DIN EN 419212-1-2017 Application Interface for Secure Elements for Electronic Identification Authentication and Trusted Services - Part 1 Introduction and common definitions Englis.pdf

1、November 2017DEUTSCHE NORM Preisgruppe 25DIN Deutsches Institut fr Normung e. V. Jede Art der Vervielfltigung, auch auszugsweise, nur mit Genehmigung des DIN Deutsches Institut fr Normung e. V., Berlin, gestattet.ICS 35.240.15!%n%K“2750240www.din.deDIN EN 419212-1Anwendungsschnittstelle fr sichere E

2、lemente zur elektronischen Identifikation, Authentisierung und fr vertrauenswrdige Dienste Teil 1: Einfhrung und allgemeine Definitionen;Englische Fassung EN 419212-1:2017Application Interface for Secure Elements for Electronic Identification, Authentication and Trusted Services Part 1: Introduction

3、 and common definitions;English version EN 419212-1:2017Interface applicative des lments scuriss utiliss comme dispositifs de cration de signature lectronique qualifie (cachet) Partie 1: Introduction et dfinitions communes;Version anglaise EN 419212-1:2017Alleinverkauf der Normen durch Beuth Verlag

4、GmbH, 10772 BerlinMit DIN EN 419212-3:2017-11Ersatz frDIN EN 419212-1:2015-03 undDIN EN 419212-2:2015-03www.beuth.deGesamtumfang 73 SeitenDDIN-Normenausschuss Informationstechnik und Anwendungen (NIA)DIN EN 419212-1:2017-11 2 Nationales Vorwort Dieses Dokument (EN 419212-1:2017) wurde vom Technische

5、n Komitee CEN/TC 224 Persnliche Identifikation, elektronische Signatur, maschinenlesbare Karten sowie zugehrige Gerteschnittstellen und Verfahren“ erarbeitet, dessen Sekretariat von AFNOR (Frankreich) gehalten wird. Das zustndige deutsche Normungsgremium ist der Unterausschuss NA 043-01-17-04 UA Aus

6、tauschprotokolle bei Chipkarten“ im DIN-Normenausschuss Informationstechnik und Anwendungen (NIA). Dieses Dokument ersetzt DIN EN 419212-1:2015-03 und DIN EN 419212-2:2015-03. Diese Norm untersttzt Dienste im Zusammenhang mit elektronischer Identifikation, Authentifizierung und Vertrauensdiensten (e

7、IDAS), einschlielich Signaturen. DIN EN 419212-2 soll die Implementierung des europischen rechtlichen Rahmens fr elektronische Signaturen untersttzen, indem sie die funktions- und sicherheitsbezogenen Anforderungen an sichere Elemente (SE) (z. B. Chipkarten) zur Verwendung als qualifizierte elektron

8、ische Signaturerstellungseinheit (QSCD, en: Qualified electronic Signature Creation Device) entsprechend den Bedingungen der Europischen Verordnung ber elektronische Identifizierung und Vertrauensdienste fr elektronische Transaktionen im Binnenmarkt 2 definiert. Ein mit der Norm bereinstimmendes sic

9、heres Element (SE) wird in der Lage sein, eine qualifizierte elektronische Signatur“ zu erzeugen, die die Artikel der Verordnung zu elektronischen Signaturen erfllt und daher als zu handschriftlichen Signaturen 2 quivalent betrachtet werden kann. Die Normenreihe DIN EN 419212 besteht aus fnf Teilen:

10、 Teil 1: Einfhrung und allgemeine Definitionen“ beschreibt Geschichte, Anwendungszusammenhang, Marktperspektive und eine Anleitung fr das Grundverstndnis von elektronischen Signaturen. Sie bietet auerdem allgemeine Begriffe und Verweisungen, die fr die gesamte Reihe 419212 gltig sind. Teil 2: Signat

11、ur- und Siegeldienste“ beschreibt Festlegungen fr die Signaturerzeugung in bereinstimmung mit der eIDAS-Verordnung. Teil 3: Gerteauthentisierungsprotokolle“ beschreibt die Gerteauthentisierungsprotokolle und die dazugehrigen Schlsselverwaltungsdienste zur Einrichtung eines sicheren Kanals. Teil 4: D

12、atenschutzspezifische Protokolle“ beschreibt Funktionen und Dienste, um den Datenschutz bei Identifikationsdiensten zu gewhrleisten. Teil 5: Vertrauenswrdige elektronische Dienste“ beschreibt Dienste, die in Verbindung mit den in Teil 2 beschriebenen Signaturdiensten verwendet werden knnen. Das Prsi

13、dium von DIN hat mit seinem Beschluss 1/2004 festgelegt, dass von dem in den Regeln der europischen Normungsarbeit von CEN/CENELEC verankerten Grundsatz, wonach Europische Normen in den drei offiziellen Sprachen Deutsch, Englisch, Franzsisch verffentlicht werden, in begrndeten Ausnahmefllen abgewich

14、en und auf die deutsche Sprachfassung verzichtet werden kann. Daher wurden von dieser Norm nur die Begriffe bersetzt (siehe Nationaler Anhang NA). DIN EN 419212-1:2017-11 3 Fr die in diesem Dokument zitierten internationalen Dokumente wird im Folgenden auf die entsprechenden deutschen Dokumente hing

15、ewiesen: ISO 3166-1:2006 siehe DIN EN ISO 3166-1:2007-03 nderungen Gegenber DIN EN 419212-1:2015-03 und DIN EN 419212-2:2015-03 wurden folgende nderungen vorgenommen: a) Normenreihe wurde aufgrund der eIDAS-Verordnung umstrukturiert; b) Begriffe zu elektronischen Siegeln wurden aufgenommen; c) allge

16、meine Signaturdienste wurden in Teil 2 verschoben und um Siegeldienste ergnzt; d) Festlegungen zur Gerteauthentisierung wurden in Teil 3 verschoben. Frhere Ausgaben DIN EN 14890-1: 2009-03 DIN EN 14890-2: 2009-03 DIN EN 419212-1: 2015-03 DIN EN 419212-2: 2015-03 DIN EN 419212-1:2017-11 4 Nationaler

17、Anhang NA (informativ) Begriffe und Abkrzungen 3 Begriffe Fr die Anwendung der Teile 1 bis 5 dieser Normenreihe gelten die folgenden Begriffe. ANMERKUNG Diese Begriffe stimmen mit den Begriffen in der berarbeiteten Fassung von ISO/IEC 7816-4 berein. 3.1 fortgeschrittenes elektronisches Siegel elektr

18、onisches Siegel, das die folgenden Anforderungen erfllt: a) es ist eindeutig dem Siegelersteller zugeordnet; b) es ermglicht die Identifizierung des Siegelerstellers; c) es wird unter Verwendung von elektronischen Siegelerstellungsdaten erstellt, die der Siegelersteller mit einem hohen Ma an Vertrau

19、en unter seiner Kontrolle zum Erstellen elektronischer Siegel verwenden kann; und d) es ist so mit den Daten, auf die es sich bezieht, verbunden, dass eine nachtrgliche Vernderung der Daten erkannt werden kann 3.2 fortgeschrittene elektronische Signatur Daten in elektronischer Form, die anderen elek

20、tronischen Daten beigefgt oder logisch mit Ihnen verbunden werden, um den Ursprung und die Unversehrtheit der verbundenen Daten sicherzustellen. Elektronische Signatur, die die folgenden Anforderungen erfllt: a) sie ist eindeutig dem Unterzeichner zugeordnet; b) sie ermglicht die Identifizierung des

21、 Unterzeichners; c) sie wird unter Verwendung elektronischer Signaturerstellungsdaten erstellt, die der Unterzeichner mit einem hohen Ma an Vertrauen unter seiner alleinigen Kontrolle verwenden kann; d) sie ist so mit den Daten, auf die sie sich bezieht, verbunden, dass eine nachtrgliche Vernderung

22、der Daten erkannt werden kann 3.3 Anonymitt Zusicherung, dass ein Benutzer ein Betriebsmittel oder einen Dienst ohne Offenlegung seiner Benutzeridentitt nutzen kann 3.4 Anonymisierung Prozess, der die Zuordnung eines Kenndatensatzes zu einem Betroffenen lscht 3.5 anonymisierte Daten ehemals mit eine

23、r Person verknpfte Daten, die jetzt nicht mehr mit dieser Person in Verbindung gebracht werden knnen DIN EN 419212-1:2017-11 5 3.6 anonyme Daten Daten, die nicht mit einer bestimmten Person verknpft werden knnen 3.7 Answer-to-Reset-Datei Elementardatei, die die Betriebsmerkmale der Karte angibt 3.8

24、ohne Authentisierung vertrauenswrdig Betriebsumgebung, die ohne eine weitere Gerteauthentisierung der Definition nach vertrauenswrdig ist BEISPIEL Ein Beispiel dafr ist die Anwendung innerhalb eines Unternehmens, in dem jeder vorhandene Zugangspunkt mit einem vertrauenswrdigen Netzwerk verbunden ist

25、. 3.9 Authentisierung elektronischer Prozess, der die Besttigung der elektronischen Identifizierung einer natrlichen oder juristischen Person; oder die Besttigung des Ursprungs und der Unversehrtheit von elektronischen Daten ermglicht 3.10 Zertifikat fr elektronische Signaturen elektronische Beschei

26、nigung, die elektronische Signaturprfdaten mit einer natrlichen Person verknpft und die mindestens den Namen oder das Pseudonym dieser Person besttigt 3.11 Befehl-Antwort-Paar Satz zweier Nachrichten: ein Befehl gefolgt von einer Antwort 3.12 Vertraulichkeitsschutz Verhinderung der Offenlegung von I

27、nformationen fr unberechtigte Personen, Instanzen oder Systeme ISO 7498-2 3.13 Siegelersteller juristische Person, die ein elektronisches Siegel erstellt 3.14 Dateneinheit kleinster Satz von Bits, der eindeutig referenziert werden kann 3.15 Datenelement Information, die an der Schnittstelle sichtbar

28、 ist und fr die ein Name, eine Beschreibung des logischen Inhalts, ein Format und eine Kodierung definiert sind 3.16 Datenobjekt Information, die an der Schnittstelle sichtbar ist und die aus einem Tag, einer Lnge und einem Wert besteht (d. h. ein Datenelement) Anmerkung 1 zum Begriff: In dieser Spe

29、zifikation werden Datenobjekte als BER-TLV-Datenobjekte bezeichnet. Siehe ISO/IEC 7816-4. DIN EN 419212-1:2017-11 6 3.17 zugeordnete Datei Datei, die Dateisteuerungsinformationen und wahlweise Speicher zur Zuteilung enthlt. Sie kann Halter weiterer EF und/oder DF sein 3.18 Gerteauthentisierung berpr

30、fungsprozess der Anmeldeinformationen eines Gertes 3.19 DF-Name Byte-Strang, der eine zugeordnete Datei auf der Karte eindeutig kennzeichnet 3.20 digitale Signatur an eine Dateneinheit angefgte Daten oder eine kryptographische Transformation einer Dateneinheit, mit der ein Empfnger der Dateneinheit

31、die Mglichkeit der berprfung der Quelle und Integritt der Dateneinheit erhlt und die einen Schutz gegen Flschung z. B. durch den Empfnger bietet 3.21 elektronisches Siegel Daten in elektronischer Form, die anderen elektronischen Daten beigefgt oder logisch mit Ihnen verbunden werden, um den Ursprung

32、 und die Unversehrtheit der verbundenen Daten sicherzustellen 3.22 elektronische Siegelerstellungseinheit konfigurierte Software oder Hardware, die zum Erstellen eines elektronischen Siegels verwendet wird 3.23 elektronische Signatur Daten in elektronischer Form, die anderen elektronischen Daten bei

33、gefgt oder logisch mit Ihnen verbunden werden und vom Unterzeichner zum Signieren verwendet werden 3.24 elektronische Signaturerstellungseinheit konfigurierte Software oder Hardware, die zum Erstellen einer elektronischen Signatur verwendet wird 3.25 qualifiziertes elektronisches Siegel fortgeschrit

34、tenes elektronisches Siegel, das von einer qualifizierten elektronischen Siegelerstellungseinheit erstellt wird und auf einem qualifizierten Zertifikat fr elektronische Siegel beruht. Ein qualifiziertes Zertifikat ist in eIdasReg#1 spezifiziert 3.26 qualifizierte elektronische Siegelerstellungseinhe

35、it elektronische Siegelerstellungseinheit, die ein qualifiziertes elektronisches Siegel erstellt 3.27 qualifizierte elektronische Signaturerstellungseinheit elektronische Signaturerstellungseinheit, die folgende Anforderungen erfllt: 1) Sie muss durch geeignete Technik und Verfahren zumindest gewhrl

36、eisten, dass a) die Vertraulichkeit der zum Erstellen der elektronischen Signatur verwendeten elektronischen Signaturerstellungsdaten angemessen sichergestellt ist, b) die zum Erstellen der elektronischen Signatur verwendeten elektronischen Signaturerstellungs-daten praktisch nur einmal vorkommen kn

37、nen, c) die zum Erstellen der elektronischen Signatur verwendeten elektronischen Signaturerstellungs-daten mit hinreichender Sicherheit nicht abgeleitet werden knnen und die elektronische Signatur bei Verwendung der jeweils verfgbaren Technik verlsslich gegen Flschung geschtzt ist, DIN EN 419212-1:2

38、017-11 7 d) die zum Erstellen der elektronischen Signatur verwendeten elektronischen Signaturerstellungs-daten vom rechtmigen Unterzeichner gegen eine Verwendung durch andere verlsslich geschtzt werden knnen. 2) Qualifizierte elektronische Signaturerstellungseinheiten drfen die zu unterzeichnenden D

39、aten nicht verndern und nicht verhindern, dass dem Unterzeichner diese Daten vor dem Unterzeichnen angezeigt werden. 3) Das Erzeugen oder Verwalten von elektronischen Signaturerstellungsdaten im Namen des Unterzeichners darf nur von einem qualifizierten Vertrauensdiensteanbieter durchgefhrt werden.

40、4) Unbeschadet des Punktes 1), Buchstabe d), drfen qualifizierte Vertrauensdiensteanbieter, die elektronische Signaturerstellungsdaten im Namen des Unterzeichners verwalten, die elektronischen Signaturerstellungsdaten ausschlielich zu Sicherungszwecken kopieren, sofern folgende Anforderungen erfllt

41、sind: a) die kopierten Datenstze mssen das gleiche Sicherheitsniveau wie die Original-Datenstze aufweisen; b) es drfen nicht mehr kopierte Datenstze vorhanden sein als zur Gewhrleistung der Dienstleistungskontinuitt unbedingt ntig 3.28 Elementardatei Satz von Dateneinheiten oder Datenstzen, die dens

42、elben Identifikator aufweisen. Eine Elementardatei kann nicht Halter einer anderen Datei sein 3.29 Dateisteuerungsparameter logische, aufbaubezogene und sicherheitsbezogene Attribute einer Datei 3.30 Identifikator 2-Byte-Binrwert zur Adressierung einer Datei 3.31 Folgenlosigkeit Sicherheitseigenscha

43、ft eines Protokolls, die zusichert, dass die Offenlegung eines Langzeitschlssels es einem Angreifer nicht ermglicht, die Sicherheitseigenschaften fr die Ausfhrung des Protokolls, die in der Vergangenheit festgelegt wurden, zum Beispiel durch Neuberechnung frherer abgeleiteter Schlssel, zu gefhrden 3

44、.32 Identifizierung eindeutige Zuordnung eines Satzes beschreibender Parameter zu einer Person innerhalb eines gegebenen Zusammenhangs 3.33 Integrittsschutz Mechanismus zur Sicherstellung, dass Daten nicht unerkannt verndert werden knnen 3.34 Masterdatei obligatorische eindeutige zugeordnete Datei,

45、die die Wurzel der Dateistruktur darstellt DIN EN 419212-1:2017-11 8 3.35 Nachricht Byte-Strang, der vom Schnittstellengert zur Karte oder umgekehrt gesendet wird, ausgenommen bertragungsorientierte Zeichen nach ISO/IEC 7816-3 3.36 gegenseitige Authentisierung Authentisierung, bei der beide Beteilig

46、ten (ICC und IFD) gegenseitig authentisiert werden 3.37 Nichtbeweisbarkeit siehe nicht nachprfbare Authentisierung“ 3.38 bergeordnete Datei zugeordnete Datei, die einer bestimmten Datei in der Hierarchie unmittelbar vorangeht 3.39 Passwort Daten, die der Kartenbenutzer der Karte vorlegen muss, wenn

47、von der Anwendung gefordert und die, im Sinne dieser Spezifikation, ein Strang von Zahlen und/oder ASCII-Zeichen ist 3.40 Pfad Verkettung von Dateiidentifikatoren ohne Begrenzung. Wenn der Pfad mit dem Identifikator der Masterdatei beginnt, handelt es sich um einen absoluten Pfad 3.41 Schutz persone

48、nbezogener Daten Anspruch von Personen, Gruppen oder Organisationen, selbst zu bestimmen, wann, wie und in welchem Umfang Informationen ber sie anderen mitgeteilt werden ISO 7498-2 3.42 privater Schlssel Schlssel eines asymmetrischen Schlsselpaars einer Entitt, der nur von dieser Entitt benutzt werd

49、en sollte 3.43 Pseudonym Identifikator mit ausreichend Informationen, um einem Prfer das Herstellen einer eindeutigen Verbindung zu einer Entitt zu ermglichen Anmerkung 1 zum Begriff: Ein Pseudonym kann zur Verringerung von Datenschutzrisiken bei der Verwendung von Identifikatoren mit festen oder bekannten Werten eingesetzt werden. Anmerkung 2 zum Begriff: Ein Pseudonym kann ein Identifikat