Download - Infotech

Handbuch (AGD)
Seite 21/104
4.1.1 SF1 - Hashberechnung und elektronische Signaturen
Eine elektronische Signatur wird erstellt, indem über die zu signierenden Daten ein Hashwert
berechnet und dieser Hashwert mit einem privaten Schlüssel verschlüsselt wird. Bei Signaturen
nach PKCS#7v1.5 besteht die Alternative, den Hashwert über den gesamten Datenblock zu
verschlüsseln (Signatur 1. Ordnung) oder die Hashmethode und den Hashwert in die
authentisierten Attribute einzutragen und diese gemeinsam mit weiteren authentisierten
Attributen (z.B. Signaturzeit) zu signieren (Signatur 2. Ordnung). Die SAK verwendet bei der
Signaturerzeugung nach PKCS#7 stets die Signatur 2. Ordnung.
Auch XML-Signature verwendet die Signatur 2. Ordnung. Es werden zunächst die ReferenceKnoten innerhalb des SignedInfo-Knotens ausgewertet, daraus Hashwerte gebildet und diese
in die Reference-Knoten eingetragen. Aus dem SignedInfo-Knoten wird dann der Hashwert für
die Signatur gebildet.
Zum Einsatz kommen hierbei SHA-1, SHA-224, SHA-256, SHA-384, SHA-512 oder RIPE-MD
160. Nachdem der Hashwert berechnet wurde, initiiert die SAK dessen Signierung 1 mit Hilfe
einer Signaturkarte und geeignetem Kartenleser 2 über die Schnittstelle zum Kartenleser 3.
Die elektronische Signatur wird in der Signaturkarte mit Hilfe des RSA-Algorithmus berechnet.
Die SAK integriert den erhaltenen Signaturwert in den vorhandenen Datenbestand nach:
•
PKCS#7
•
XML Signature
•
XAdES
Durch die elektronische Signatur wird die Authentizität des Datenblocks sichergestellt. Durch
das zusätzliche Hinzufügen des Zertifikats ist es zudem möglich den Datenblock zu verifizieren.
Bevor die Berechnung eines Hashwerts
nun eine elektronische Signatur erzeugt
werden. Durch die Eingabe einer PIN
Signaturkarte ist es gewährleistet, dass
erstellen können.
startet, wird eine eindeutige Meldung angezeigt, dass
wird. Es wird zudem angezeigt, welche Daten signiert
am Kartenleser und dem notwendigen Besitz einer
nur autorisierte Personen eine elektronische Signatur
Die SAK erlaubt es dem signierten Datenblock optional einen Zeitstempel hinzuzufügen.
Es wird eine Massensignatur unterstützt, sofern geeignete Signaturkarten zum Einsatz
kommen (siehe Folgeabschnitt).
Wenn der Anwender einen Signaturvorgang abbricht, werden alle bereits erzeugten Signaturen
verworfen und alle geladenen Dokumente in den Zustand vor der Signatur versetzt.
Diese Sicherheitsfunktion benötigt eine Konfigurationsdatei (siehe SF8) mit den derzeit gültigen
Algorithmen und Parametern, sowie eine Signaturkarte. Anderenfalls wird den Benutzer eine
eindeutige Fehlermeldung angezeigt, dass eine Signatur nicht erstellt werden kann.
1
Signierung des Hashwerts mit dem privaten Schlüssel der Karte (Signaturschlüssel).
2
Es werden mehrere Kartenleser gleichzeitig unterstützt.
3
Ein externer Treiber stellt hierbei die Verbindung zu den Schnittstellen PC/SC oder CT-API oder einem
herstellerspezifischen Treiber her.