QSCD für Fernsignatur mit HSM & SAM » procilon GROUP
QSCD für Fernsignatur HSM & SAM

QSCD für Fernsignatur HSM & SAM

Qualifizierte eIDAS-Fernsignatur für Vertrauensdiensteanbieter mit QSCD

Die Fernsignatur, auch Remote Signature genannt, ermöglicht die Erzeugung einer fortgeschrittenen oder qualifizierten elektronischen Signatur ohne Signaturkarte und ohne Kartenlesegerät direkt aus dem Browser heraus. Um maximale Sicherheitsanforderungen zu erfüllen, benötigen Vertrauensdiensteanbieter auf höchstem Niveau zertifizierte und eIDAS-konforme Lösungskomponenten.

QSCD - Qualified Signature Creation Device

Lösungskomponenten für qualifizierte elektronische Fernsignatur

Ein Qualified Signature Creation Device (QSCD) ist ein Pflichtelement für Vertrauensdienstanbieter und Unternehmen die einen Fernsignaturdienst anbieten oder nutzen möchten. Diese Komponente zur Erzeugung qualifizierter elektronischer Signaturen beinhaltet ein HSM (Hardware Security Module) und ein SAM (Signature Activation Module).

HSM
Hardware Security Module
SAM

Signature Activation Module

Das QSCD stellt sicher, dass der Signaturschlüssel des Unterzeichners ausschließlich unter dessen alleiniger Kontrolle und auch nur für den beabsichtigten Zweck verwendet wird.

16000
elektronische Signaturen
3700000
Beweiswerterhaltungen
... werden pro Tag durch procilon Systeme unserer Kunden automatisiert umgesetzt.
  Zahlen aktualisieren sich nicht?

Welche Sicherheitsanforderungen müssen für die Erzeugung qualifizierter elektronischer Fernsignaturen erfüllt werden?

Insbesondere in der sichersten Form, also den qualifizierten Ausprägungen von Zertifikaten und Siegeln, sind konkrete Anforderungen an Vertrauensdiensteanbieter (VDA) formuliert, die einerseits unterschiedliche Anwendungsformen ermöglichen, andererseits aber die Verantwortung der VDAs erhöhen.

Das European Telecommunications Standards Institute (ETSI) hat hierfür europaweite Normen und Spezifikationen erarbeitet, die sicherstellen, dass Lösungen in jedem europäischen Land verwendet und anerkannt werden können. Anbieter von Vertrauensdiensten (VDA) sind für den Betrieb im qualifizierten Umfeld verpflichtet, die Umsetzung dieser Anforderungen und die dabei verwendeten Lösungskomponenten zur Erzeugung von qualifizierten Signaturen und Zeitstempeln aber auch Validierungs- und Aufbewahrungsdiensten nachzuweisen.

ETSI Signature Creation Protocols & Policy Requirements
- CEN Standards for remote signing systems:
EN 419 241‐1
Trustworthy Systems Supporting Server Signing - Part 1: General System Security Requirements
EN 419 241‐2
Trustworthy Systems Supporting Server Signing - Part 2: Protection profile for QSCD for Server Signing
EN 419 221‐5
Protection Profiles for TSP crypto- graphic modules – Part 5: cryptographic module for Trust Services
TS 119 432 1
Electronic Signatures and Infrastructures (ESI); Protocols for remote digital signature creation; Part 1-2
TS 119 432
Electronic Signatures and Infrastructures (ESI); Protocols for remote digital signature creation
Elektronische Fernsignatur für den Unternehmenseinsatz

Unsere QSCD Lösung zur Wahrung der Vertrauenswürdigkeit kann - neben dem qualifizierten Umfeld für Vertrauensdiensteanbieter - auch für geschlossene Nutzergruppen in Unternehmen eingesetzt werden.

QSCD für Fernsignatur - Umsetzung mit procilon & utimaco

Die leistungsstarke Kombination aus Hard- und Software-Komponenten von utimaco und procilon ermöglicht die effiziente Erzeugung rechtsgültiger elektronischer Unterschriften mittels qualifizierter Signatur in Echtzeit. Das System zur Einrichtung als Vertrauensdienst wird durch das ETSI Standard Modell definiert und besteht aus einer lokalen und einer entfernten Umgebung:

  • ETSI Standard Modell für qualifizierte Fernsignatur

    procilon etsi eidas remote signing standard model
  • Fernsignaturdienst mit procilon SAM & utimaco CP5 HSM

    procilon qscd remote signing sam cp5
  • procilon Komplett-Lösung für Vertrauensdiensteanbieter

    procilon bietet mit dem proNEXT Portfolio alle Elemente für Trust Services   mehr erfahren
    procilon qscd remote signing components

    Wie ist der Ablauf bei der Erstellung einer Fernsignatur mit QSCD?

    • Der Unterzeichner befindet sich in der lokalen Umgebung und interagiert mit der Server Signing Application (SSA) und dem kryptografischen Sicherheitsmodul (HSM) in der Remote-Umgebung

    • Die Signaturoperation wird mithilfe eines Signaturaktivierungsprotokolls ausgeführt, für das Signaturaktivierungsdaten (SAD) in der lokalen Umgebung bereitgestellt werden müssen

    • Um sicherzustellen, dass der Unterzeichner jederzeit die alleinige Kontrolle über seine Signaturschlüssel hat, muss der Signaturvorgang autorisiert werden

    • Ist dies erfolgreich, wird von einem Signaturaktivierungsmodul (SAM) der Signaturschlüssel innerhalb eines kryptografischen Moduls (HSM) aktiviert

    Sowohl das Sicherheitsmodul als auch das SAM müssen sich in einer dedizierten, geschützten Umgebung befinden. 

    QSCD - procilon empfiehlt HSM von utimaco

    Der deutsche Hersteller Utimaco bietet eine leistungsstarke Kombination aus CryptoServer CP5 Sicherheitsmodul und CryptoServer CP5 SDK, mit der die SAM-Firmware von procilon in der manipulationsgeschützten Umgebung des HSM ausgeführt werden kann.

    utimaco hsm cp5

    Der CryptoServer CP5 SDK ist die ideale Wahl für Entwickler solcher „internen SAMs“ und Vertrauensdiensteanbieter, welche eine solche rechtsgültige Serversignaturlösung betreiben.

    Vorteile eines QSCDs mit HSM & procilon SAM

    • einfacher Aufbau eines Dienstes für Fernsignatur
    • TÜV-IT-zertifizierte Sicherheit
    • 100% eIDAS konform
    • Umfassendes Zertifizierungs-Know-How
    Zertifizierte eIDAS Konformität mit procilon SAM & utimaco HSM

    Die eIDAS-Konformität der Komponenten von utimaco und procilon wurde vom TÜV-IT bestätigt und zertifiziert. Im Rahmen eines Pilotprojektes wurde die Fernsignaturlösung bereits getestet und genießt derzeit ein Alleinstellungsmerkmal auf dem Markt.

    Häufige Fragen zum QSCD (FAQ)

    Sie möchten noch mehr zum Thema QSCD erfahren?
    Wir haben die häufigsten Fragen für Sie zusammengetragen und beantwortet.
    Was ist HSM und wofür wird es benötigt?
    Ein HSM - Hardware Security Module - ist ein kryptografisches Sicherheitsmodul (Hardware) und speichert kryptografisches Schlüsselmaterial für Server und Applikationen. Hierbei können bis zu mehrere tausend Schlüssel gespeichert werden, abhängig von Algorithmus und Schlüssellänge.
    Welche Funktion hat HSM für QSCD?
    Gemäß ETSI Normen ist ein HSM verpflichtend, um ein QSCD aufzubauen. Innerhalb eines QSCD speichert und verwaltet das HSM die privaten personenbezogenen Signaturschlüssel der Signierenden.
    Worum handelt es sich bei SAM und wofür braucht man es?
    SAM - Signature Activation Module - ist eine Software innerhalb des HSM und damit zweiter Pflichtbestandteil des QSCD. Das SAM hat die Aufgabe, die Signaturschlüssel erst dann zu aktivieren und freizugeben, nachdem die Prüfung, ob der Schlüssel auch wirklich dem Signierenden gehört, erfolgreich war.
    Wie viele Schlüssel können innerhalb des HSM gespeichert und simultan verwendet werden?
    Ca. 3500 RSA 2K Schlüsselpaare können in der HSM gespeichert und gesichert werden. Extern können via Backup/Restore Option nahezu unbegrenzt viele Schlüssel verwaltet werden. Schlüssel werden nur dann in die HSM geladen, wenn diese benötigt werden.
    Kann die HSM statt im VDA-Umfeld auch auf Client Seite installiert werden?
    Gemäß Anforderung (EN 419 241-2) befindet sich die HSM in einer geschützten Umgebung beim Vertrauensdiensteanbieter (VDA).
    Wie skaliert die QSCD-Lösung?
    Die Signaturschlüssel liegen verschlüsselt in einer Datenbank und werden zur personenbezogenen Signaturanbringung in das HSM geladen. Die Komponenten, die für die Bereitstellung der Schlüssel verantwortlich sind, können je nach Anforderung skaliert werden. Befindet sich die Datenbank auf einem dedizierten Datenbankcluster, ist auch an dieser Stelle eine effiziente Skalierung möglich. Vor der eigentlichen Schlüsselverwendung muss der verschlüsselte Schlüssel im HSM entschlüsselt werden. Die Gesamtperformance hängt somit auch von der eingesetzten CP5-Hardware ab.
    Wo befindet sich die Nutzerdatenbank mit den Authentifizierungsdaten?
    Die Nutzerdaten liegen außerhalb des SAM im UserManager. Der UserManager liefert die Authentifizierungsdaten in Zusammenarbeit mit einem Identity Provider (IDP). Im SAM selbst werden lediglich Berechtigungsinformationen zu den Nutzern abgelegt.
    Wie viele Zertifikate können gespeichert werden?
    Die Zertifikatserstellung und -speicherung ist nicht direkter Bestandteil des proNEXT SAM. procilon bietet aber dafür zertifizierte Lösungen an. Die Anbindung einer bereits beim Kunden vorhandenen Trustcenterinfrastruktur an das proNEXT SAM ist möglich. procilon bietet bei Bedarf auch die Implementierung von kundeneigenen Schnittstellen an.
    Welche Authentifizierungsmechanismen können auf Mobilgeräten eingesetzt werden?
    Alle gängigen Authentifizierungs-Verfahren für mobile Endgeräte können integriert werden. Auch vorhandene Lösungen beim Kunden sind nutzbar.
    Wie werden die Client-Umgebungen aufgebaut?
    procilon bietet die Möglichkeit, die Fernsignaturlösung in kundeneigene Clients zu integrieren. procilon kann außerdem je nach Kundenwunsch Thick/Thin/Browser-Clients auf sicherste Art implementieren.
    HABEN SIE FRAGEN?
    Kontaktieren Sie uns.
    symbol telefon 034298 4878-31
    symbol briefumschlag zum Kontaktformular