Föderalistische eID

[Mannshoch]

Aus einer Diskussion um das Konzept der eID und dem Föderalismus ist folgende Idee zur Umsetzung entstanden

Die Föderalen Strukturen:

• Der Bund generiert alle 3 Monate ein Zertifikat das 7 Monate zum signieren genutzt werden darf
• Damit werden die Zertifikate der Kantone signiert
• Die Kantone signieren wiederum die Zertifikate der Gemeinden
• Nach dem erzeugen des Bundes Zertifikats werden automatisch:
  • alle Zertifikate der Kantone und Gemeinden erstellt
  • Diese werden in einem Hash-Chain verfahren gesichert
  • Nach einem Monat werden die neuen Zertifikate in den Gemeinden für die Signatur der neuen eIDs verwendet

Die Idee:

• Die Gemeinden können die Bürger beim erstellen einer eID persönlich kontrollieren
• Bei Fehlern oder Problemen auch von Zertifikaten sind vermutlich nur einzelne Gemeinden und zertifikate die in einem bestimmten Zeitraum erstellt wurden betroffen.
• Die grosszügigen übergangsfristen erlauben eine Manuelle Intervention wenn etwas schiefläuft, ohne das zertifikate ohne Ersatz auslaufen.
• Wenn Einwohner aus welchen Gründen auch immer Probleme mit ihrer ID haben sollen sie alle Probleme auf der Gemeinde lösen können.

Die IT Systeme:

• Eine Jede Gemeinde Erhält ein Gerät vom Bund.
• Das Gerät hat ein Basis-System, das ein VPN zur Bundes IT aufbaut.
• Darüber wird ein VM Image heruntergeladen das das Zertifikatssystem beinhaltet.
• Das Zertifikats-betriebssystem stellt durch das Bundes VPN ein zusätzliches VPN zum Jeweiligen Kanton her.
• Der Kanton Zertifiziert die Gemeindemitarbeiter welche die eID erstellen können
• Das VPN zum Kanton wird durch die Zertifizierung der Mitarbeiter erstellt

Die Idee:

• Das erste VPN erlaubt es der IT die Systeme zu warten und den Zugriff zu kontrollieren.
• Das zweite System bietet eine Trennung an und nutzt auch die Möglichkeit des ersten VPNs um nicht auch durch das ungefilterte Internet zu müssen.
• Da das System komplett isoliert ist und selbst keinen Internetzugang anbietet, ist eine jede Datenübertragung klar identifizierbar und kann helfen ungewöhnliches zu erkennen und nach Möglichkeit gleich zu verhindern.
• Eine Jede eID kann im Notfall auch zum Zertifizierten Mitarbeiter zurückgeführt werden.

Disclaimer:

• Zwar wichtig, aber der Idee fehlen noch Konzepte für Notfälle wie Identitätsdiebstahl, Verlorene oder Zerstörte Geräte.
• Ich bin kein VPN und kein Zertifizierungsexperte. Ich habe ein breites Wissen, aber keine tiefen spezial Kenntnisse.
• Die Idee klingt fertig ausgestaltet, da ich aber nicht genug Experte bin, möchte ich die Idee vor allem als Konzept in den Raum stellen.
• Ich bin ein Fan von föderalen Strukturen.

[grt-dti]

wenn du das in klassischer PKI-Struktur so umsetzt, laufen alle E-ID's alle 7 Monate ab -- ich denke, das ist nicht im Sinne des Erfinders
Dazu kommt, dass die klassische X509 Struktur kein selective Disclosure erlaubt -- ja, ich weiss, es gibt Techniken, auf X509 auch selective disclosure zu implementieren, aber das ist nicht mehr "klassisch"; das kann ich als Softwareangebot nicht am Markt "kaufen"
und last but not least: klassische PKI-Lösungen auf X509 tun sich sehr schwer mit den Ambitionsniveaus 2 und 3 aus dem Bundesrats- und Projektentscheid zugunsten eines "Vertrauensökosystems" und einer "Vertrauensinfrastruktur mit vielen verschiedenen Nachweisen"

Nun kann man problemlos argumentieren: weichen wir halt von der "Klassik" ab, aber dann verlassen wir halt auch wieder die ausgetretenen Pfade und "basteln" etwas neues -- dann kann man auch gleich auf verteilte / dezentrale Identitäten mit verteilten Vertrauensankern und einer anderen Payload-Struktur setzen. Dann "opfern" wir in aller Regel die Hardwareunterstützung, denn Smartcards oder TPM's gibt's defakto heute nur für die "klassischen Lösungsmuster".

Und um dem föderalen Gedanken wieder Unterstützung angedenken zu lassen: auch in zentralisierten Strukturen lassen sich föderale Ideen umsetzen -- dafür braucht es keine klassische X509 PKI....

[Mannshoch]

Vermutlich muss ich den initialen Text anpassen.

✏️ habe ich nun angepasst ✏️

Die Idee war lediglich, dass mit den ausgestellten Zertifikate nur 7monate lang eIDs ausgestellt werden dürfen. Nicht, dass die eIDs dann ungültig würden.
Die Idee mit den kontinuierlich neu ausgestellten Zertifikaten ist:

1. Wenn alle eIDs eines Zertifikatstammes zurückgezogen wurden, kann man das ganze jeweils übergeordnete Zertifikat zurückrufen. Das kann die Liste zurückgezogener Zertifikate kürzer halten. Ich glaube gelesen zu haben, das solche listen schon an verschiedenen Orten Probleme gemacht haben.
2. Gegebenenfalls korrumpierte Zertifikate betreffen nur eine überschaubare Anzahl eID Nutzer.

Beim Gedankenspiel hat sich mir aber gerade die Frage gestellt, ob es eine Lösung gibt um die Information welche Gemeinde ein Zertifikat ausgestellt hat und welcher Gemeindemitarbeiter nur für berechtigte zur Verfügung zu stellen.