SuisseID: 65-Franken-Subvention

[kofi2k]

So wie ich das sehe bekommt der Benuter die Smartcard den privaten Schlüssel mit ausgeliefert. Will heissen, QuoVadis generiert den privaten Schlüsell für den Endbenutzer.

Das ist zwar an sich nett, aber wie gehe ich sicher, dass QuoVadis / SwissSign keine 'Backup' dieses Keys machen? Der private Schlüssel hat bei der Zertifizierungsstelle (CA) einfach - pardon - NICHTS zu suchen!

Das entspricht überhaupt nicht mehr der Idee von Public Key Kryptographie, der private Schlüssel ist privat, basta!

Merke: Auf der Smartcard ist ein privater Schlüssel und ein Zertifikat, welches den von der CA 'signierten' public key enthält.

 

[coceira]

Das ist zwar an sich nett, aber wie gehe ich sicher, dass QuoVadis / SwissSign keine 'Backup' dieses Keys machen? Der private Schlüssel hat bei der Zertifizierungsstelle (CA) einfach - pardon - NICHTS zu suchen!

aus dem antragsformular
............alle zertifikatsangaben werden an das trustcenter Hamilton BM uebermittelt.

Hamilton Bermudas ? :D

 

[kofi2k]

Danke - könntest du einen Link Posten?
Bei Quovadis habe ich nichts von einem Formular gesehen, weil die das erst ab Mai anbieten.

Wenn das war ist, dann wäre eine solche SuisseID für mich ein nogo.

- Dass der Staat das "nebenbei" noch mit Millionen subventioniert fände ich unter diesen Umständen schon sehr fraglich.

 

[torusJKL]

So wie ich das sehe bekommt der Benuter die Smartcard den privaten Schlüssel mit ausgeliefert. Will heissen, QuoVadis generiert den privaten Schlüsell für den Endbenutzer.

Das ist zwar an sich nett, aber wie gehe ich sicher, dass QuoVadis / SwissSign keine 'Backup' dieses Keys machen? Der private Schlüssel hat bei der Zertifizierungsstelle (CA) einfach - pardon - NICHTS zu suchen!

Das entspricht überhaupt nicht mehr der Idee von Public Key Kryptographie, der private Schlüssel ist privat, basta!

Merke: Auf der Smartcard ist ein privater Schlüssel und ein Zertifikat, welches den von der CA 'signierten' public key enthält.

Das ist wirklich fraglich.
Besser wäre gewesen eine software mitzuliefern mit dem der Kunde seinen privaten Schlüssel selber erstellen kann.

Wer seine eigene Karte und seinen eigenen private Schlüssel erstellen möchte kann dies schon lange.
z.B. wenn man Mitglied bei fsf Europa wird erhält man eine solche Karte. (http://fsfe.org/index.de.html)

 

[kofi2k]

Hmm, gut direktes Nachfragen kann sich lohnen, habe mal bei QuoVadis nachgefragt. Also:

Bei der SuisseID ist definiert, dass der private Key auf dem Schlüsselträger (Smartcard, Hardware Security Modul) erstellt wird und als nicht exportierbar markiert wird.

Was mir nicht so passt: Der Key wird bei QuoVadis auf dem Schlüsselträger erstellt und nicht bei mir. Aber im Prinzip ist das OK, weil der Key auf dem Modul generiert wird.

Deswegen können die auf diesem private Key basierende Zertifikate nicht für Verschlüsselung verwendet werden - wenn der private Key verloren geht, oder die Smartcard futsch ist, könnte man keine damit verschlüsselten Dokumente mehr lesen.

Bei dem darauf erstellten Zertifikat handelt es sich um ein Authentifizierungs- und Signaturzertifikat (FYI: der Zweck eines Zertifikates wird immer im Zert. festgelegt). Es handelt sich dabei um eine "qualifizierte" Signatur, ich kann damit auch Verträge rechtskräftig unterschreiben.

Zusätzlich ist ein Identity provider drauf, der bei einer Erneuerung auf eine neus Zert geschrieben werden kann - quasi eine eindeutige ID, die die Passnummer.

Wer verschlüsseln will, dem verkauft QuoVadis zusätzlich "gern" auch ein Zertifikat, dass dann auch zum verschlüsseln gebraucht werden kann. Der Key dazu kann auf der Smartcard gesichert werden, aber eine Kopie des private Keys ist möglich bzw. empfohlen.

Tech. Spezifikation der SuisseID:
http://www.kmu.admin.ch/suisseid/01...O2Yuq2Z6gpJCDeH95gmym162epYbg2c_JjKbNoKSn6A--

Es wäre toll, wenn die digitale Unterschrift einfacher würde. Nichtsdestotrotz ist der digitale "Chribu" auf einem Vertrag immer noch nicht billig und für die Teilnehmenden CA's eine neue "Lizenz zum Geld drucken" :-/

Wer verschlüsseln und signieren möchte, aber kein Geld für eine qualifizierte Signatur bezahlen will, kann auch bei CAcert.org dem Web of trust beitreten und eines beantragen. :)
(Thawte WoT gibt's ja leider nicht mehr)

 

[coceira]

Es wäre toll, wenn die digitale Unterschrift einfacher würde.

YAP - sehr ausfuehrlich deine informationen, tnx, die eierlegende wollmilchsau ists ja nicht, doch fuer den "normalen" buerger und firmen als identifikation reicht das zertifikat doch durchaus. Der papierkrieg haelt sich auch einigermassen in grenzen also fuer den ders braucht -- "brauchbar"

Nichtsdestotrotz ist der digitale "Chribu" auf einem Vertrag immer noch nicht billig und für die Teilnehmenden CA's eine neue "Lizenz zum Geld drucken" :-/

beduerfnisse muessen befriedigt werden und es war schon immer etwas teurer wenn .gov die finger mit drin hatte. Zudem subventionen haben fuer den buerger sehr sehr selten etwas verguenstigt. Vergleichsweise jedoch; +- chf 20.- pro jahr fuer den hype dabeizusein, was kostet das tagesmenu heute in der baiz um die ecke.

 

[kofi2k]

Da haste recht mit dem Preis, fragt sich nur eben, was nach den Subventionen kommen wird. Ich hatte fast übersehen, dass es drei Jahre gültig ist. In diesem Sinn sind 20.-- pro Jahr wirklich nicht die Welt.

Da mich das ganze Signierzeugs interessiert, werde ich mir wohl auch so eines besorgen. Schaden kann es (noch) nicht ;)