SuisseID: Wo bleibt das SECO?

03.09.2010 | 6 Kommentare

Da mich Claudia Roy dazu aufforderte habe ich nun meine Kritik an der SuisseID in die Diskussionen der Amazee-Gruppe eingebracht. Doch wo bleibt nun die versprochene Konversation mit angeregten Pro/Contras, wie sie uns Frau Roy so schön ausformuliert anbot? Bisher gab es auf meine drei Diskussionsbeiträge genau vier Antworten – im Unterschied zu meinem angeblich nicht öffentlichen Blog wo bisher rund 20 Antworten folgten. Vom SECO kam seit meinen Amazee-Beiträgen keine Stellungsnahme und keine Reaktion. War das Interview mit Christian Weber die angekündigte Diskussion ohne Schönmalerei? Ich hoffe es nicht!

Erfreulich ist hingegen Michaels Zusammenfassung seiner Recherchen um die SuisseID. Er hat sie als Kommentar in meinem Blog gepostet. Danke Michael für die super Zusammenstellung mit Quellenangaben! Hier noch einmal in voller Länge:

Bis in vier Monaten soll es ja gem. SECO 300’000 (!) SuisseID-Besitzer geben (http://bit.ly/dqiHDz). Damit meine eigenen Erkenntnisse zur Un-Sicherheit der SuisseID der Nachwelt erhalten bleiben (mit Nachwelt meine ich die vielen tausenden SuisseID-Besitzer welche dieses Blog noch lesen werden) habe in meine zwei Hauptkritikpunkte „kurz“ zusammengefasst:

1. SuisseID wurde ohne Zusammenarbeit mit der Wirtschaft entwickelt d.h. vorallen ohne Zusammenarbeit mit unseren beiden Grossbanken – tatsächlich wurden diese vom Bund nicht einmal angefragt. UBS / CS haben fast 15 Jahre Erfahrung auf dem Gebiet PKI / Smartcard, Millionen von Benutzern und das Wichtigste: grundsätzlich Interesse an Zusammenarbeit. Die Folge ist nun, dass wir mit der SuisseID eine teure Insellösung haben welche die beiden Banken aufgrund der Sicherheitsmängel nicht einsetzen werden. UBS hat bereits reagiert und verteilt Ihren Kunden eine eigene, günstigere und zugleich sicherere Lösung: http://bit.ly/cwvOBi. Die vom SECO immer wieder betonte Zusammenarbeit mit den SuisseID Anbietern (Post / QuaVadis etc.) ist von mir aus gesehen eine Farce. Diese Unternehmen sind in erster Linie daran interessiert, möglichst viele SuisseID’s mit einer möglichst hohen Gewinnmarge zu verkaufen. Dies im Gegensatz zu den Banken welche aus Eigeninteressen an der Sicherheit sehr stark interessiert sind.

2. Auch Deutschland beschäftigt sich seit Jahren mit einer entsprechenden Lösung für seine Bürger. Leider wurde auch hier offenbar nicht miteinander gesprochen: die deutsche Lösung ist mit unserer grösstenteils inkompatibel. Die „Eckdaten“ vom elektronischen Personalausweise (ePA) sind aus Schweizer Sicht aber interessant:

Kosten DE: Der elektronischen Personalausweise (ePA) kostet 29 Euro und ist 10 Jahre gültig. Der benötigte Kartenleser kostet einmalige 35 Euro zusätzlich.
Kosten CH: SuisseID kostet alle 3 Jahre ca. CHF 160.–. ID muss separat gekauft werden

Sicherheit DE: Beim ePA erfolgt die Authentisierung (Login) bei Anwendungen mit einem Klasse 1 Leser, für Qualifizierte Elektronische Signatur (QES) wird ein Klasse 4 Leser eingesetzt. Das BSI (siehe Link unten) begründet dies wie folgt:

„Über die Terminalauthentisierung [PIN-Eingabe auf dem Lesegerät -> “Terminal“] weist sich der Leser als bestätigtes Signaturterminal aus. Über diesen Mechanismus kann der Ausweis den Einsatz in einer für die QES geeigneten Umgebung zumindest zum Teil überprüfen, somit wird das Sicherheitsniveau der QES-Erzeugung deutlich angehoben.“
Sicherheit CH: SuisseID verwendet für Alles einen Klasse 1 Reader (=niedrigste Sicherheitsstufe), also auch für QES

Zwar haben unsere lieben Nachbarn noch gar nicht damit begonnen ihren ePA an die Bürger zu verteilen (erst ab November), schon jetzt steht aber auch dieser in heftiger Kritik weil für die Authentisierung nur ein Klasse 1 Reader verwendet wird. Zur Erinnerung: Bei der SuisseID wird sogar für die Qualifizierte Elektronische Signatur (QES) ein Klasse 1 Reader eingesetzt. In Deutschland wäre die SuisseID damit gem. den Richtlinien des „Bundesamt für Sicherheit in der Informationstechnik“ (BSI) offiziell nicht zugelassen http://bit.ly/brKCPM [PDF-Datei].

Links auf die entsprechenden Heise Artikel: http://bit.ly/aCUEMU und http://bit.ly/4Oj1pF

Zum Schluss möchte ich noch auf einen Beitrag verweisen, welcher von der ARD diese Woche ausgestrahlt wurde mit dem Titel: „Der neue Personalausweis: Höhere Gebühr – weniger Sicherheit“. Die darin geäusserte Kritik zur Sicherheit gilt 1:1 auch für die SuisseID:

Youtube: http://bit.ly/be6aFV
Direkt Link ARD: http://bit.ly/cjvSX5

Verwandte Beiträge:

1. SuisseID: Sicherheit ist für das SECO zu teuer
2. SuisseID: Der verlorene Newsletter
3. Unglaublich! SuisseID von jedem für jeden?

Da mich Claudia Roy dazu aufforderte habe ich nun meine Kritik an der SuisseID in die Diskussionen der Amazee-Gruppe eingebracht. Doch wo bleibt nun die versprochene Konversation mit angeregten Pro/Contras, wie sie uns Frau Roy so schön ausformuliert anbot? Bisher gab es auf meine drei Diskussionsbeiträge genau vier Antworten - im Unterschied zu meinem ...

Kommentare