Abo
  • Services:

Rechtsanwältin Alice fährt in den Urlaub

Nehmen wir ein System an, bei dem jeder Teilnehmer ein Schlüsselpaar hat und es keine privaten Schlüssel auf dem zentralen Serversystem gibt. Das Serversystem - wir nennen es BeA Plus - leitet nur Nachrichten weiter und betreibt einen zentralen Schlüsselservice, der die öffentlichen Schlüssel aller Teilnehmer bereitstellt.

Stellenmarkt
  1. ORBIT Gesellschaft für Applikations- und Informationssysteme mbH, Bonn, Darmstadt
  2. Bertrandt Services GmbH, Herford

Rechtsanwältin Alice plant also beispielsweise ihren Urlaub. Damit wichtige Nachrichten auch in dieser Zeit beantwortet werden, möchte sie, dass ihr Sekretär Bob diese ebenfalls lesen kann - doch ihren privaten Schlüssel, der sich auf einer Chipkarte befindet, kann oder darf sie nicht an Bob weitergeben. Stattdessen signiert Alice eine Mitteilung mit ihrem privaten Schlüssel in einem vordefinierten Format, in der festgelegt wird, dass in einem bestimmten Zeitraum alle Nachrichten an sie auch an Bob verschlüsselt werden können.

Diese signierte Mitteilung schickt sie an den Server von BeA Plus. Der Schlüsseldienst leitet diese Mitteilung automatisch an alle Nutzer weiter, die den öffentlichen Schlüssel von Alice abfragen.

Richterin Carol möchte eine Nachricht an Rechtsanwältin Alice schicken. Die Clientsoftware von Bea Plus auf ihrem Rechner fragt automatisch den aktuellen öffentlichen Schlüssel von Alice vom Server ab. Dieser stellt ihr nun neben dem Schlüssel auch das signierte Statement bereit. Somit weiß die Software von Carol, dass Alice zur Zeit keine Nachrichten empfängt und diese an den Sekretär Bob weitergeleitet werden sollen. Die Software kann dann automatisch den Schlüssel von Bob herunterladen und Carol anbieten, die Nachricht damit zu verschlüsseln.

Einfache Konstruktion - ohne HSM und Ende-zu-Ende-verschlüsselt

Sinnvollerweise würde die Clientsoftware Carol dann die Möglichkeit geben, zu entscheiden, ob die Nachricht an die Vertretung weitergeleitet werden soll oder möglicherweise nicht so eilig ist und bis zum Ende von Alices Urlaub warten kann. Aber eine automatische Verschlüsselung an Bob wäre ebenso möglich.

Ein weiteres Szenario, das teilweise als Grund für die HSM-Umschlüsselung genannt wurde, ist der Fall, dass ein Anwalt nicht mehr erreichbar ist, etwa weil dieser durch einen Unfall außer Gefecht, verstorben oder verschwunden ist. In so einem Fall müssten andere auf die versendeten Nachrichten Zugriff erhalten. Bereits empfangene Nachrichten könnten von der BeA-Software separat lokal gespeichert werden, für nicht empfangene Nachrichten könnte man dem Absender eine automatisierte Aufforderung zur erneuten Sendung an einen anderen Empfänger, etwa einen zuständigen Abwickler, schicken.

Das von uns skizzierte BeA Plus ist nicht besonders komplex und würde alle gewünschten Anforderungen erfüllen. Es käme ohne Vertrauen in ein Hardwaremodul aus, das sich außerhalb der Kontrolle der Nutzer befindet.

Es gäbe noch andere Möglichkeiten und auch das von uns skizzierte BeA Plus wäre vermutlich nicht die ideale Verschlüsselungslösung. Man könnte etwa überlegen, ob es zusätzlich sinnvoll wäre, Forward Secrecy für die Nachrichten zu gewährleisten, indem man für jede Nachricht einen temporären Schlüssel mittels eines Schlüsselaustauschs durchführt, ähnlich wie das Signal-Protokoll das macht. Völlig unabhängig vom Problem mit dem HSM ist es auch generell sehr fragwürdig, eine Ende-zu-Ende-Verschlüsselung in einem Webinterface umzusetzen.

Doch zunächst einmal ist es wichtig, darzustellen, dass es keinerlei Grund gibt, auf eine echte Ende-zu-Ende-Verschlüsselung zu verzichten. Die abenteuerliche Konstruktion mit dem HSM ist unnötig.

 Anwaltspostfach: Die unnötige Ende-zu-Mitte-Verschlüsselung von BeA
  1.  
  2. 1
  3. 2


Anzeige
Top-Angebote
  1. 119,90€
  2. für 1.124€ statt 1.319€
  3. und zusätzlich eine Prämie erhalten (u. a. Amazon-Gutschein, 30€ Barprämie oder Scythe Mugen 5...

Gromran 20. Mär 2018

Das Thema ist rechtlich deutlich komplexer. Es geht ja nicht nur um Urlaubsvertretung...

Gromran 20. Mär 2018

Es "macht" nie etwas Sinn, es "hat" höchstens etwas Sinn. So schwer ist die deutsche...

pommesmatte 29. Jan 2018

Eve liest nur mit (Eavesdropping). Ein Man in the Middle wäre Mallory.

pommesmatte 29. Jan 2018

Du hast in allen Punkten an mir vorbei geredet.

beA-Veteran 28. Jan 2018

...wenn die Anwältin dauerhaft verschiedene Mitarbeiterinnen und Mitarbeiter am Postfach...


Folgen Sie uns
       


Vampyr - Fazit

Vampyr überzeugt uns relativ schnell im Test. Nach einer Weile flacht die Blutsaugerei aber wegen langweiliger Gespräche und Probleme mit der Kameraführung ab.

Vampyr - Fazit Video aufrufen
Razer Blade 15 im Test: Schlanker 15,6-Zöller für Gamer gefällt uns
Razer Blade 15 im Test
Schlanker 15,6-Zöller für Gamer gefällt uns

Das Razer Blade 15 ist ein gutes Spiele-Notebook mit flottem Display und schneller Geforce-Grafikeinheit. Anders als im 14-Zoll-Formfaktor ist bei den 15,6-Zoll-Modellen die Konkurrenz aber deutlich größer.
Ein Test von Marc Sauter

  1. Gaming-Notebook Razer packt Hexacore und Geforce GTX 1070 ins Blade 15
  2. Razer Blade 2017 im Test Das beste Gaming-Ultrabook nun mit 4K

Garmin Fenix 5 Plus im Test: Mit Musik ins unbekannte Land
Garmin Fenix 5 Plus im Test
Mit Musik ins unbekannte Land

Kopfhörer ins Ohr und ab zum Joggen, Rad fahren oder zum nächsten Supermarkt spazieren - ohne Smartphone: Mit der Sport-Smartwatch Fenix 5 Plus von Garmin geht das. Beim Test haben wir uns zwar im Wegfindungsmodus verlaufen, sind von den sonstigen Navigationsoptionen aber begeistert.
Ein Test von Peter Steinlechner

  1. Garmin im Hands on Alle Fenix 5 Plus bieten Musik und Offlinenavigation

VR-Rundschau: Retten rockende Jedi-Ritter die virtuelle Realität?
VR-Rundschau
Retten rockende Jedi-Ritter die virtuelle Realität?

Der mediale Hype um VR ist zwar abgeflaut, spannende Inhalte dafür gibt es aber weiterhin - und das nicht nur im Games-Bereich. Mit dabei: das beliebteste Spiel bei Steam, Jedi-Ritter auf Speed und ägyptische Grabkammern.
Ein Test von Achim Fehrenbach

  1. Oculus Core 2.0 Windows 10 wird Minimalanforderung für Oculus Rift
  2. Virtual Reality BBC überträgt Fußball-WM in der virtuellen VIP-Loge
  3. VR-Brillen Google experimentiert mit Lichtfeldfotografie

    •  /