Logo
Standardisierte Key- und Infoboxen der österreichischen Bürgerkarte

Konvention

1.2.1
Empfehlung
Kurzbeschreibung

Das vorliegende Dokument spezifiziert die jedenfalls verwendbaren Key- bzw. Infoboxen der österreichischen Bürgerkarte.

Autoren:

Arno Hollosi

Gregor Karlinger

Thomas Rössler

Martin Centner

et al.
Projektteam/Arbeitsgruppe
AG Bürgerkarte
Datum:1.3.2005

Inhaltsverzeichnis

1. Allgemeines
1.1. Namenskonventionen
2. Keyboxen
2.1. Keybox für elektronische Signaturen
2.2. Keybox für elektronische Signatur und Verschlüsselung
3. Infoboxen
3.1. Infobox für Zertifikate
3.2. Infobox für die Personenbindung
3.3. Infobox für Vollmachten
Glossar
Referenzen
A. Historie

Dieser Abschnitt spezifiziert jene Keyboxen, welche die Bürgerkarten-Umgebung über die Applikationsschnittstelle Security-Layer zur Verfügung stellen MUSS. Neben diesen obligaten Keyboxen DARF eine Bürgerkarten-Umgebung beliebige weitere Keyboxen für Signatur und/oder Verschlüsselung zur Verfügung stellen.

Die Bürgerkarten-Umgebung MUSS eine Keybox mit dem Namen SecureSignatureKeypair zur Verfügung stellen.

Diese Keybox MUSS zur Erstellung von Signaturen und DARF zur Durchführung von Entschlüsselungen geeignet sein. Eine Applikation MUSS die tatsächlichen Eignungen von der Bürgerkarten-Umgebung mit Hilfe des Befehls Abschnitt 8.1, „Abfrage der Umgebungseigenschaften“ in Die österreichische Bürgerkarte - Applikationsschnittstelle Security-Layer ermitteln können.

Bietet eine Bürgerkarten-Umgebung eine sichere Signatur nach [SigG] bzw. eine nach [E-GovG] damit befristet gleichgestellte Verwaltungssignatur an, so MUSS diese besonders qualifizierte Signatur über die Keybox SecureSignatureKeypair zur Verfügung gestellt werden.

Die Bürgerkarten-Umgebung MUSS eine Keybox mit dem Namen CertifiedKeypair zur Verfügung stellen.

Diese Keybox MUSS sowohl zur Erstellung von Signaturen als auch zur Durchführung von Entschlüsselungen geeignet sein.

Dieser Abschnitt spezifiziert jene Infoboxen, die von der Bürgerkarten-Umgebung verpflichtend zu implementieren sind. Es sind dies Infoboxen zur Speicherung von Zertifikaten, der Personenbindung sowie von Vollmachten des Bürgers.

Diese Infobox enthält Zertifikate, die mit den Signaturschlüsseln des Bürgers zusammenhängen. Jedenfalls enthalten sein müssen (entsprechende Initialisierung der Bürgerkarte vorausgesetzt) die Zertifikate zu den beiden auf der Bürgerkarte standardmässig vorhandenen Signaturschlüsseln.

Die zu verwendenen Schlüsselbegriffe für den Abruf dieser beiden Zertifikate aus der Infobox entsprechen den Keybox-Bezeichnern aus Abschnitt 2, „Keyboxen“ (SecureSignatureKeypair bzw. CertifiedKeypair).

Darüber hinaus können in dieser Infobox weitere Zertifikate (wie etwa Zertifikate zu weiteren Signaturschlüsseln oder Zertifikate des Zertifizierungspfades zu einem Signaturschlüssel) abgelegt werden.

Diese Infobox enthält die Personenbindung des Bürgers. Dies ist jener von der Stammzahlenregisterbehörde elektronisch signierte Datensatz, der die Stammzahl des Bürgers an die Zertifikate der Signaturschlüssel des Bürgers bindet.

Nach den Bestimmungen des § 14 [E-GovG] darf ein Auftraggeber des privaten Bereichs zur Identifikation des Bürgers ein aus der Stammzahl abgeleitetes wirtschaftsbereichspezifische Personenkennzeichen (wbPK) verwenden. Entsprechend den Bestimmungen des § 12 (1) lit. 4 [E-GovG] darf jedoch die Berechnung dieses abgeleiteten Kennzeichens nicht durch den Auftraggeber des privaten Bereichs selbst vorgenommen werden.

Die Bürgerkarten-Umgebung stellt daher diese Berechnung implizit über einen parametrisierten Lesezugriff auf die Infobox der Personenbindung zur Verfügung: Wird die zur Ableitung des wbPK notwendige Bereichskennung als boxspezifischer Parameter in der Anfrage zum Auslesen der Personenbindung übergeben, liefert die Bürgerkarten-Umgebung eine modifizierte Personenbindung zurück: Die ursprünglich darin kodierte Stammzahl wird ersetzt durch das aus der Bereichskennung und der Stammzahl abgeleitete wbPK. Wird kein boxspezifischer Parmeter angegeben, liefert die Bürgerkarten-Umgebung die originale Personenbindung zurück.

Die Bereichskennung wird gegebenenfalls wie folgt als boxspezifischer Lese-Parameter angegeben: Im Container für boxspezifische Lese-Parameter (sl:BoxSpecificParameters) wird ein einziges Element sl:IdentityLinkDomainIdentifier übergeben. Dieses Element enthält als URI die Bereichskennung für die Bildung des aus der Stammzahl abgeleiteten wbPK. Für die genaue Spezifikation der Bereichskennung siehe [Stammzahl], Abschnitt "Ermittlung des Wirtschafts-bPK". Die formale Definition des Elements sl:IdentityLinkDomainIdentifier befindet sich im XML-Schema zur Applikationsschnittstelle Security-Layer.

Die Modifikation der Personenbindung ist gegebenenfalls wie folgt durch die Bürgerkarten-Umgebung vorzunehmen: Anstatt der Stammzahl wird in die Personendaten der Personenbindung (vergleiche [PersBin], Abschnitt 2.2.1.1) das aus Stammzahl und Bereichskennung abgeleitete wbPK eingesezt: Das Element pr:Type erhält als neuen Wert den Inhalt des übergebenen boxspezifischen Leseparameters sl:IdentityLinkDomainIdentifier, das Element pr:Value erhält als neuen Wert das nach [Stammzahl], Abschnitt "Ermittlung des Wirtschafts-bPK" gebildete wbPK in base64-kodierter Form.

Diese Infobox enthält Vollmachten des Bürgers. Eine Vollmacht ist die Delegation von Rechten des Vollmachtgebers an den/die Vollmachtnehmer. Vereinfacht dargestellt enthält die Vollmacht durch den Vollmachtgeber signierte Informationen über ihn, den Vollmachtnehmer sowie den Vollmachtszweck.

Aus den bereits im Abschnitt 3.2.3.1 dargelegten Gründen wird die Berechnung des wirtschaftsbereichspezifischen Personenkennzeichens (wbPK) auch im Rahmen eines Lesezugriffs auf Werte im Assoziativen Array Mandates (also auf Vollmachten) implizit zur Verfügung gestellt: Wird die zur Ableitung des wbPK notwendige Bereichskennung als boxspezifischer Parameter in der Anfrage zum Lesen von Schlüsseln und Werten bzw. zum Lesen des Werts zu einem Schlüssel (Abschnitt 7.1.2, „Assoziatives Array“ in Die österreichische Bürgerkarte - Applikationsschnittstelle Security-Layer) übergeben, liefert die Bürgerkarten-Umgebung die Vollmachten bzw. die Vollmacht in modifizierter Form zurück: Die ursprünglich darin kodierten Stammzahlen von Machthaber und Machtnehmer werden ersetzt durch die jeweils aus der Bereichskennung und der Stammzahl abgeleitete wbPK. Wird kein boxspezifischer Parmeter angegeben, liefert die Bürgerkarten-Umgebung die Vollmachten bzw. die Vollmacht unmodifiziert zurück.

Die Bereichskennung wird gegebenenfalls wie folgt als boxspezifischer Lese-Parameter angegeben: Im Container für boxspezifische Lese-Parameter (sl:BoxSpecificParameters) wird ein einziges Element sl:IdentityLinkDomainIdentifier übergeben. Dieses Element enthält als URI die Bereichskennung für die Bildung des aus der Stammzahl abgeleiteten wbPK. Für die genaue Spezifikation der Bereichskennung siehe [Stammzahl], Abschnitt "Ermittlung des Wirtschafts-bPK". Die formale Definition des Elements sl:IdentityLinkDomainIdentifier befindet sich im XML-Schema zur Applikationsschnittstelle Security-Layer.

[TBD]: Genaue Ausführungen über die exakte Modifikation der Vollmacht, Verweis auf das Spezifikationspapier zu den Vollmachten.

Glossar

Applikation

Jenes Programm, das Anfragen an die Bürgerkarten-Umgebung über den Security-Layer richtet und die entsprechenden Antworten entgegennimmt und auswertet.

Benutzer-Schnittstelle

Jene Schnittstelle, über die der Bürger mit der Bürgerkarten-Umgebung kommuniziert. Über diese Schnittstelle wird einerseits die Benutzerinteraktion abgewickelt, die gegebenenfalls zur Abwicklung eines Befehls des Security-Layers notwendig ist (z.B. die Anzeige eines zu signierenden Dokuments beim Befehl zur Erzeugung einer XML-Signatur); andererseits kann der Bürger über diese Schnittstelle seine Bürgerkarten-Umgebung nach seinen persönlichen Bedürfnissen konfigurieren (z.B. kann er Einstellungen zum Zugriffsschutz auf seine Infoboxen verändern). Die Vorgaben an die Benutzer-Schnittstelle sind in Minimale Umsetzung des Security-Layers geregelt.

Bürger

Jene Person, die die Funktionen der Bürgerkarten-Umgebung für die sichere Abwicklung von E-Government oder E-Commerce verwenden möchte. Die Ansteuerung der Bürgerkarten-Umgebung erfolgt in der Regel nicht durch den Bürger selbst, sondern durch die Applikation, welche die E-Government oder E-Commerce Anwendung repräsentiert.

Bürgerkarte

Laut [E-GovG], §10 ZI 10 ist die Bürgerkartedie unabhängig von der Umsetzung auf unterschiedlichen technischen Komponenten gebildete logische Einheit, die eine elektronische Signatur mit einer Personenbindung (§ 4 Abs. 2) und den zugehörigen Sicherheitsdaten und -funktionen sowie mit allenfalls vorhandenen Vollmachtsdaten verbindet“. Im Sinne der in den Spezifikationen zur österreichischen Bürgerkarte gebrauchten Terminologie ist die Bürgerkarten-Umgebung die Implementierung der logischen Einheit Bürgerkarte.

Bürgerkarten-Umgebung

Jenes Programm bzw. jener Dienst, der die Funktionalität der Bürgerkarte zur Verfügung stellt. Grundsätzlich vorstellbar ist die Ausführung als Programm, das lokal am Rechner des Bürgers läuft (lokale Bürgerkarten-Umgebung), oder als serverbasierter Dienst, der über das Internet angesprochen wird (serverbasierte Bürgerkarten-Umgebung). Die Interaktion mit diesem Programm bzw. Dienst wird über zwei Schnittstellen abgewickelt: Über die Benutzer-Schnittstelle sowie über den Security-Layer.

Hash-Eingangsdaten

Jene Daten, die für die Berechnung des Hash-Wertes für eine dsig:Reference verwendet werden. Sind für die dsig:Reference Transformationen angegeben, entsprechen diese Daten dem Ergebnis der letzten Transformation. Sind keine Transformationen spezifiziert, gleichen die Hash-Eingangsdaten den Referenz-Eingangsdaten.

Impliziter Transformationsparameter

Siehe Abschnitt 2.2.2.2, „Implizite Transformationsparameter“ in Die österreichische Bürgerkarte - Applikationsschnittstelle Security-Layer

Referenz-Eingangsdaten

Jene Daten, die sich aus der Auflösung der im Attribut URI der dsig:Reference angegebenen URI ergeben. Sind für die dsig:Reference Transformationen angegeben, werden diese Daten als Eingangsdaten zur Berechnung der ersten Transformation verwendet. Sind keine Transformationen spezifiziert, gleichen die Referenz-Eingangsdaten den Hash-Eingangsdaten.

Security-Layer

Jene Schnittstelle, über die die Applikation mit der Bürgerkarten-Umgebung kommuniziert. Das genaue Protokoll, das über diese Schnittstelle gesprochen werden kann, wird in Applikationsschnittstelle Security-Layer spezifiziert. Die möglichen Bindungen dieses Protokolls an Transportschichten wie HTTP oder TCP wird in Transportprotokolle Security-Layer geregelt.

Signaturmanifest

Siehe Abschnitt 2.2.2.2, „Implizite Transformationsparameter“ in Die österreichische Bürgerkarte - Applikationsschnittstelle Security-Layer .

[GIF] Graphics Interchange Format, Version 89a . CompuServe Incorporated, Juli 1990.

[HTTPS] E. Rescorla HTTP over TLS. IETF Request For Comment, Mai 2000

[PersBin] Hollosi, Arno und Karlinger, Gregor: XML-Definition der Personenbindung . Konvention zum E-Government Austria erarbeitet von der Stabsstelle IKT-Strategie des Bundes, Technik und Standards. Öffentlicher Entwurf, Version 1.2.2, 14. Februar 2005.

[PersonData] Naber, Larissa: PersonData Struktur - XML Spezifikation . Konvention zum E-Government Austria erarbeitet von der Arbeitsgruppe Kommunikationsarchitekturen. Öffentlicher Entwurf, Version 2.0.0, 14. Oktober 2004.

[Stammzahl] Hollosi, Arno und Hörbe, Rainer: Bildung von Stammzahl und bereichsspezifischem Personenkennzeichen (bPK) . Konvention zum E-Government Austria erarbeitet von der Stabsstelle IKT-Strategie des Bundes, Technik und Standards sowie vom Bundesminsterium für Inneres. Öffentlicher Entwurf, Version 1.0, 2. Februar 2004.

[TLS] T. Dierks und C. Allen: The TLS Protocol Version 1.0 . IETF Request For Comment, Januar 1999.

[Unicode] The Unicode Consortium. The Unicode Standard, Version 4.0.0 , defined by: The Unicode Standard, Version 4.0 (Boston, MA, Addison-Wesley, 2003. ISBN 0-321-18578-1).

[VerwEig] Hollosi, Arno: X.509 Zertifikatserweiterungen für die Verwaltung . Konvention zum E-Government Austria erarbeitet von der Stabsstelle IKT-Strategie des Bundes, Technik und Standards. Öffentlicher Entwurf, Version 1.0.3, 21. Februar 2005.

A. Historie

DatumVersionÄnderungen
01. 03. 20051.2.1
  • Erratum Erratum 25 in Die österreichische Bürgerkarte - Errata korrigiert.

14. 05. 20041.2.0
  • Erläuterungen zu den Keyboxen überarbeitet.

  • Spezifikation der boxspezifischen Parameter für die standardisierten Infoboxen eingefügt..

31.08.20021.1.0
  • Diverse editoriale Verbesserungen.