Optisch verifizierbare digitale Siegel.

Die drei Komponenten des OVDS Systems im Überblick.

Das OVDS System ist eine Demoimplementierung der technischen Richtlinie BSI-TR-03137 und dem korrespondierenden internationalen ICAO Standard „Visible Digital Seals for non-electronic Documents“ ( Kurzform: VDS ) .

Technisch entspricht diesem Format z.B. auch einem Covid-Reise-Zertifikat, welches international in dem Standard VDS-NC definiert ist. Das OVDS System behandelt an dieser Stelle aber nur Digitale Siegel auf Verwaltungsdokumenten und auch nur Varianten auf Basis von Matrix-Codes.

Elektronische Siegel sind erforderlich, wenn juristische Personen, wie Behörden, Unternehmen oder Landesbetriebe, Dokumente digital unterzeichnen möchten. Gesetzliche Grundlage ist Artikel 3 Nr. 24 der eIDAS-Verordnung . Unterschreibt im Gegensatz dazu eine natürliche Person digital, kommen elektronische Signaturen zum Einsatz.

In der Praxis entsprechen elektronische Siegel den Siegeln in Behörden und den Stempeln in Unternehmen.

Wie bei den elektronischen Signaturen werden bei den elektronischen Siegeln drei Vertrauensniveaus unterschieden:

• normal
• fortgeschritten
• qualifiziert

Werden die digital unterzeichneten Dokumente ausschließlich digital weiterverarbeitet, so ist die Verifizierung der gesiegelten Dokumente durch entsprechende Softwarekomponenten jederzeit gegeben. Müssen die Dokumente jedoch in Ihrer weiteren Verwendung ausgedruckt werden, ist die Verifizierung des Papierdokumentes nicht mehr möglich. Urheberschaft (Authentizität) und Unversehrtheit der Daten (Integrität) können nicht mehr überprüft werden.

Erst die Platzierung eines optisch verifizierbaren digitalen Siegels in Form eines 2D-Codes auf dem ausgedruckten Dokument gewährleisten die Überprüfbarkeit des Ursprungs und der Unversehrtheit eines ausgedruckten digital gesiegelten Dokumentes. OVDS-Siegel sind nicht nur für den Einsatz auf Verwaltungsdokumente beschränkt. Im Prinzip können sie die Authentizität und Integrität eines jeden Papierausdrucks (Rechnungen, Eintrittskarten etc.) gewährleisten. Lediglich die Beschränkung auf maximal 254 verschiedener Inhaltsdatenfelder könnten den universellen Einsatz beschränken. Die Grenze ist technischen Kapazitätsgründen geschuldet und findet sich in den technischen Richtlinien wieder.

Der in OVDS-Siegeln verwendete 2D-Code ist vom Typ DataMatrix, der Signaturalgorithmus vom Typ Elliptic Curve Digital Signature Algorithm (ECDSA). Das OVDS Siegel kann aus Kapazitätsgründen nicht das gesamte Dokument und das komplette Zertifikat enthalten. Es enthält, binär und kryptografisch verpackt, die Inhaltsdaten des Dokumentes, eine Referenz auf das Profil des verwendeten Dokumentes und eine Referenz auf das verwendete Zertifikat.

Für die Verifizierung werden in der zentralen Zertifikats- und Profilverwaltung des OVDS Systems die benötigten Zertifikate und Dokumentenprofile abrufbar bereitgestellt. Dies ermöglicht zudem eine Offline Verifizierung, indem die benötigten Profile und Zertifikate im Vorfeld der Überprüfung auf das zur Prüfung eingesetzte mobile Endgerät heruntergeladen werden können.

Mit Hilfes des Profils können während der Verifizierung die Inhaltsdaten ihren Datenfeldern, wie z.B. Vorname, Nachname, Ausstellungsdatum, zugeordnet werden.

Die OVDS Verwaltung ist die zentrale webbasierte Komponente des OVDS Systems.

In der Profilverwaltung werden die Datenfelder von Dokumenten und deren Typen definiert und zur weiteren Nutzung bereitgestellt. Profile werden entsprechend den Richtlinien in Form von XML-Datensätze erstellt. Über ein Rechtesystem wird gesteuert, ob Profile von einzelnen Organisationen individuell definiert werden oder ob sie organisationsübergreifend, bis hin zu einer bundesweiten Vereinheitlichung, standardisiert sind. Die Profilverwaltung ist vorbereitet zur Unterstützung des Leistungskatalogs der deutschen Verwaltung (LeiKa).

Im Demo-Projekt ist die Profilverwaltung nicht freigeschaltet. Allen Benutzern steht ein Muster-Bewohnerparkausweisprofil mit der dazugehörigen Musterdruckvorlage zur Verfügung. Für nähere Informationen zur Profilverwaltung nehmen Sie bitte Kontakt zu uns auf.

In der Fachdatenverwaltung werden die Inhaltsdaten erfasst und verwaltet. Dazu wird aus einem hinterlegten Profil ein Eingabeformular erzeugt. Das Formular besteht aus nicht editierbaren Feldern mit Inhaltsangaben zum verwendeten Profil und aus editierbaren Feldern zur Erfassung der eigentlichen Inhaltsdaten des Dokumentes. Nach dem Speichern werden die gesamten Inhaltsdaten entsprechend den technischen Richtlinien codiert und automatisch dem Web-Signer oder dem OVDS Siegelkarten Signer als Fachdatensatz zur Verfügung gestellt. Aus Kapazitätsgründen wird das Profil nicht mit codiert.

Ein Rollen- und Rechtesystem steuert den Zugriff auf die hinterlegten Profile, bzw. die Auswahl des nachfolgenden Signierprozesses.

Im Demo-Projekt können die Inhaltsdaten zu dem Demo-Bewohnerparkausweisprofil erfasst werden. Die erzeugten Fachdatensätze werden immer dem eingeloggten Benutzer zugeordnet. Die Wahl des Signers ist in der Demoversion frei. Es werden immer alle noch nicht signierten Fachdatensätze dem gerade ausgewählten Signer zur Verfügung gestellt.

Im Demo-Projekt sind Erfassung und Verwaltung getrennt. Die Erfassung erfolgt im Menü Fachdaten erfassen, das Löschen im Menü Fachdaten verwalten.

Siegelzertifikate werden von den Vertrauensdienstleistern, wie der D-Trust GmbH, in Form des Public-Key Cryptography Standards 12 (PKCS#12) dateibasiert als .pfx oder.p12 Datei oder chipkartenbasiert ausgeliefert. Das PKCS#12 Format in eine Art Container, der den privaten Schlüssel und das eigentliche Zertifikat, das den Besitzer beschreibt, enthält. Vor dem erstmaligen Gebrauch muss das eigentliche Zertifikat einmalig in der Zertifikatsverwaltung registriert werden. Dabei wird das eigentliche Zertifikat in der Zertifikatsverwaltung abgelegt und eine Referenz auf das Zertifikat erzeugt. Der private Schlüssel muss zu jeder Zeit im alleinigen Besitz des Zertifikatsinhabers bleiben.

Die Vertrauensdienstleister stellen in ihrer PKI-Infrastruktur die eigentlichen Zertifikate als Download zur Verfügung. In der OVDS Verwaltung steht ein Formular zur Verfügung, mit dessen Hilfe das eigentliche Zertifikat heruntergeladen werden kann. Dazu muss lediglich die Seriennummer des Zertifikates in ein Feld eingegeben werden.

Die eigentlichen Zertifikate von fortgeschrittenen Test-Zertifikaten werden aktuell von der D-Trust GmbH noch nicht in deren PKI-Infrastruktur zum Download bereitgestellt, die eigentlichen Zertifikate von qualifizierten Test-Siegelkarten wohl. Aus dateibasierten fortgeschrittenen Zertifikaten können die eigentlichen Zertifikate auch selbstständig aus dem PKCS#12 Container extrahiert und als .cert Datei abgespeichert werden. Dazu steht auf allen Windowssystemen die Benutzer-Zertifikatsverwaltung zur Verfügung.

Im späteren Verifizierungsprozess wird von der Siegel Check App über die Referenz das eigentliche Zertifikat aus Zertifikatsverwaltung abgerufen. Dieses Verfahren ist erforderlich, da aus Speicherplatzgründen das Siegelzertifikat selbst nicht in das OVDS-Siegel integriert werden kann. Entsprechend den technischen Richtlinien, werden nur Siegelzertifikate auf Basis des Elliptic Curve Digital Signature Algorithm (ECDSA) unterstützt.

Im Demo-Projekt sind in der Web-Signer Komponente zwei verschiedene, bereits registrierte, fortgeschrittene selbstsignierte Test Siegelzertifikate aus der APP-PKI von IT.NRW zur direkten Verwendung hinterlegt. Alle Zertifikate aus der App-PKI dienen nur zu Demonstrationszwecken und sind nicht für einen produktiven Einsatz geeignet.

Des Weiteren werden im Demo-Projekt zusätzlich fortgeschrittene und qualifizierte Test-Siegelzertifikate der D-Trust GmbH unterstützt. Alle anderen Zertifikate werden nicht unterstützt.

Eigentümer von eigenen fortgeschrittenen Test Qualifield Seal-ID Zertifikaten der D-Trust GmbH können ihr Zertifikat im Web-Signer nutzen. Besitzer einer qualifizierten Test-Siegelkarte Card 4.4 Multicard der D-Trust GmbHT müssen den Siegelkarten Signer benutzen.

Vor dem erstmaligen Gebrauch müssen die eigentlichen Zertifikate aus den gelieferten Zertifikaten einmalig in der OVDS Verwaltung registriert werden.

Für qualifizierte D-Trust Test-Zertifikate auf Chipkarten steht dazu in der OVDS Verwaltung eine Downloadmöglichkeit des eigentlichen Zertifikates in Form einer .cer Datei über die Eingabe der Seriennummer bereit. Die Seriennummer kann mit dem bei der Bestellung der Siegelkarte mitgelieferten D-Trust Card Assistant ab der Version 3.8.0.2 ausgelesen werden. Beachten Sie bitte, dass sich auf der Test-Siegelkarte Card 4.4 Multicard der D-Trust GmbH drei verschiedene Zertifikate befinden, ein Inhaberzertifikat und zwei Ausstellerzertifikate. Nur die Seriennummer des Inhaberzertifikates wird benötigt.

Das eigentliche Zertifikat von dateibasierten, fortgeschrittenen Test-Zertifikaten kann mit Hilfe der windowseigenen Benutzer-Zertifikatsverwaltung aus dem PKCS#12 Container extrahiert werden. Wählen Sie als .cer Format 'DER-codiert-binär X.509' aus. Beachten Sie, dass die Checkbox "Nein, privaten Schlüssel nicht exportieren" aktiviert ist. Der private Schlüssel muss zu jeder Zeit in Ihrem alleinigen Besitz verbleiben.

Die App-PKI ist eine reine Demoinfrastruktur. Die App-PKI(IT.NRW) ist nicht als Vertrauensdienstleister im Rahmen der eIDAS-Verordnung bei der Bundesnetzagentur gelistet. App-PKI Zertifikate sind keine rechtssicheren Zertifikate und dürfen nur für Demonstrationszwecke benutzt werden.

Mit dem Web-Signer können die erzeugten Fachdaten mit einem registrierten fortgeschrittenen Siegelzertifikat signiert werden. Das Zertifikat muss sich als Datei auf dem Windows Rechner des Benutzers befinden. Der Signierprozess findet ausschließlich im Browser des eingeloggten Benutzers mit JavaScript statt. Das eigentliche Zertifikat und der private Schlüssel verlassen während des Siegelprozesses zu keiner Zeit den Windows Rechner. Nach Beendigung des Siegelprozesses werden die signierten Fachdaten automatisch in die OVDS Verwaltung übertragen. Der Web-Signer unterstützt eine Massenverarbeitung, falls mehrere Fachdatensätze gleichzeitig signiert werden sollen.

In der Web-Signer Komponente sind bereits zwei registrierte fortgeschrittene Test-Siegelzertifikate aus der APP-PKI von IT.NRW zur direkten Verwendung fest hinterlegt.

Im Drucker werden die signierten Fachdatensätze in ein optisch verifizierbares Siegel umgewandelt. Der Drucker unterstützt eine Massenverarbeitung, falls mehrere signierte Fachdatensätze zum Drucken bereitstehen.

Im Demo-Projekt ist eine Druckvorlage für einen Bewohnerparkausweis fest hinterlegt. Der Bewohnerparkausweis wird nach der Siegelerzeugung automatisch auf den Rechner des Benutzers als PDF-Datei im Downloadordner abgelegt.

Bei der Verifizierung decodiert die App zunächst die Inhaltsdaten und die Zertifikatsreferenz aus dem OVDS Siegel. Anschließend lädt die App aus der Zertifikatsverwaltung mit Hilfe der decodierten Zertifikatsreferenz, das zur Signierung verwendete Zertifikat und aus der Profilverwaltung über den Profilnamen, das dem Fachdatensatz zugrundeliegende Profil. Diese Abrufe erfolgen automatisch während des Scanvorgangs. Über eine Statusanzeige kann die Gültigkeit des verwendeten Zertifikates abgelesen werden. Aus den dekodierten Inhaltsdaten und dem heruntergeladenen Profil wird das Verwaltungsdokument rekonstruiert. Durch Vergleich mit den Daten auf dem Ausdruck kann die Unversehrtheit der Daten überprüft werden.

Für die Offlinefähigkeit können Zertifikate und Profile vorab in der App gespeichert werden.

Der OVDS Siegelkarten Signer ist ein Java basiertes Desktop Programm und dient zur Signierung von erzeugten Fachdatensätze mit einem registrierten qualifizierten Siegelzertifikat. Der Benutzer muss sich nach dem Start des Programms mit seinen Zugangsdaten zur OVDS Verwaltung zunächst anmelden. Der Abruf seiner Fachdatensätze aus der OVDS Verwaltung erfolgt automatisch. Der eigentliche Signierprozess findet ausschließlich auf der Siegelkarte statt. Der private Schlüssel verlässt während des Siegelprozesses zu keiner Zeit die Siegelkarte. Nach Beendigung des Siegelprozesses werden die signierten Fachdaten automatisch in die OVDS Verwaltung übertragen. Der OVDS Siegelkarten Signer unterstützt eine Massenverarbeitung, falls mehrere Fachdatensätze zum Signieren bereitstehen.

Im Demo-Projekt wird nur die Test-Siegelkarte Card 4.4 Multicard der D-Trust GmbH mit ECDSA Algorithmus unterstützt.