QSCD für Fernsignatur
HSM & SAM

Qualifizierte eIDAS-Fernsignatur für Vertrauensdiensteanbieter mit QSCD

Die Fernsignatur, auch Remote Signature genannt, ermöglicht die Erzeugung einer fortgeschrittenen oder qualifizierten elektronischen Signatur ohne Signaturkarte und ohne Kartenlesegerät direkt aus dem Browser heraus. Um maximale Sicherheitsanforderungen zu erfüllen, benötigen Vertrauensdiensteanbieter auf höchstem Niveau zertifizierte und eIDAS-konforme Lösungskomponenten.

EU Trust Services Dashboard - Liste der zertifizierten QSCD Anbieter

Weitere Themen

QSCD - Qualified Signature Creation Device

Lösungskomponenten für qualifizierte elektronische Fernsignatur

Ein Qualified Signature Creation Device (QSCD) ist ein Pflichtelement für Vertrauensdienstanbieter und Unternehmen die einen Fernsignaturdienst anbieten oder nutzen möchten. Diese Komponente zur Erzeugung qualifizierter elektronischer Signaturen beinhaltet ein HSM (Hardware Security Module) und ein SAM (Signature Activation Module).

HSM

Hardware Security Module

SAM

Signature Activation Module

Das QSCD stellt sicher, dass der Signaturschlüssel des Unterzeichners ausschließlich unter dessen alleiniger Kontrolle und auch nur für den beabsichtigten Zweck verwendet wird.

mehr erfahren

elektronische Signaturen

1 Mio

Beweiswerterhaltungen

... werden pro Tag durch procilon Systeme unserer Kunden automatisiert umgesetzt.

Zahlen aktualisieren sich nicht

Welche Sicherheitsanforderungen müssen für die Erzeugung qualifizierter elektronischer Fernsignaturen erfüllt werden?

Insbesondere in der sichersten Form, also den qualifizierten Ausprägungen von Zertifikaten und Siegeln, sind konkrete Anforderungen an Vertrauensdiensteanbieter (VDA) formuliert, die einerseits unterschiedliche Anwendungsformen ermöglichen, andererseits aber die Verantwortung der VDAs erhöhen.

Das European Telecommunications Standards Institute (ETSI) hat hierfür europaweite Normen und Spezifikationen erarbeitet, die sicherstellen, dass Lösungen in jedem europäischen Land verwendet und anerkannt werden können. Anbieter von Vertrauensdiensten (VDA) sind für den Betrieb im qualifizierten Umfeld verpflichtet, die Umsetzung dieser Anforderungen und die dabei verwendeten Lösungskomponenten zur Erzeugung von qualifizierten Signaturen und Zeitstempeln aber auch Validierungs- und Aufbewahrungsdiensten nachzuweisen.

ETSI Signature Creation Protocols & Policy Requirements

- CEN Standards for remote signing systems:

EN 419 241‐1

Trustworthy Systems Supporting Server Signing - Part 1: General System Security Requirements

EN 419 241‐2

Trustworthy Systems Supporting Server Signing - Part 2: Protection profile for QSCD for Server Signing

EN 419 221‐5

Protection Profiles for TSP crypto- graphic modules – Part 5: cryptographic module for Trust Services

TS 119 432 1

Electronic Signatures and Infrastructures (ESI); Protocols for remote digital signature creation; Part 1-2

TS 119 432

Electronic Signatures and Infrastructures (ESI); Protocols for remote digital signature creation

Elektronische Fernsignatur für den Unternehmenseinsatz

Unsere QSCD Lösung zur Wahrung der Vertrauenswürdigkeit kann - neben dem qualifizierten Umfeld für Vertrauensdiensteanbieter - auch für geschlossene Nutzergruppen in Unternehmen eingesetzt werden.

QSCD für Fernsignatur - Umsetzung mit procilon & utimaco

Die leistungsstarke Kombination aus Hard- und Software-Komponenten von utimaco und procilon ermöglicht die effiziente Erzeugung rechtsgültiger elektronischer Unterschriften mittels qualifizierter Signatur in Echtzeit. Das System zur Einrichtung als Vertrauensdienst wird durch das ETSI Standard Modell definiert und besteht aus einer lokalen und einer entfernten Umgebung:

ETSI Standard Modell für qualifizierte Fernsignatur
Fernsignaturdienst mit procilon SAM & utimaco CP5 HSM
procilon Komplett-Lösung für Vertrauensdiensteanbieter

procilon bietet mit dem proNEXT Portfolio alle Elemente für Trust Services mehr erfahren

Wie ist der Ablauf bei der Erstellung einer Fernsignatur mit QSCD?

Der Unterzeichner befindet sich in der lokalen Umgebung und interagiert mit der Server Signing Application (SSA) und dem kryptografischen Sicherheitsmodul (HSM) in der Remote-Umgebung
Die Signaturoperation wird mithilfe eines Signaturaktivierungsprotokolls ausgeführt, für das Signaturaktivierungsdaten (SAD) in der lokalen Umgebung bereitgestellt werden müssen
Um sicherzustellen, dass der Unterzeichner jederzeit die alleinige Kontrolle über seine Signaturschlüssel hat, muss der Signaturvorgang autorisiert werden
Ist dies erfolgreich, wird von einem Signaturaktivierungsmodul (SAM) der Signaturschlüssel innerhalb eines kryptografischen Moduls (HSM) aktiviert

Sowohl das Sicherheitsmodul als auch das SAM müssen sich in einer dedizierten, geschützten Umgebung befinden.

QSCD - procilon empfiehlt HSM von utimaco

Der deutsche Hersteller Utimaco bietet eine leistungsstarke Kombination aus CryptoServer CP5 Sicherheitsmodul und CryptoServer CP5 SDK, mit der die SAM-Firmware von procilon in der manipulationsgeschützten Umgebung des HSM ausgeführt werden kann.

Der CryptoServer CP5 SDK ist die ideale Wahl für Entwickler solcher „internen SAMs“ und Vertrauensdiensteanbieter, welche eine solche rechtsgültige Serversignaturlösung betreiben.

Vorteile eines QSCDs mit HSM & procilon SAM

einfacher Aufbau eines Dienstes für Fernsignatur
TÜV-IT-zertifizierte Sicherheit
100% eIDAS konform
Umfassendes Zertifizierungs-Know-How

Zertifizierte eIDAS Konformität mit procilon SAM & utimaco HSM

Die eIDAS-Konformität der Komponenten von utimaco und procilon wurde vom TÜV-IT bestätigt und zertifiziert. Im Rahmen eines Pilotprojektes wurde die Fernsignaturlösung bereits getestet und genießt derzeit ein Alleinstellungsmerkmal auf dem Markt.

Häufige Fragen zum QSCD (FAQ)

Sie möchten noch mehr zum Thema QSCD erfahren?
Wir haben die häufigsten Fragen für Sie zusammengetragen und beantwortet.

Was ist HSM und wofür wird es benötigt?

Ein HSM - Hardware Security Module - ist ein kryptografisches Sicherheitsmodul (Hardware) und speichert kryptografisches Schlüsselmaterial für Server und Applikationen. Hierbei können bis zu mehrere tausend Schlüssel gespeichert werden, abhängig von Algorithmus und Schlüssellänge.

Welche Funktion hat HSM für QSCD?

Gemäß ETSI Normen ist ein HSM verpflichtend, um ein QSCD aufzubauen. Innerhalb eines QSCD speichert und verwaltet das HSM die privaten personenbezogenen Signaturschlüssel der Signierenden.

Worum handelt es sich bei SAM und wofür braucht man es?

SAM - Signature Activation Module - ist eine Software innerhalb des HSM und damit zweiter Pflichtbestandteil des QSCD. Das SAM hat die Aufgabe, die Signaturschlüssel erst dann zu aktivieren und freizugeben, nachdem die Prüfung, ob der Schlüssel auch wirklich dem Signierenden gehört, erfolgreich war.

Wie viele Schlüssel können innerhalb des HSM gespeichert und simultan verwendet werden?

Ca. 3500 RSA 2K Schlüsselpaare können in der HSM gespeichert und gesichert werden. Extern können via Backup/Restore Option nahezu unbegrenzt viele Schlüssel verwaltet werden. Schlüssel werden nur dann in die HSM geladen, wenn diese benötigt werden.

Kann die HSM statt im VDA-Umfeld auch auf Client Seite installiert werden?

Gemäß Anforderung (EN 419 241-2) befindet sich die HSM in einer geschützten Umgebung beim Vertrauensdiensteanbieter (VDA).

Wie skaliert die QSCD-Lösung?

Die Signaturschlüssel liegen verschlüsselt in einer Datenbank und werden zur personenbezogenen Signaturanbringung in das HSM geladen. Die Komponenten, die für die Bereitstellung der Schlüssel verantwortlich sind, können je nach Anforderung skaliert werden. Befindet sich die Datenbank auf einem dedizierten Datenbankcluster, ist auch an dieser Stelle eine effiziente Skalierung möglich. Vor der eigentlichen Schlüsselverwendung muss der verschlüsselte Schlüssel im HSM entschlüsselt werden. Die Gesamtperformance hängt somit auch von der eingesetzten CP5-Hardware ab.

Wo befindet sich die Nutzerdatenbank mit den Authentifizierungsdaten?

Die Nutzerdaten liegen außerhalb des SAM im UserManager. Der UserManager liefert die Authentifizierungsdaten in Zusammenarbeit mit einem Identity Provider (IDP). Im SAM selbst werden lediglich Berechtigungsinformationen zu den Nutzern abgelegt.

Wie viele Zertifikate können gespeichert werden?

Die Zertifikatserstellung und -speicherung ist nicht direkter Bestandteil des proNEXT SAM. procilon bietet aber dafür zertifizierte Lösungen an. Die Anbindung einer bereits beim Kunden vorhandenen Trustcenterinfrastruktur an das proNEXT SAM ist möglich. procilon bietet bei Bedarf auch die Implementierung von kundeneigenen Schnittstellen an.

Welche Authentifizierungsmechanismen können auf Mobilgeräten eingesetzt werden?

Alle gängigen Authentifizierungs-Verfahren für mobile Endgeräte können integriert werden. Auch vorhandene Lösungen beim Kunden sind nutzbar.

Wie werden die Client-Umgebungen aufgebaut?

procilon bietet die Möglichkeit, die Fernsignaturlösung in kundeneigene Clients zu integrieren. procilon kann außerdem je nach Kundenwunsch Thick/Thin/Browser-Clients auf sicherste Art implementieren.

NEWS