Kryptographie, Smartcards

Der Schutz sensibler Daten mittels kryptographischer Verfahren ist eine elementare Voraussetzung für den sicheren Betrieb von Systemen aller Art. Aktuelle Verschlüsselungsverfahren wie AES, ECC, 3DES oder auch RSA sind heute auf vielen Plattformen in Form von Bibliotheken und Hardwareerweiterungen verfügbar.

Kryptographische Anwendungen

Für die Implementierung sicherheitsrelevanter Systeme kommt es jedoch nicht alleine auf die Verfügbarkeit entsprechender Algorithmen an, sondern auch auf deren korrekte Anwendung. Fehler im Design entsprechender Systeme können dazu führen, dass Daten trotz des Einsatzes entsprechender Algorithmen nicht wirksam vor unberechtigtem Zugriff geschützt sind.

Dies gilt besonders im Bereich ressourcenbeschränkter Systeme, bei denen die Problemstellung darin besteht, solche Algorithmen mit möglichst geringem zeitlichen Aufwand anzuwenden. Zudem kommen entsprechende Anwendungen häufig auf Chipkarten z. B. mit Java Card Technologie zum Einsatz. Deren stark begrenzte Ressourcen sowohl in Bezug auf den verfügbaren Speicher als auch die Rechenleistung erfordern eine besondere Effizienz der Implementierung.

So muss eine Lösung trotz der Begrenzung des verfügbaren Speichers stets akzeptable Antwortzeiten bieten und dabei dennoch alle Anforderungen an die Sicherheit erfüllen. Ein gutes Beispiel sind hier Buchungsvorgänge im Nahverkehr, die innerhalb von Millisekunden durchgeführt werden müssen. Ein Bezahlvorgang, der sich über Sekunden erstreckt, würde vom Endkunden kaum toleriert und könnte sich gegen althergebrachte Bezahlverfahren wie Barzahlung oder Abonnements nicht durchsetzen.

Tests und Zertifizierung

Häufig existieren im Kontext einer Anwendung bereits umfangreiche und zugleich detaillierte Spezifikationen, die eingehalten werden müssen, um ein reibungsloses Zusammenspiel der einzelnen Komponenten eines Systems (Chipkarten, Terminals, Server etc.) zu gewährleisten. Zudem müssen die Endprodukte, bevor sie praktisch eingesetzt werden können, häufig Zertifizierungsverfahren durchlaufen.

Daher ist es unvermeidlich, die Qualität der Software auch durch automatische Tests sicherzustellen. Gerade bei Komponenten, die per Definition nach außen als Blackbox erscheinen sollen, können solche Tests auch eine erhebliche Herausforderung darstellen.

telos hat über viele Jahre Erfahrungen in diesem Umfeld sowohl in der Implementierung entsprechender Anwendungen als auch in der Planung, Vorbereitung und Durchführung entsprechender, meist automatischer Tests gesammelt und so Produkte entwickelt, die am Ende nach Prüfung und Zertifizierung durch anerkannte Stellen erfolgreich in den Markt eingeführt wurden.

HSM – Hardware Security Module

telos hat Erfahrung in der Verwendung von HSM – Hardware Security Modulen. Dies sind aufwendig geschützte Module, die autonom und von außen nicht einsehbar kryptografische Daten auf effiziente Art und Weise vorhalten und verarbeiten. Dabei werden streng vertrauliche Daten wie z.B. private Schlüssel oder PINs im Modul selbst gespeichert.

Dieses ist so konzipiert, dass diese Daten nicht von außen gelesen werden können. Stattdessen findet die Verarbeitung z.B. bei der Aushandlung einer verschlüsselten Verbindung oder einer Authentifizierung auf dem Modul selbst statt, so dass die Daten das Modul nicht verlassen.