanzeige Signaturzertifikat nicht lesbar B Infotech Signer Y2 0 ITSignerTest Y1 0 Status lol xl Kartenleser Signaturkarte 1 b Jecke SC cyberJack pinpadfe com USB52 Objekte OW XML sakftestdata xmisak_suite_3 xml Fe e er s kftestdataf xmlsak_suite_3 xml S Das Signaturzertifikat ist nicht lesbar CA Signaturen k nnen nicht erzeugt werden Signatur wird ausgef hrt Ein Benutzereingriff ist in dieser Fehlersituation nicht m glich Die Best tigung dieses Dialogs leitet die Information ber den Abbruch an die aufrufende Applikation weiter 4 3 1 6 Attributzertifikate Bei der Signaturausf hrung kann dem Signaturzertifikat wenn es einen entsprechenden Hinweis enth lt auch ein Attributzertifikat hinzugef gt werden Attributzertifikate werden ber die Applikation geladen und vor der Signatur gepr ft Wenn das Attributzertifikat nicht geladen werden konnte nicht das Signaturzertifikat referenziert oder nicht g ltig noch nicht g ltig oder abgelaufen ist wird einer der folgenden Hinweise angezeigt Abbildung 4 39 Screenshot Statusanzeige Attributzertifikat Ladefehler B Infotech Signer Y2 0 Formread Status z ioj xi Kartenleser Signaturkarte 1 b D PCISCIREINER SCT cyberJack pnpadje com USB52 Objekte 8 XML BGS 10000000000434 ERZ Si P Kommunikationsfehler bei D
101. ngen wird nach der Pr fung des Kartenleseger ts und der Signaturkarte vor der Signaturausf hrung angezeigt wenn e das Kartenleseger t verf gbar ist und eine Multisignaturkarte enth lt und e in dem aktuellen Signaturvorgang mehr als die nach der wirksamen Einstellung zuge lassene Anzahl von Signaturen zu leisten sind oder die letzte Signatur mit diesem Kartenleseger t unter Verwendung derselben Signatur karte durchgef hrt und innerhalb der vergangenen 5 Minuten in dem Dialog nicht der Einzelsignaturmodus gew hlt wurde Option Multisignatur nicht zulassen Der Dialog gestattet die nderung der Handhabung von Multisignaturkarten Voreingestellt ist die Nutzung von Multisignaturkarten als Einzelsignaturkarte D h f r jede Signaturausf hrung ist die Eingabe der PIN zur Authentisierung des Benutzers gegen die Signaturkarte erforderlich und die Multisignaturkarte wird nach jeder Signatur geschlossen Dieses Verhalten erm glicht anderen Applikationen zwischen den Signaturausf hrungen ber dasselbe Kartenleseger t auf dieselbe Signaturkarte zuzugreifen Abbildung 4 18 Screenshot Multisignatureinstellungen B Infotech Signer Y2 0 ITSignerTest Y1 0 Multisignakur Im Kartenleseger t befindet sich eine Multisignaturkarte Diese Einstellungen zur Multisignatur gelten nur f r den angezeigten Kartenleser mit der darin befindlichen Signaturkarte und l ngstens bis zum Wechsel der Karte Kartenleseger t PZ SC
102. nierte Dokumente in den Ablagef chern oder bertr gt zu pr fende Dokumente oder Zertifikate und leitet dann den Auftrag ein Die SAK informiert den Benutzer ber die Durchf hrung des Auftrags durch folgende Anzeige Abbildung 4 16 Screenshot Statusanzeige Verifikationsbeginn SES B Infotech Signer Y2 0 ITSignerTest Y1 0 Status Kartenleser Signaturkarte 1 ix AH PC SC REINER SCT cyberJack pinpad e com USB 52 Objekte 1 q XML sakftestdataf xmlsak_suite_3 xmil Si Verifikation wird ausgef hrt Pr fe Signaturen Verifikation wird ausgef hrt Zu Beginn der Verifikation werden zun chst alle Signaturen ermittelt und anschlie end verifiziert Nach Abschluss des Verifikationsauftrags ist die bertragung des Ergebnisses an die Applikation zu best tigen Abbildung 4 17 Screenshot Statusanzeige Verifikation durchgef hrt B Infotech Signer Y2 0 ITSignerTest Y1 0 Status ell x Kartenleser Signaturkarte 1 d HE PC SC REINER SCT cyberJack pinpad e com USB 52 Objekte 1 Di wi Go s akftestdataf xmlsak_suite_3 xml CH Yerifikationsauftrag durchgef hrt A bergabe an Applikation gestatten OK Freigabe durch Benutzer Handbuch AGD Seite 39 104 In diesem Zustand kann der Benutzer die Details zur Verifikation einsehen weitere Pr fungen und auch Exporte vornehmen Die Detaildaten stehen in demselben Umfang wie nach einer Signaturausf hrung jedoch davon a
103. nse werden sofern sie importiert werden konnten in der Beschreibungsdatei als Unterelement des Zertifikats OC GP eingetragen Das Unterelement Status von OCSP gibt die Aussage der Response wieder Wenn das Zertifikat zur ckgerufen wurde sind die Details dazu in den weiteren Unterelementen hinterlegt Das Unterelement OCSPStatus des Beschreibungsblocks des Zertifikats nimmt bei vorliegender Response den der Response entsprechenden Wert an Falls noch keine OCSP Anfrage gestellt wurde enth lt es den Initialwert ungepr ft Wenn der SAK der Aussteller des Zertifikats nicht bekannt ist wird der Wert aussteller unbekannt eingetragen Wenn die Verifikation der Response fehlschl gt enth lt es verifikationsfehler und wenn keine interpretierbare Antwort zur ckgemeldet wurde den Wert abfragefehler OCSP Pr fergebnisse k nnen auch zu Attributzertifikaten eingeholt werden Sie werden analog denen zu den brigen Zertifikaten bearbeitet 4 3 Sicherheitshinweise und empfehlungen 4 3 1 Fehleranzeige und behandlung Im Folgenden sind diejenigen Fehlersituationen beschrieben die im regul ren Betrieb nicht auftreten Zu den Fehlersituationen sind zugeh rigen Anzeigen der SAK dargestellt Unter den Screenshots der Anzeigen sind m gliche Fehlerursachen und Korrekturma nahmen beschrieben 4 3 1 1 Startfehler W hrend der Startphase Reset erfolgen programminterne Pr fungen Wenn dabei das Fehlen einer K
104. nshot Export Verzeichniswahl p Export Yerzeichnisauswahl x ahtrechen Durch Bet tigung der Schaltfl che Abbrechen wird der Exportvorgang storniert Exportieren startet den Exportvorgang F r den Export wird im gew hlten Verzeichnis ein Unterverzeichnis mit dem Namen export_ lt timestamp gt _ lt lfdnr gt angelegt in das die Exportdateien geschrieben werden Die beiden variablen Anteile des Unterverzeichnisses sind e lt timestamp gt Zeitstempel des Beginns des Exports in der Form YYYY MM DD_HHMISS in UTC e lt lfdnr gt Laufende Nummer des Exports dreistellig mit f hrenden Nullen In dem erstellten Exportverzeichnis findet man nach Fertigstellung des Exports stets die Beschreibungsdatei unter dem Namen content xml nach 6 1 1 XML CONTENT und eine Reihe von Bin rexporten nach 6 1 23 BINARY EXPORT Der Umfang des Exports h ngt von dem Objekt ab auf dessen Detailansicht die Export Schaltfl che bet tigt wurde Durch Ausl sen des Exports auf der Detailanzeige des Dokuments wird das geladene Urdokument mit allen abh ngigen Daten nach 6 1 2 XML DOCUMENT ausgegeben Wenn das Dokument gerade signiert wurde werden zus tzlich das signierte Dokument und die Detaildaten zur angefertigten Signatur ausgegeben s u Wenn das Dokument verifiziert wurde werden die Detaildaten zu allen ermittelten Signaturen ausgegeben Das Ausl sen des Exports auf der Detailanzeige zu einer Signatur bewirkt die
105. nshot Setup Verzeichniswahl 444444ssnnnnnnnnnnnnnnnnnnnnnnnnnnnnn nn 14 Abbildung 2 4 Screenshot Setup Ghortceut ANNE ENEE 14 Abbildung 2 5 Screenshot Setup Installationsprotokoll nn 15 Abbildung 2 6 Screenshot Setup Fertogstellumg nn 15 Abbildung 4 1 Screenshot Traylcon ssssseseeresessssssserrrrrrrrrrssrrrrrrrnrttssrtrrtrrnnntsserrnnrnnnnnesrent et 29 Abbildung 4 2 Screenshot Travkent AAA EEN 29 Abbildung 4 3 Screenshot TrayMen erweitert ENNEN 29 Abbildung 4 4 Screenshot Informationsdialog anne nnnnnnnnnnnnnnnnnnnnnn 30 Abbildung 4 5 Screenshot Statusanzeige Initialisierung nenn 30 Abbildung 4 6 Screenshot Statusanzeige Imventartsierunmg anne 31 Abbildung 4 7 Screenshot Statusanzeige Applikationsanmeldung sr 31 Abbildung 4 8 Screenshot Statusanzeige Applikationsgrafik 44444444Henn nennen 32 Abbildung 4 9 Screenshot Statusanzeige Datenbl cke geladen 2444ssnnnnsn nennen 33 Abbildung 4 10 Screenshot Statusanzeige Attributzertifikat Iocden sn 34 Abbildung 4 11 Screenshot Dateiauswahldialog Fachapplikation rrrnrs seen 35 Abbildung 4 12 Screenshot Statusanzeige Attributzertifikat geladen 0 35 Abbildung 4 13 Screenshot Statusanzeige Signaturbeginn nenne 36 Abbildung 4 15 Screenshot Statusanzeige Signatur ausgef hrt nn 37 Abbildung 4 16 Screenshot Statusanzeige Verifikationsbeginn sn 38 A
106. nt GmbH TUVIT 93130 TU 05 2006 Signtrust e STARCOS 3 2 QES Version 1 1 Giesecke amp Devrient GmbH BSI 02102 TE 11 2008 TeleSec Handbuch AGD Seite 11 104 e TCOS 3 0 Signature Card Version 1 1 NetKey 3 0 or TCOS 3 0 Signature Card Version 1 1 NetKey 3 0M TUVIT 93146 TE 12 2006 Die vorgenannten Kartenleseger te und Signaturkarten gen gen den Anforderungen des Signaturgesetztes Die zugeh rigen Best tigungsurkunden sind in den Ver ffentlichungen der Bundesnetzagentur verf gbar siehe http www bundesnetzagentur de Der Betrieb mit anderen Kartenleseger ten oder Signaturkarten ist m glich liegt jedoch au erhalb der Best tigung der SAK Die SAK gestattet w hrend der Signaturausf hrung die Anbringung von Zeitstempeln an die signierten Dokumente und die Status berpr fung verwendeter Zertifikate beim Aussteller Beide Funktionen bed rfen der Unterst tzung der Fachapplikation Diese leitet die von der SAK formulierten Anfragen an die jeweiligen Responder weiter und liefert die Antworten an den Infotech Signer zur ck Dazu ist eine Online Verbindung zu den Respondern erforderlich die den Rechner auf dem die SAK ausgef hrt wird mit dem Internet verbindet Derartige Verbindungen sind ber Firewalls abzusichern die den Rechner vor unberechtigten Zug ngen sch tzen und die Integrit t des installierten Betriebssystems sicherstellen N heres dazu erfahren Sie im Kapitel 3 3 Sichere Umgebung 2 2 Ausl
107. nummer Tagesdatum Dokumentart Vorgangsnummer etc Zusammen mit den Dokument und Metadaten kann die Applikation im Parameterblock eine Inhaltsangabe mitteilen siehe 6 1 8 XML STOREPARAM Element lt Description gt die in der Detailanzeige des Dokuments mit dem F hrungstext Inhalt ausgegeben wird Die Inhaltsangabe ist zum Transport weiterer Detailinformationen ber das Dokument vorgesehen Handbuch AGD Seite 72 104 6 Anhang 6 1 Datendefinitionen Der Applikation wird ber E APP der gleiche Umfang an Daten angeboten wie dem Benutzer ber E DISPLAY und die Exportfunktionen Die verwendeten Datenstrukturen werden hier bergreifend beschrieben In den Abschnitten 6 1 1 bis 6 1 8 werden die XML Strukturen Container beschrieben wie sie der Applikation ber E APP oder ber E FILE als Datei bzw Datenblock bereitgestellt werden Abschnitt 6 1 9 beschreibt eine Konvention zur Angabe einer Position innerhalb eines XML Dokuments In den restlichen Abschnitten 6 1 10 bis 6 1 25 sind die Aufz hlungstypen mit Kurzbezeichnung beschrieben In der Strukturbeschreibung werden die folgenden grundlegenden Datenformate verwendet Tabelle 6 1 Einfache Datenformate Formatbezeichnung Bedeutung Bool Wahrheitswert true oder false DateTime Datumsangabe in YYYYMMDDHHMISS optional mit angeh ngtem Z zur Markierung der Zeitangabe als UTC HexString String aus TO ot Far 2 Int Strin
108. nur bei folgender Kodierung erhalten Zeilenwechsel amp xa Tabulator amp x9 Kennzeichnet die Parameter f r eine Signatur nach XML Signature Muss genau einmal und darf nicht zusammen mit PKCS7Signature auftreten Dieser Parameter wird nur f r die Erstellung einer Signatur herangezogen Pflichtattribut zu XMLSignature Bezeichnet die ID die der ds Signature Knoten tragen soll Die angegebene ID darf in dem Dokument nicht bereits verwendet sein Pflichtattribut zu XMLSignature Bezeichnet in welchem Parent Knoten der Signature Knoten einzutragen ist Der angegebene Parent Knoten muss existieren Die Pr fung ob dieser Knoten existiert wird bei der Signaturausf hrung durchgef hrt Der Aufbau des Pfads wird unter XML PATH beschrieben Attribut zu XMLSignature Gibt das Element im Parent Knoten an vor dem der Signature Knoten eingef gt werden soll Fehlt die Angabe wird am Ende eingef gt Die Z hlung beginnt bei 1 Bei Werten lt 1 wird der Wert 1 angenommen Bei Werten gt Anzahl der Elemente im Parent Knoten wird am Ende eingef gt Optionaler Kommentar der in das ds SignediInfo Element eingetragen und mit signiert wird darf mehrfach vorkommen XML Signature erwartet die Angabe der zu signierenden Daten in Reference Knoten Dieser Parameter legt fest dass ein Reference Knoten zu bilden ist und legt die Bildungsregeln fest Die Transformationen werden in der Reihenfolge eingesetzt wie sie hier angegeben sind optiona
109. omponente oder der zugeh rigen Signatur festgestellt wird oder die Verifikation der Signatur einer Komponente fehlschl gt wird dies in der Statusanzeige dargestellt Handbuch AGD Seite 59 104 Abbildung 4 28 Screenshot Statusanzeige Integrit t verletzt J 5 Infotech Signer 2 0 Win32 Status ell x Kartenleser Signaturkarte Objekte CH Integrit t der Installation verletzt Programmdatei OK Konfiguration ver ndert Kartenleser Bibliothek OK Startphase Die SAK beendet sich nach Bet tigung der Schaltfl che OK sofort l ngstens jedoch nach 15 Sekunden selbstt tig Wenn diese Fehlersituation eintritt ist die Integrit t der Installation verletzt und kann im Allgemeinen nur durch eine Neuinstallation korrigiert werden Sofern ausschlie lich die Konfigurationsdatei betroffen ist k nnte deren regelm ig erforderliche Aktualisierung fehlerhaft sein Dies geschieht insbesondere dann wenn eine aktive Instanz der SAK jede nderung der Konfigurationsdatei nicht jedoch der zugeh rigen Signaturdatei unterbindet Es werden die Programmdatei die Konfigurationsdatei und die Kartentreiber Bibliothek gepr ft und anhand der zugeh rigen Signaturdateien verifiziert Die m glichen Pr fergebnisse lauten e ungepr ft Das Pr fergebnis wurde nicht festgestellt Dieser Fehler tritt regul r nicht auf Es besteht der Verdacht der Programmmanipulation OK Die vorstehende Datei ist authentisch
110. onen Im Abschnitt 4 2 6 Dateiexporte werden tiefere Detailinformationen zu den Ausgaben vermittelt und dabei Bezug auf die im Anhang beschriebenen Definitionen genommen Der Anhang 6 1 Datendefinitionen ist Bestandteil des Handbuchs 4 1 Sicherheitsfunktionen In diesem Kapitel sind die Sicherheitsfunktionen der SAK beschrieben Die Beschreibung ist in dem ST Kapitel 7 1 ff TOE summary specification entsprechende Abschnitte unterteilt e GEI Hashberechnung und elektronische Signaturen e SF2 Hashverifikation und elektronische Signaturen e SF3 Eindeutige Anzeige der zu signierenden Daten e SF4 Schutz vor Hashwert Manipulationen e SF5 Behandlung von OCSP Daten zur Zertifikatsvalidierung e SF6 Anbringung von Zeitstempeln e SF7 Validierung von Zeitstempeln e SF8 Verwaltung der SFs mit der Konfigurationsdatei e SF9 Schutz vor Manipulation der Programmdatei Hinweis In dieser Dokumentation wird unterschieden zwischen Verifikation der mathematischen Korrektheit und der Validierung Einhaltung von Profilen bei pr fbed rftigen Signaturen Die Validierung hinsichtlich der G ltigkeitszeitr ume der verwendeten Zertifikate ist bei Anwendung des Schalenmodells stets strenger als beim Kettenmodell OCSP und TS liefern Online Informationen und m ssen der Validierung durch das Schalenmodell standhalten mit dem Ausstellungszeitpunkt der Informationen als Pr fzeitpunkt Pr fungen nach dem zutreffenden Pr fmodell werden ausschl
111. ot Statusanzeige Signaturzertifikat nicht vertrauensw rdig 63 Abbildung 4 36 Screenshot Statusanzeige Signaturzertifikat noch nicht g ltig 64 Abbildung 4 37 Screenshot Statusanzeige Signaturzertifikat nicht mehr g ltig 64 Abbildung 4 38 Screenshot Statusanzeige Signaturzertifikat nicht lesbar 65 Abbildung 4 39 Screenshot Statusanzeige Attributzertifikat Ladefehler 65 Handbuch AGD Seite 7 104 Abbildung 4 40 Screenshot Statusanzeige Attributzertifikat Referenzfehler 66 Abbildung 4 41 Screenshot Statusanzeige Attributzertifikat noch nicht g ltig 66 Abbildung 4 42 Screenshot Statusanzeige Attributzertifikat nicht mehr g ltig 66 Abbildung 4 43 Screenshot Statusanzeige Signaturausf hrungsfehler 2 2 67 Abbildung 4 44 Screenshot Statusanzeige Urdokument ver ndert nn 67 Abbildung 6 1 Status berg nge bk 102 Handbuch AGD Seite 8 104 Diese Seite wurde absichtlich leer gelassen Handbuch AGD Seite 9 104 1 Einleitung Dieses Dokument ist obligatorisch f r den Evaluierungs und Zertifizierungsprozess des TOE nach den CC Es deckt die Anforderungen bez glich der Vertrauenskomponente AGD_OPE 1 und AGD_PRE 1 ab Handbuch AGD Seite 10 104 2 Installation und Programmstart 2 1 Voraussetzungen Der Infotech
112. ponderzertifikat und Zertifikatskette exportiert 4 2 5 5 Detailanzeige Attributzertifikat Die Detailansicht zu einem Attributzertifikat hnelt der zu einem Zertifikat Sie enth lt dieselben Schaltfl chen f r Benutzeraktionen Abbildung 4 24 Screenshot Detailanzeige Attributzertifikat EAI Attributzertifikat Status ungepr ft OCSP Status gut OCSP Abfragedatum Systemzeit 200906291738522 Inhaber C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test CA 16 PN seriallumber 1 pseudonym T TeleSec SigG Test CA 16 PN CertSerial 799945247 Aussteller C DE O Deutsche Telekom AG OU T TeleSec Test Trust Center CN T TeleSec SigG Test CA 16 PN serialNumber 1 pseudonym T TeleSec SigG Test CA 16 PN Seriennummer 844124053 G ltigkeitzeitraum von 20090223111047Z G ltigkeitzeitraum bis 201008010935222 Selbstbeschr nkung Yertretungsmacht C DE TypeOfsubstitution TypeOfsubstitution AAAAA AECEEEETITTTEAOOOCOOUNEDGA AS Beer See Dap oerOOgbe F lltextF lltextF lltextF lltextF lltextF llte ThirdPerson SN Surname AAA A ECEEEEITTT ECO CUN GN Givenname B dsssesgeiliarniss ddsuunduy id pda dateOfBirth 200001010000002 id pda placeOf irth Geburtsort id pda countryOfResidence DE id pda countryOfCitizenship DE Name tBirth Geburtsname O Organization AKA ABEGEEEENTIDENOOSO ZUU YPBASSH Teens OU OrganizationalUnit AAR AAEGEEEENTIDNOO O RUN DYPR 483 Ssereessit postal ddress Strasse Hausn
113. r fergebnis von Dokumenten und Signaturen Konvention s v Tabelle 6 10 VERIFICATION STATUS Status Msg Bemerkung 0 Signatur ungepr ft es steht kein Verifikationsstatus zur Verf gung 1 Signatur g ltig keine Pr fung hat einen Fehler festgestellt 2 Signatur ung ltig mindestens ein Fehler ist aufgetreten 3 Signaturzertifikat das Signaturzertifikat ist ung ltig abgelaufen ung ltig l4 T Zertifikatnictt das Signaturzertifikat wurde bei der Signatur nicht mitsigniett mitsigniert 5 Zertifikat nicht das Signaturzertifikat ist nicht in der Signatur enthalten oder gefunden konnte nicht ermittelt werden Dieser Zustand wird nur von Attributzertifikaten angenommen und nur genau dann wenn das Attributzertifikat nicht das Hauptzertifikat Signaturzertifikat referenziert Die Referenz erfolgt ber die Struktur Holder des Attributzertifikats Handbuch AGD Seite 88 104 6 Zertifikat f r das Zertifikat ist zur Erstellung von Signatur nicht geeignet Signaturen ungeeignet 7 Signaturzertifikat das Signaturzertifikat ist beim Aussteller unbekannt unbekannt 8 Signaturzertifikat das Signaturzertifikat wurde beim Aussteller zur ckgerufen zur ckgerufen 9 Zertifikatsaussteller der Aussteller des verwendeten Zertifikats ist nicht bekannt unbekannt 10 Sicherheitseignung ein in der Signatur verwendeter Algorithmus gilt zum abgelaufen Pr fzeitpunkt als unsicher 11 Validierung bei der Va
114. r 57250 Netphen DE Weitere Informationen Zulassung Folgende Detailinformationen werden angezeigt e Status Information zum vorliegenden Pr fergebnis des Zertifikats nach 6 1 17 CERTIFICATE STATUS Der Wert Referenzfehler wird angenommen wenn sich das Attributzertifikat nicht auf das Signaturzertifikat bezieht Handbuch AGD Seite 50 104 OCSP Status Information zum Ergebnis einer OCSP Pr fung nach 6 1 16 CERTOCSP STATUS OCSP Abfragedatum Systemzeit Systemzeit zum Zeitpunkt der Entgegennahme der OCSP Response nach deren Pr fung Inhaber Einzeilige Darstellung der Attribute des Namens des Zertifikatseigent mers aus dem Zertifikat oder Zertifikatsreferenz Eine Zertifikatsreferenz besteht aus dem Namen des Ausstellers mit der Seriennummer des von ihm ausgestellten Zertifikats dessen Inhaber auch Inhaber des Attributzertifikats ist Im Fall der Zertifikatsreferenz ist der Ausstellername bis auf die Zertifikatsnummer mit dem im Folgenden beschriebenen Feld identisch Der Name kann einige kommaseparierte Attribute enthalten Attributname und wert werden durch Gleichheitszeichen separiert ausgegeben Aussteller Einzeilige Darstellung der Attribute des Namens des Zertifikatsausstellers Seriennummer Eindeutige Seriennummer des vorliegenden Zertifikats beim Aussteller G ltigkeitszeitraum von Zeitangabe ber den Beginn des G ltigkeitszeitraums des Zertifikats nach dem im Zertifikat hinterlegten G ltigke
115. r Zertifikatsstatus in der Beschreibungsdatei im Unterelement Certificate Status des Signaturpfades hinterlegt Die brigen optional in der Signatur enthaltenen Zertifikate werden nicht ber cksichtigt Der G ltigkeitszeitraum eines Zertifikats wird bei dessen Verifikation und bei der Einholung von OCSP Ausk nften ggf korrigiert sodass die in den Elementen Certificate NotBefore und Certificate NotAfter angegebenen Zeiten unmittelbar mit der Signaturzeit verglichen werden k nnen Das Vergleichsergebnis wird zur G ltigkeitsbewertung des Zertifikats s o verwendet Der Zertifikatsstatus ist ung ltig wenn seine Zertifikatskette nicht mit einem bekannten Wurzelzertifikat abschlie t oder die Ausstellersignatur f r irgendein Zertifikat der Zertifikatskette nicht verifiziert werden kann Die Merkmale des Ausstellerzertifikats eines jeden Zertifikats finden sich unter dem Element Certificate Dies gilt f r die gesamte Zertifikatskette bis zum selbstsignierten Wurzelzertifikat 8 Als Zeitpunkt der Signatur wird der in einem Signaturzeitstempel eingetragene Zeitpunkt verwendet wenn der Zeitstempel selbst g ltig ist und sich auf die Singnatur bezieht Liegt kein Signaturzeitstempel vor oder ist er nicht g ltig so wird die in der Signatur mitsignierte Zeitangabe verwendet Wenn keine mitsignierte Zeitangabe vorliegt wird die lokale Systemzeit als sp tester Zeitpunkt der Signatur angenommen Handbuch AGD Seite 57
116. r a a ee RER 92 6 2 2 KE et e EE 92 6 2 3 Bas s Kommiunikationsprot koll e He a 92 6 24 Aktivierungs phase eege elite ren eege 93 6 2 5 Funktionen der SAR race eier ae 94 6 2 6 Slallsubergandge s EE ra dE 102 Handbuch AGD Seite 5 104 Tabellen Seite Tabelle 6 1 Einfache Datenformate nennen nnnnnnnnnnnnnne nennen 72 Tabelle 6 2 DOCUMENT FORMAT 84 Tabelle 6 3 DOCUMENT STATU 85 Tabelle 6 4 GIOGNATURE STATU 85 Tabelle 6 5 GIG TIMESGSOUDCE riinengnnianne e AE E 85 Tabelle 6 6 ele GH CH UE 86 Tabelle 6 7 BENVOCATION STATU 86 Tabelle 6 8 CERTOCGb STATU 86 Tabelle 6 9 CERTIFICATE STA US een 87 Tabelleei0 VERIEICATIONGTATUS sen 87 Tabelle 6 11 IMESTAMDP STATU 88 Tabell66 122SAK STATUS 2 2 8 2 2 Mn a nn 88 Tabelle 6 138 READER ST TVS 3 22 2 22 alas len 89 Tabelle 6 1 amp amp GARB STATUS teen 2 3m Ha Ra anna 89 Tabelle 6 15 BINAbDv EXPORT 90 Tabelle 6 16 GIOGNATURE METHODEN 90 Tabelle 6 17 HASH METHOD 2202222uuueeessnnnnnnnnnnnnnnnsnnnnnnnnnnensnnnnnnnnnnnnnnnsnnnnnnnnnnnnnnen sen 91 Tabelle 6 18 Vordefinierte Gelekioren nenne nnnnnnnnnnnnnnnnnnnnnennnnnnnnn 97 Tabelle 6 19 Status berg nge EE 102 Handbuch AGD Seite 6 104 Abbildungen Seite Abbildung 2 1 Screenshot Setup Einleitung ssssssssseeseeessssererrnrrrsserrrrrrrnnennnrsserrnnrrnnnnesent 13 Abbildung 2 2 Screenshot Setup Installationsart nn 13 Abbildung 2 3 Scree
117. rt Bei Zertifikaten nach CERTOCSP STATUS 0 ungepr ft Es ist noch keine OCSP Pr fung erfolgt CC gut Zertifikat ist beim Aussteller als g ltig bekannt X 2 zur ckgerufen Zertifikat wurde beim Aussteller zur ckgerufen 3 unbekannt Zertifikat ist beim angefragten Aussteller nicht bekannt Handbuch AGD Seite 34 104 E abfragefehler Es konnte keine g ltige Antwort eingeholt werden 5 aussteller unbekannt Der Aussteller des Zertifikats ist nicht bekannt 6 verifikationsfehler Fehler bei Verifikation des Responderzertifikats e Der Anzeige der Metadaten zu dem im Ablagefach befindlichen Datenblock e Dem Navigationselement f zur Anzeige der Detailinformation zu den im Ablagefach befindlichen Daten siehe 4 2 5 Detailanzeige 4 2 3 1 Statusanzeige bei Signaturausf hrung Zur Durchf hrung von Signaturauftr gen wird das zu verwendende Kartenleseger t von der Applikation benannt Sofern die zur Signaturausf hrung erforderlichen Parameter vorliegen stellt die SAK die Verbindung zum benannten Kartenleseger t her und ermittelt die Eigenschaften der Signaturkarte Der Eintrag des f r den Signaturvorgang verwendeten Kartenleseger ts wird durch Einf rbung des Hintergrunds hervorgehoben Wenn die Signaturkarte gelesen werden konnte und zur Multisignatur geeignet ist wird dies durch den Einstelldialog zur Multisignatur angezeigt sofern die Einstellungen nicht bereits innerhalb der letzten 5 Minuten vorgenommen wurden und die eingestellten
118. rzeugten Signaturen verworfen und alle geladenen Dokumente in den Zustand vor der Signatur versetzt Diese Sicherheitsfunktion ben tigt eine Konfigurationsdatei siehe SF8 mit den derzeit g ltigen Algorithmen und Parametern sowie eine Signaturkarte Anderenfalls wird den Benutzer eine eindeutige Fehlermeldung angezeigt dass eine Signatur nicht erstellt werden kann Signierung des Hashwerts mit dem privaten Schl ssel der Karte Signaturschl ssel Es werden mehrere Kartenleser gleichzeitig unterst tzt Ein externer Treiber stellt hierbei die Verbindung zu den Schnittstellen PC SC oder CT API oder einem herstellerspezifischen Treiber her Handbuch AGD Seite 22 104 Die benutzte kryptographische Methode ist gem 817 Paragraph 1 bis 3 SigG 22 05 2001 in Verbindung mit Anhang 1 Paragraph 1 Nr 2 SigV 22 11 2001 als geeignet identifiziert 4 1 1 1 Verwendung von Multisignaturkarten Neben den Standard Signaturkarten die f r jede Signatur eine PIN Eingabe erfordern gibt es Multisignaturkarten die nach der PIN Eingabe eine beliebige Anzahl von Signaturen zulassen Diese Karten werden u a in folgenden typischen F llen eingesetzt e ein Benutzer muss eine Vielzahl an Dokumenten in kurzer Zeit signieren Die Eingabe einer PIN pro Dokument w re m hsam zeitaufwendig und fehlertr chtig e an einer Arbeitsstation ist durch Kundenverkehr in kurzen Abst nden eine Signatur zu leisten Eine PIN Eingabe in einer solchen Umgeb
119. seger t Handbuch AGD Seite 62 104 entfernen und wieder einstecken wird jede bis dahin bestehende Verbindung zur Signaturkarte getrennt Falls die mit der Signaturkarte ausf hrbare Signaturmethode nicht ermittelt werden kann oder die Sicherheitseignung der unterst tzten Signaturmethode abgelaufen ist wird einer der folgenden Hinweise angezeigt Abbildung 4 32 Screenshot Statusanzeige Schl ssell nge unbestimmt als Kartenleser Signaturkarte 1 a A Objekte 1 P Go Leakltestdatatomlsak sute 2 xml Si 2 P ra Leakitestdatatomleak suite 2 xml Fi CH Schl ssell nge und Signaturmethode sind unbestimmt Signaturen k nnen nicht erzeugt werden Signatur wird ausgef hrt In dieser Fehlersituation kann die vorliegende Signaturkarte nicht verwendet werden Sie ist keine der bekannten Signaturkarten Verwenden Sie eine der in 2 1 Voraussetzungen aufge listeten Signaturkarten Ein Benutzereingriff ist in dieser Fehlersituation nicht m glich Die Be st tigung dieses Dialogs leitet die Information ber den Abbruch an die aufrufende Applikation weiter Abbildung 4 33 Screenshot Statusanzeige Sicherheitseignung abgelaufen B Infotech Signer Y2 0 ITSignerTest Y1 0 Status ell xl Kartenleser 2ionaturkarte Objekte Go Leakitestdatatomlsak sute 2 ml Si EN pa sak testdata xmisak_suite_3 xml M chten Sie dennoch eine Signatur erzeugen JE d Sicherheitseignung der Signat
120. sen und es ebenfalls exportieren W hrend der Verifikation wird der Aussteller des Zertifikats ermittelt und die G ltigkeit seines Zertifikats validiert Wenn das Zertifikat ung ltig ist wird diese Information angezeigt Der Benutzer kann die Einholung von G ltigkeitsinformationen zu Signaturzertifikaten bekannter Aussteller mittels OCSP veranlassen Erhaltene OCSP Informationen werden angezeigt und k nnen exportiert werden Wenn in den Daten ein Signaturzeitstempel enthalten ist wird dieser ebenfalls angezeigt und dazu verwendet zu pr fen ob das Signaturzertifikat zum Zeitpunkt der Signaturerstellung g ltig war Grunds tzlich wird die Pr fung mit der in den Daten kodierten Signaturzeit durchgef hrt Diese ist i d R die Systemzeit zu der die Signatur ausgestellt wurde Falls keine Zeit verf gbar ist wird die aktuelle Systemzeit verwendet Hinweis Signaturzertifikate von Endbenutzern werden grunds tzlich nach dem Kettenmodell validiert Bei der Validierung von Zeitstempel oder OCSP Responsen oder anderer Zertifikate die nicht zur Signaturausf hrung gekennzeichnet sind und dem TOE zur Validierung vorgelegt werden wird stets das Schalenmodell verwendet Diese Sicherheitsfunktion ben tigt eine Konfigurationsdatei siehe SF8 mit vertrauensw rdigen Zertifikatsst mmen und den derzeit g ltigen Algorithmen und Parametern Die benutzte kryptographische Methode ist gem 817 Paragraph 1 bis 3 SigG 22 05 2001 in Verbindung
121. st Dazu sind geeignete Virenscanner mit aktuellen Virendefinitionsdateien zu verwenden Wenn die Installation aus einem Backup wiederhergestellt wurde ist ihre Integrit t in jedem Fall vor der ersten Inbetriebnahme sicherzustellen siehe 2 5 berpr fung der Integrit t Des Weiteren sind f r den gesamten Installationsprozess die im Abschnitt 3 3 Sichere Umgebung genannten Ma nahmen einzuhalten 2 4 Programminstallation Bei der Installation kann je nach Installationsstand des Betriebssystems die Komplettierung der erforderlichen Laufzeitbibliotheken notwendig sein Diese wird durch das Setupprogramm im Rahmen der Installation vorgenommen Die Komponenten der SAK werden in ein Verzeichnis i d R zusammen mit der Fachanwendung installiert Das Verzeichnis kann im Rahmen des Setupprogramms frei gew hlt werden Die Installation beginnt mit der Aktivierung des Installationsprogramms Dieses tr gt i d R den Namen Setup exe Es gibt eine Vielzahl m glicher Setupprogramme Darunter auch solche die f r automatische Installationen und Updates vorgesehen sind unattended oder silent Setups Auch bei solchen Setupprogrammen ist die Integrit t der SAK vor ihrer ersten Verwendung durch geeignete Ma nahmen sicherzustellen Im Folgenden wird der Installationsablauf am Beispiel einer interaktiven Installation der Fachanwendung E Form Plugin dargestellt Das Setupprogramm zeigt zun chst eine kurze Einleitung Handbuch
122. tainer Informationen zu Signaturen nach XML SIGNATURE stellt den Selektor f r das signierte Objekt Dokument bereit stellt den Selektor f r das urspr nglich geladene Objekt bereit stellt den Selektor f r das Bezugsdokument bei detached Signaturen Gesamtstatus des Dokuments nach DOCUMENT STATUS String textuelle Darstellung des Status s v stellt den Selektor f r das Systemlog zum Dokument Selektor f r den zugeh rigen Datenblock bersichtsdaten zu einer Signatur Handbuch AGD lt Signature Selector gt Seite 74 104 lt Status Info gt VERIFICATION STATUS lt CryptoStatus Info gt SIGNATURE STATUS lt SigningTime gt DateTime lt SigningTimeSource Info gt SIG TIMESOURCE lt SignatureMethod KeyLength gt String lt Consistent gt Bool lt SecureUntil gt DateTime lt SignedHash gt HexString lt SignedHashMethod gt HASH METHOD lt SignedHashValue gt HexString lt SignedHash gt HexString lt XMLSignature ID Path gt XML SIGNATURE XML lt PKCS7Signature Mime Detached Selector gt XML SIGNATURE PKCS7 lt Certificate gt XML CERTIFICATE lt AttribCert gt XML ATTRIBCERT lt TimeStamp gt XML TIMESTAMP Signature Selector Status Info CryptoStatus Info SigningTime SigningTimeSource Info SignatureMethod KeyLength Consistent Container Wurzelelement der Signatur bersicht Selektor f r den Datenblock auf den sich der Signaturwert bezieht Signatur 1 Ordnung Abh ngig vom Signaturtyp
123. te 26 104 Lebenszeit der Instanz der SAK bis maximal zu der in der Antwort hinterlegten G ltigkeitszeit der Antwort vorr tig gehalten Der OCSP Anfrage wird ein Zufallswert mitgegeben der in der zugeh rigen Antwort zur ckgeliefert wird Stimmen die Werte nicht berein wird die Antwort verworfen Die G ltigkeit der Antwort wird durch Verifikation der Signatur sichergestellt Die Verifikation besteht aus der mathematischen Pr fung der Signatur der OSCP Antwort gegen das in der Antwort enthaltene Responderzertifikat Zu dem Responderzertifikat muss eine Zertifikatskette erstellt werden k nnen deren Wurzelzertifikat mit einem der aus der Konfigurationsdatei bekannten Wurzelzertifikate identisch ist Zur Erstellung der Zertifikatskette verwendet die SAK die Zertifikate aus der Konfigurationsdatei Die Signatur der OCSP Antwort basiert auf den Algorithmen SHA1 SHA 224 SHA 256 SHA 384 SHA 512 oder RIPEMD 160 und RSA Falls die SAK nicht in der Lage sein sollte die Signatur zu verifizieren wird die OCSP Antwort nicht importiert und eine entsprechende Meldung ausgegeben Eine g ltige OCSP Antwort kann von der SAK zur weiteren Verwendung zwischengespeichert werden Wenn die SAK die OCSP Information zur Verifikation eines Zertifikats benutzt wird die OCSP Signatur gepr ft Die Signatur basiert auf o g Hashes F r die Verifikation wird der Hash der signierten Daten berechnet der Original Hash aus der Signatur mit dem RSA Algorithmus extrah
124. ten Ausf hrung oder Verifikation einer Signatur Sobald die SAK gestartet ist zeigt sie in der Taskbar das Trayicon el ber dessen Kontextmen w hrend der gesamten Programmlaufzeit die Statusanzeige und der Informationsdialog angefordert werden kann Handbuch AGD Seite 17 104 Unmittelbar nach Programmstart f hrt die SAK eine Reihe interner Pr fungen aus und zeigt deren Fortschritt auf de Statusanzeige N heres dazu ist im Abschnitt 4 2 Benutzerschnittstelle zu finden Wenn die SAK die Signatur der beiliegenden Signaturdatei nicht verifizieren kann oder die Konfigurationsdatei veraltet ist zeigt er diesen Sachverhalt in der Statusanzeige an und stellt jedwede Funktionalit t ein Die Anzeige wird auf Best tigung des Benutzers oder nach l ngstens 15 Sekunden automatisch beendet Siehe dazu Abschnitt 4 3 Sicherheitshinweise und empfehlungen Nach erfolgreichem Abschluss der Pr fungen wird die Statusanzeige verborgen und erst auf Benutzeranforderung sowie bei Signatur oder Verifikationsaktivit t wieder angezeigt 2 7 Wartung und Pflege Die Integrit t der Installation der SAK muss regelm ig mindestens jedoch monatlich gepr ft werden Das Verfahren dazu ist im Abschnitt 2 5 berpr fung der Integrit t beschrieben Die in der Konfigurationsdatei enthaltenen Informationen Sicherheitseignungen und Zertifikats st mme m ssen stets auf aktuellem Stand gehalten werden Um dies gew hrleisten zu k nnen ist die Konfi
125. testdataf xmlsak_suite_3 xml E Q Das Signaturzertifikat ist nicht vertrauensw rdig M chten Sie dennoch eine Signatur erzeugen Signatur wird ausgef hrt Handbuch AGD Seite 64 104 Abbildung 4 36 Screenshot Statusanzeige Signaturzertifikat noch nicht g ltig B Infotech Signer Y2 0 ITSignerTest Y1 0 Status Kartenleser Signaturkarte 1 b IPCISCHREINER SCT cyberJack pinpadje com U5B52 Objekte 1 al Go Leakltestdatatomlsak sute 2 xml 2 EB er s kftestdataf xmlsak_suite_3 xml Q Das Zertifikat ist noch nicht g ltig M chten Sie dennoch eine Signatur erzeugen Ja Signatur wird ausgef hrt Abbildung 4 37 Screenshot Statusanzeige Signaturzertifikat nicht mehr g ltig B Infotech Signer 2 0 ITSignerTest 1 0 Status Kartenleser Signaturkarte 1 b PC 5C REINER SCT cyberJack pinpadje com EES Objekte i xm sak testdata xmlsak_suite_3 xml E 2 a er sakjftestdataf xmlsak_suite_3 xml B Das Zertifikat ist nicht mehr g ltig M chten Sie dennoch eine Signatur erzeugen Signatur wird ausgef hrt Falls mehrere der genannten Bedingungen zutreffen werden die entsprechenden Hinweise nacheinander angezeigt Wenn einer dieser Dialoge verneint wird wird der Signaturvorgang abgebrochen Andernfalls werden ung ltige Signaturen erzeugt Falls das Signaturzertifikat nicht gelesen werden kann wird der Sig
126. thentisierung siehe 6 2 4 Aktivierungsphase Wenn die Pr fung fehlschl gt terminiert die SAK mit der Fehlermeldung Authentisierung fehlgeschlagen Die hier beschriebenen Fehler sollten im regul ren Betrieb nicht auftauchen Falls sie dennoch vorkommen setzen Sie sich zur Registrierung Ihrer Applikation mit der Herstellerfirma in Verbindung 5 3 1 3 Parameterfehler Der mit dem Kommando StoreObject bergebene Parametersatz nach 6 1 8 XML STOREPARAM wird insbesondere zum Transport der Signaturparameter verwendet Wenn die bergebenen Daten verifiziert werden sollen darf der Parametersatz leer sein sollte jedoch stets die Inhaltsangabe Element lt Description gt zu den bergebenen Daten enthalten Zu Signaturzwecken bergebe Parameters tze m ssen wohlgeformt sein und im Fall von XML Signaturen genau ein Element lt XmiISignature gt im Fall vom PKCS 7 Signaturen genau ein Handbuch AGD Seite 71 104 Element lt PKCS7Signature gt enthalten ber die Art der Signatur entscheidet das mit StoreObject bergebene Datenformat 5 3 2 Wahl geeigneter Metadaten F r den Endbenutzer ist es von entscheidender Bedeutung den Inhalt zu signierender Dokumente anhand der Metadaten die mit dem Dokument zusammen bertragen werden eindeutig identifizieren zu k nnen Die Metadaten m ssen daher f r jedes vorgelegte Dokument eindeutig mit m glichst engem Bezug zu dem Inhalt gew hlt werden M gliche Idente sind z B Rechnungs
127. tig Dekomprimiere err_nachweisnr html 100 Dekomprimiere err_rdverfahren htmil 100 Dekomprimiere err_rechtswert html 100 Dekomprimiere err_rolle html 100 Dekomprimiere ert _unsnummerpaginiernr html 100 Dekomprimiere err_zweck html 100 Dekomprimiere Fehler bmp 100 Dekomprimiere info_bundesland htmi 100 Zielverzeichnis C Dokumente und Einstellungen Weber nwendungsdaten MozillayPl Erstelle Verzeichnis C Dokumente und Einstellungen weber nwendungsdaten Mozil Erstelle Deinstallations Programm C Dokumente und Einstellungen Weber Anwendu Fertig Nullsoft Install System v2 37 zur ck Abbrechen Zum Abschluss der Installation wird eine Meldung angezeigt die ber den Erfolg des Installationsvorgangs informiert Die Best tigung der Abschlussmeldung beendet das Setupprogramm Abbildung 2 6 Screenshot Setup Fertigstellung E Form Plugin Installation ll Die Installation von E Form Plugin wird abgeschlossen E Form Plugin wurde auf Ihrem Computer installiert Klicken Sie auf Fertig stellen um den Installations Assistenten zu schlie en e Zur ck Abbrechen Nach erfolgter Installation ist der Zugriff und die Verwendung der SAK durch den Benutzer sicherzustellen Der Computer Administrator r umt dem Endanwender die dazu n tigen Rechte ein Handbuch AGD Seite 16 104 2 5 berpr fung der Integrit t Die SAK besteht aus einer
128. tlichen Zeit insbesondere einen Hashwert ber die Signatur Die SAK ber cksichtigt zu jeder Signatur den ersten vorhandenen Signaturzeitstempel Die Merkmale eines Signaturzeitstempels findet man in der Beschreibungsdatei im Im Signaturpfad als Unterelement TimeStamp Der Zeitstempelstatus enth lt das vorgenannte Pr fergebnis als Unterelement Status Die SAK f gt der Signatur nur dann einen Signaturzeitstempel hinzu wenn sie dazu in dem Parametersatz zur Signatur dazu angewiesen wurde und sein Ausstellerzertifikat verifiziert werden konnte Bei der Signaturpr fung ist die Herkunft eines in die Signaturzeitstempels nicht bekannt der Zeitstempelstatus wird daher mit ungepr ft vorbelegt Bei der nachfolgenden Pr fung erh lt er den Zeitstempelstatus g ltig wenn die die Nachberechnung des Hashwerts ber die Signatur mit dem im Zeitstempel angegebenen Hashwert bereinstimmt und das Ausstellerzertifikat verifiziert werden konnte Wenn eine der beiden Pr fungen fehlschl gt wird dem Zeitstempelstatus ung ltig zugewiesen und die enthaltene Zeitangabe bleibt beider Signaturpr fung unber cksichtigt Das Ausstellerzertifikat wird mit Zertifikatskette im Unterelement Certificate ausgewiesen Handbuch AGD Seite 58 104 4 2 6 1 4 OCSP Pr fergebnisse Jedes Zertifikat eines bekannten Ausstellers kann online gepr ft werden sofern dies von der Applikation unterst tzt wird Die Merkmale der Antwort Respo
129. twickler relevanten Erg nzungen 5 1 Sicherheitsfunktionen Die Beschreibung der Sicherheitsfunktionen ist mit derjenigen aus 4 1 Sicherheitsfunktionen identisch Der vorgenannte Abschnitt ist gleichfalls Bestandteil dieses Handbuchs 5 2 Benutzerschnittstelle Die Beschreibung der Oberfl chenteile muss hinsichtlich der Namensgebung der SAK und des Programmicons gegen die bei der Registrierung der Fachapplikation mit dem Hersteller vereinbarten ausgetauscht werden Mit der Ver ffentlichung ist das aktualisierte Benutzerhandbuch verf gbar zu machen Der Austausch des Programmicons und des Programmnamens hat keinerlei Auswirkungen auf die Sicherheitsfunktionalit ten der SAK Alle f r den Endbenutzer verf gbaren Informationen sind auch von der die SAK verwendenden Fach Applikation durch eine Schnittstelle abrufbar Die Schnittstellenbeschreibung befindet sich im Anhang 6 2 Applikationsschnittstelle und ist Bestandteil dieses Handbuchs 5 3 Sicherheitshinweise und empfehlungen 5 3 1 Fehlermeldung und behandlung 5 3 1 1 Startfehler W hrend der Startphase Reset erfolgen programminterne Pr fungen Wenn dabei das Fehlen einer Komponente oder der zugeh rigen Signatur festgestellt wird die Verifikation der Signatur einer Komponente fehlschl gt oder die Konfigurationsdatei veraltet ist beendet sich die SAK auf Benutzeranforderung sonst l ngstens nach 15 Sekunden selbstst ndig W hrend dieser Zeit zeigt die SAK dem Benut
130. und integer e nicht lesbar Die vorstehende Datei wurde nicht gefunden oder kann nicht gelesen werden e Signatur nicht lesbar Die Signaturdatei zu der vorstehenden Datei wurde nicht gefunden oder kann nicht gelesen werden e ver ndert Authentizit t und oder Integrit t der vorstehenden Datei ist verletzt e Schreibschutz versagt nur Konfigurationsdatei Die Einrichtung des Schreibschutzes f r diese Datei ist fehlgeschlagen e Datenlesefehler nur Konfigurationsdatei Beim Einlesen der Daten sind Fehler aufgetreten Die Datei ist unvollst ndig oder hat das falsche Format Handbuch AGD Seite 60 104 Falls die Programmdatei oder die Kartenleser Bibliothek als ver ndert gemeldet werden liegt der Verdacht nahe dass Programmteile durch Schadsoftware ver ndert wurden In diesem Fall ist die Ursache der Ver nderung dringend zu ermitteln und zu beseitigen In der Startphase wird die Aktualit t der Konfigurationsdatei gepr ft Ist sie veraltet wird dies auf der Dialogfl che dargestellt Abbildung 4 29 Screenshot Statusanzeige Konfigurationsdatei veraltet B Infotech Signer 2 0 Win32 Status ell x Kartenleser Signaturkarte Objekte x Die Konfigurationsdatei ist veraltet Bitte installieren Sie eine aktuelle Konfigurationsdatei Startphase Die SAK beendet sich nach Bet tigung der Schaltfl che OK sofort l ngstens jedoch nach 15 Sekunden selbstt tig In dieser Fe
131. ung w rde den Arbeitsablauf st ren und h tte ggf auch die M glichkeit des leichteren Aussp hens der PIN zur Folge Um diese und weitere F lle zu unterst tzen kann die Verwendung von Multisignaturen individuell eingestellt werden Die Einstellungen werden an das Signaturzertifikat der Signaturkarte gebunden und k nnen nur dann ver ndert werden wenn eine Signaturkarte ber ein Kartenleseger t verbunden ist Folgende paarweise exklusiven Einstellungen sind vorgesehen e Multisignaturen sperren Standardeinstellung e Multisignaturen f r die geladenen Dokumente zulassen e Multisignaturen ber die gesamte Programmlaufzeit zulassen e Multisignaturen speziell zulassen beschr nkt auf maximale Zeit der Nichtnutzung zwischen Signaturausf hrungen Vorgabe 5 Minuten maximale Anzahl der Gesamtsignaturen Vorgabe Anzahl der geladenen Dokumente Die manuellen Einstellungen werden bei der ersten folgenden Signatur mit der Kartennummer wirksam Bei dieser Signatur muss der Benutzer die Einstellungen best tigen Nach der Best tigung der Einstellungen wird die Multisignatur aktiviert und beim ersten auftretenden Abbruchkriterium beendet Lehnt der Benutzer die Multisignatur ab wird eine einzelne Signatur get tigt Die Einstellungen bleiben erhalten Wenn f r eine Karte keine Einstellungen vorliegen es sich um eine Multisignaturkarte handelt und mit der Karte innerhalb der Vorgabezeit 5 Minuten bereits eine Signatur get tigt wurde
132. uration gt String lt Restriction gt String lt Additionallnformation gt String lt Admission gt String lt OCSP gt XML OCSP Certificate Container Beschreibungsblock f r ein Zertifikat Selector Ein Ident f r das Zertifikat ber das die Bin rform des Zertifikats ber E APP angefordert werden kann Beim Export bestimmt dieses den angeh ngten Anteil des Dateinamen Status Ergebnis der Zertifikatspr fung nach CERTIFICATE STATUS Info textuelle Darstellung des Status s v OCSPStatus Ergebnis der Online Zertifikatspr fung nach CERTOCSP STATUS Info textuelle Darstellung des OCSPStatus s v Sysdate Systemdatum zur Einholung der OCSP Information Subject voll qualifizierter Name des Karteninhabers Handbuch AGD NotBefore NotAfter Serial Issuer Certificate AttributeCertificates QualifiiedForSignature QualificationEntries Procuration Restriction Additionallnformation Admission OCSP Seite 78 104 Beginn des G ltigkeitszeitraums in UTC Ende des G ltigkeitszeitraums in UTC Seriennummer des Zertifikats voll qualifizierter Name des Ausstellers Container Ausstellerzertifikat nach XML CERTIFICATE sofern verf gbar Wert von LiabilityLimitationFlag default false true wenn das Zertifikat f r die Erstellung von Signaturen geeignet ist qcStatement OcCompliance und oder Policy cp sigconform sofern das Zertifikat ber die entsprechenden Eintragungen verf gt Angaben
133. urkarte abgelaufen Signatur wird ausgef hrt Diese Fehlersituation tritt ein wenn Sie eine ltere Signaturkarte verwenden wollen deren unterst tze Signaturverfahren nicht mehr sicherheitsgeeignet sind Wenn Sie diesen Dialog Handbuch AGD Seite 63 104 bejahen werden ung ltige Signaturen erzeugt die nicht mehr den aktuellen Sicherheitsstandards entsprechen 4 3 1 5 Signaturzertifikate Vor der Signaturausf hrung wird das zu verwendende Signaturzertifikat aus der Signaturkarte ausgelesen und intern gepr ft Wenn das ausgelesene Signaturzertifikat nicht zur Signatur qualifiziert nicht vertrauensw rdig oder nicht g ltig noch nicht g ltig oder abgelaufen ist wird einer der folgenden Hinweise angezeigt Abbildung 4 34 Screenshot Statusanzeige Zertifikat nicht qualifiziert v Infotech Signer 2 0 ITSignerTest 1 0 Status iol xi Kartenleser Signaturkarte 1 db D PCISCHREINER SCT cyberJack pimpadje com ES Objekte tm sakftestdata xmisak_suite_3 xml e E er sakjftestdataf xmlsak_suite_3 xml PS C Das Zertifikat ist f r Signaturen nicht qualifiziert K M chten Sie dennoch eine Signatur erzeugen Signatur wird ausgef hrt Abbildung 4 35 Screenshot Statusanzeige Signaturzertifikat nicht vertrauensw rdig B Infotech Signer Y2 0 ITSignerTest Y1 0 Status Lal Kartenleser Signaturkarte w 3 Objekte Go Leakitestdatatomlsak sute 2 xml Si EN er s ak
134. uuuuurssssss nen 67 4 3 3 berpr fung von Dokumenten vor der Signatur 68 4 3 4 berpr fung von Dokumenten nach der Signatur s s sessisiseeierisiersiereersrerreren 68 5 _BENUTZERHANDBUCH F R DEN ENTWICKLER 2u2u2uu02202020002202000020n0nnnnnnnnnnnnnnnnnnnnn 69 5 1 Sicherheitsftunkli nen EE 69 5 2 Benutzerschnittstele u ee NEEN 69 5 3 Sicherheitshinweise und empfehlungen ENNEN 69 Handbuch AGD Seite 4 104 5 3 1 Fehlermeldung und behandlung kk 69 5 3 2 Wahl geeigneter Metadaten AANEREN 71 6 ANHANG EE 72 6 1 Datendefinitionen WEE 72 BA XMLCONTEN EE 72 6 1 2 XMELDOCUMENT unse een 73 6 1 3 XMLUSIGNATURE A ee 73 6 1 4 XME CERTIFICAT E re E E E A 77 6 1 9 gt XMLESATTERIBGERT ee 78 Berck SE ae ee e 80 6 1 2 XMETIMESTAMP ass ee 80 6 1 8 AMESTOHEPARAM ernst tet ei era 81 8 1 9 XME PATH ME 84 6 1 10 VDBOGUMENT FORMAT use el 84 6 1 11 IBOGEMENTSTATUSE EN Ken ee a SE fee 85 6 1 12 SIGNATURE STATUS un na EENS EE Neue ege 85 6 1 13 SIG TIMESOURGE un en 85 6 1 14 E KR EE 86 84 15 REVOCGATION STATUS een tee ee 86 8641 16 E e RE AR KEE 86 6 14 17 CERTIFICATE STATUS E 87 6 1 18 VERIEIGATION STATUS u kg ENEE ee ege 87 6 1 19 TIMESTAMP STAT US EE 88 6 1 20 SSARSTATUS zus ken el 88 84 21 RENERT gege Seege 89 NN RRE AR EE 89 6 1 23 BINARY EXPORT 2 nee ae 90 61 24 SIGNATURE METHOD Au ah 90 61 25 E RER Te EEN 91 82 Applikati nssehnitisielle u euune e E 91 6 2 1 Ee Ee N er e
135. werts der Signatur der auf SHA 1 SHA 224 SHA 256 SHA 384 SHA 512 oder RIPE MD 160 basiert mit dem Original Hashwert der mit dem ffentlichen Schl ssel des Zeitstempel Signierzertifikats nach dem RSA Algorithmus aus dem Signaturwert extrahiert wird Handbuch AGD Seite 27 104 Antworten zu Zeitstempelanfragen werden nur dann akzeptiert wenn diese mit einem Zertifikat signiert wurden zu dem eine Zertifikatskette erstellt werden kann de der Validierung nach RFC 3280 standh lt Zur Erstellung der Zertifikatskette verwendet die SAK ausschlie lich Zertifikate der in der Konfigurationsdatei enthaltenen Zertifikatst mme Nachdem der Zeitstempel importiert wurde wird dieser in die Daten integriert 4 1 7 SF7 Validierung von Zeitstempeln Die SAK verifiziert die elektronische Signatur des Zeitstempels mit dem ffentlichen Schl ssel aus dem Zertifikat mit dem der Zeitstempel signiert wurde Das Zertifikat mit dem der Zeitstempel signiert wurde muss f r die SAK verifizierbar sein Er ist dann verifizierbar wenn zu ihm eine Zertifikatskette erstellt werden kann die der Validierung nach RFC 3280 standh lt Zur Erstellung der Zertifikatskette verwendet die SAK ausschlie lich Zertifikate der in der Konfigurationsdatei enthaltenen Zertifikatst mme Die Signatur kann auf SHA 1 SHA 224 SHA 256 SHA 384 SHA 512 oder RIPE MD 160 Hashwerten beruhen F r die Verifizierung wird der Hashwert berechnet und mit dem Original Hash verglichen der
136. wird der Benutzer auf die M glichkeit der Multisignatur hingewiesen Best tigt der Benutzer die Multisignatur wird diese mit dem Vorgabewert von 5 Minuten Nichtbenutzung aktiviert Bei Ablehnung wird die Multisignatur gesperrt und muss sp ter manuell aktiviert werden Ist eine Ablaufzeit oder die Anzahl der Gesamtsignaturen angegeben wird die Multisignatur nach einem dieser Abbruchkriterien gesperrt und muss manuell aktiviert werden Wurde nur die Zeit f r die Nichtbenutzung manuell eingestellt verbleibt die Einstellung auch nach der Dauer Handbuch AGD Seite 23 104 der Nichtbenutzung und es wird bei der n chsten Signatur sofort die Best tigung zur Multisignatur eingeholt Die Multisignatur ist in jedem Fall beendet wenn die Multisignaturkarte gezogen und damit die Verbindung zur Karte unterbrochen wurde 4 1 2 SF2 Hashverifikation und elektronische Signaturen Die SAK kann elektronische Signaturen verifizieren die auf SHA 1 SHA 224 SHA 256 SHA384 SHA 512 oder RIPE MD 160 Hashwerten beruhen Die Verifikation wird durchgef hrt indem der Hashwert ber die zu pr fenden Daten berechnet wird der Original Hash aus der Signatur mit Hilfe des RSA Algorithmus extrahiert wird und hierf r der ffentliche Schl ssel Verifikationsschl ssel aus dem gegebenen Zertifikat des Erstellerss der Signatur zur Verifikation verwendet wird Hierbei wird das Zertifikat des Erstellers stets mitgef hrt in PKCS 7 und in XML Signature mit XAdES
137. zer in der Statusanzeige den Grund des Abbruchs siehe 4 3 1 1 Startfehler Handbuch AGD Seite 70 104 Unmittelbar vor dem Abbau der Applikationsschnittstelle siehe 6 2 und 6 2 4 Aktivierungsphase setzt sie anstelle der Bereitschaftsmeldung eine Fehlermeldung ab Die Fehlermeldung lautet Integrit t der Installation verletzt wenn die Integrit t der Installation nicht verifiziert werden konnte oder Konfigurationsdatei veraltet wenn die Konfigurationsdatei veraltet ist Die Applikation sollte den Benutzer mindestens darauf hinweisen dass die Signatur und Verifikationsfunktionen nicht zur Verf gung stehen besser jedoch ber die kommunizierte Abbruchursache Auskunft erteilen Wenn die Konfigurationsdatei veraltet ist sollte die Applikation die Aktualisierung Konfigurationsdatei und der zugeh rigen Signaturdatei unterst tzen ggf durch Download aus der in 2 7 Wartung und Pflege angegebenen Quelle und die SAK erneut starten 5 3 1 2 Anmeldefehler Sobald die SAK sie Selbstpr fung und in Inventarisierung der Kartenleseger te abgeschlossen hat leitet sie die Anmeldephase ein Die Anmeldung erfolgt durch das Kommando Activate siehe 6 2 5 Funktionen der SAK von der Applikation zur SAK Wenn die Applikation das Kommando Activate nicht innerhalb von 5 Sekunden absetzt terminiert die SAK mit der Fehlermeldung Authentisierung berf llig Andernfalls pr ft die SAK die mit dem Kommando bergebene Au

- Infotech

Contents

Download Pdf Manuals

Related Search

Related Contents