Mit der Unicard gegen die NSA

Die Unicard der TU Dortmund ist nicht nur ein Stück Kunststoff, mit dem man Bücher ausleihen kann. Sie enthält neue Funktionen für Personaldatenschutz und Datensicherung. Damit können die Studierenden es NSA und Co. zumindest erschweren, ihre Mail-Kommunikation auszuspionieren. Die pflichtlektüre erklärt, wie das geht.

Zeichnungen: Pierre Pauma

In der Science Fiction dient der allwissende Personalausweis als gern genommenes Thema. Ein bekanntes Beispiel dafür ist die „Multicard“ im Film ‪“Das fünfte Element‬“ von Luc Besson. Doch die Zukunft ist schon da: Ohne es zu wissen, besitzen Studierende und Lehrende der TU Dortmund ein hoch technisiertes Gerät, das viele Funktionen enthält: die Unicard.

Viele Studierende kennen schon die Geldkarte-Funktion mit oder ohne Kontakt. Dank des Chips in der Unicard können sie Bücher in der Bibliothek ausleihen, sogar Schließfächer lassen sich so benutzen. Die Karte bietet aber noch andere Möglichkeiten, deren Nutzung das ITMC fördern möchte: Diese Funktionen setzen Kryptographie- und Sicherungstechniken ein.

Die Unicard enthält drei elektronische Zertifikate, die je zwei „Schlüssel“ enthalten. Die Schlüssel basieren auf einer 2048-Bit-Zahl. Diese Sicherungsmethode heißt RSA-Kryptosystem.

Die Zertifikate werden vom Deutschen Forschungsnetz zertifiziert. So erzeugt sich eine so genannte „chain of trust“, die die Identität des Nutzers erkennt:

hierarchie

An oberster Stelle dieser „Vertrauenskette“ steht das Bundesamt für Sicherheit in der Informationstechnik (BSI), also die Regierung. Dieser sollte man in einer demokratischen Gesellschaft vertrauen – auch nach dem NSA-Skandal.

Die Unicard bietet vor allem diese vier Möglichkeiten: Die Authentifizierung auf der zentralen Anmeldeseite der TU, die Signatur von E-Mails, die Verschlüsselung von E-Mails und die Verschlüsselung von Daten.

Um diese Möglichkeiten vollständig auszuschöpfen, braucht man einen Kartenleser, einige Treiber, die auf der Internetseite des ITMC zur Verfügung stehen, und eine E-Mail-Software – zum Beispiel Outlook oder Thunderbird.

Mit dem Kartenleser wird es möglich, die drei Zertifikate der Unicard zu sehen:

contenu_carte_final

Wichtig ist, dass die Karte im Lesegerät bleibt und der Nutzer seine PIN-Nummer verwendet. Diese steht auf dem Formular, das man beim Erhalt der Karte bekommen hat.

Was bringt mir die Nutzung der Unicard?

Im zentralen Service-Portal der TU Dortmund verfügt jeder Studierende über eine personalisierte Seite, die alle von der Universität angebotenen Dienste bündelt. Das sind z.B. LSF, BOSS, EWS und Moodle. Über das zentrale Service-Portal ist es etwa möglich, das Unibib-Konto zu verwalten oder ein neues NRW-Ticket zu erzeugen; darüber hinaus gibt es noch andere Dienste. Die Bündelung aller Dienste in einem Account ist besonders praktisch.

Als E-Mail-Programme bieten sich auf Windows-Rechnern etwa Outlook oder Thunderbird an. Mac-Usern wird empfohlen Outlook zu nutzen.

Folgende Nutzungen sind mit der Unicard der TU Dortmund möglich:

1. Authentifizierung auf der zentralen Anmeldeseite der TU

Bei der Einschreibung bekommen die Studierenden einen Uni-Account und ein Passwort, damit sie das Service-Portal benutzen können. Alternativ kann man sich auch mit der Unicard, einem Kartenleser und der PIN einlochen. Den Anmeldevorgang nennt die Universität „Single Sign On/Off“ (SSO).

Das zentrale Service-Portal der TU DortmundDas zentrale Service-Portal der TU Dortmund. Screenshot: https://service.tu-dortmund.de/

LSF und Moodle sind über das Portal direkt zugänglich. Für manche Dienste werden noch der Account und das Passwort benötigt. Das ITMC plant, den SSO-Vorgang zu erweitern und weitere Dienste frei zu schalten.

Schon jetzt kann man so etwa von zu Hause oder unterwegs seine Unicard mit Geld aufladen.

2. Authentifizierung und Signatur von E-Mails

In bestimmten Situationen – etwa bei der Abgabe von Abschlussarbeiten – kann es wichtig sein, dass man seine Identität eindeutig nachweisen kann. Zu diesem Zweck kann man seine E-Mails mit der Unicard beglaubigen lassen.

signatur_fin_fin

Das funktioniert so: Der Beglaubigungsvorgang verwendet ein Zertifikat mit zwei Schlüsseln. Der eine ist öffentlich, der andere ist privat.

Eine Kopie des Mail-Inhalts wird zu einer bestimmter Serie von Zahlen und Buchstaben – dem Hashwert –  transformiert. Die E-Mail-Software des Senders benutzt diesen Hashwert und den privaten Schlüssel des Senders, um die Signatur der E-Mail herzustellen. Der Text und die Signatur werden mitgesendet.

Die E-Mail-Software des Empfängers benutzt den öffentlichen Schlüssel des Senders, um aus der Signatur den originalen Hashwert zu erschaffen. Die Software stellt auch einen Hashwert aus dem Text der E-Mail her.

Sind die zwei Hashwerte identisch, bestätigt die E-Mail-Software die Identität des Senders und die Konformität des erhaltenen Textes.

Das zentrale Service-Portal der TU DortmundEine signierte E-Mail

 

3. Authentifizierung und Signatur von E-Mails

Enthält eine Mail zum Beispiel sensible Informationen, lässt sich diese mit der Unicard verschlüsseln. Auch dieser Vorgang setzt auf ein Schlüsselpaar.

mail_fin

Zunächst müssen der Sender und der Empfänger ihre öffentlichen Schlüssel austauschen. Dafür können sie einander einfach signierte E-Mails schicken.

Die E-Mail-Software des Senders verschlüsselt die Nachricht mit dem öffentlichen Schlüssel des Empfängers und versendet sie. Der Betreff bleibt aber lesbar. Beim Empfänger entschlüsselt die Software dank seines privaten Schlüssels die E-Mail. Dafür muss er seine PIN-Nummer eingeben.

Das zentrale Service-Portal der TU DortmundMit der PIN-Nummer entschlüsselt man die E-Mail.

4.Verschlüsselung von Daten (nicht möglich mit einem Mac)

Nicht nur die Verschlüsselung der E-Mails kann wichtig sein, sondern auch die von Daten, die im eigenen Computer bleiben. Zu diesem Zweck verfügt Windows über ein „Encrypting File System“ (EFS). Für jede Datei kann der Nutzer des PC per Mausklick eine Verschlüsselungsoption wählen.

Die Datei wird mittels des öffentlichen Schlüssels verschlüsselt und mittels des privaten Schlüssels entschlüsselt.

Kritik

In der Welt der freien und quellofenen – „open source“ – Software stellen Programmentwickler zunehmend die „chain of trust“ in Frage. Ihrer Meinung nach ist sie zu zentralisiert. Manche bezweifeln auch die Rechtschaffenheit der Behörden.

Es existiert ein alternativer Prozess: der „ring of trust“. Das Projekt GnuPG – Gnu Privacy Guard – entwickelt freie und quellofene Treiber, die man in Windows, Linux und OSX installieren kann. Ihre Funktionsweise ist ähnlich den oben erklärten Vorgängen. Die Nutzer erkennen aber in diesem Fall ihre Zertifikate untereinander an – das Vertrauen erzeugt sich aus der ganzen Gemeinschaft.

Darüber hinaus stellt sich die gefährliche Herausforderung bei der „Multicard“ der Zukunft: Was passiert, wenn man sie verliert oder wenn sie nicht mehr gültig ist? Die Antwort in der Science Fiction ist beängstigend: Die organisierte Gesellschaft verstößt die Person und auf dem Papier hört sie auf, zu existieren.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.