PSW Group weist auf E-Mail-Verschlüsselungspflicht hin
Für Netzbetreiber der Strom- und Gasbranche: RSASSA-PSS ist Pflicht
Seit dem 1. Januar 2019 müssen alle neu ausgegebenen S/MIME-Zertifikate durch RSASSA-PSS signiert werden. Darauf machen die IT-Sicherheitsexperten der PSW Group (www.psw-group.de) in einer aktuellen Mitteilung aufmerksam und verweisen auf eine entsprechende Richtlinie des Bundesamts für Sicherheit in der Informationstechnik (BSI). Demnach sind Netzbetreiber in den Bereichen Strom und Gas verpflichtet, sämtliche E-Mails mit EDIFACT-Übertragungsdateien digital zu signieren und mit dem Signaturalgorithmus RSASSA-PSS zu verschlüsseln.
"Das bedeutet, dass eine versendete E-Mail mit dem RSASSA-PSS-Algorithmus signiert sein muss. Dies wird entweder in der Signatursoftware oder im E-Mail-Gateway eingestellt. Außerdem muss auch das Zertifikat selbst, das von einer Zertifizierungsstelle ausgestellt wird, mit dem Signaturalgorithmus RSASSA-PSS signiert sein", erklärt Christian Heutger, Geschäftsführer der PSW Group.
RSASSA-PSS ist ein verbessertes Signaturschema, das einen Anhang enthält. Es nutzt einen privaten RSA-Schlüssel, um die Daten zu signieren. Der Empfänger ist anschließend dazu in der Lage, mithilfe des öffentlichen RSA-Schlüssels diese Signatur zu überprüfen. Die Abkürzung "PSS" steht dabei für "Probabilistic Signature Scheme" – probabilistisches Signaturverfahren – und ist ein kryptographisches Padding-Verfahren.
Bereits im Oktober 2017 hatte der Bundesverband der Energie- und Wasserwirtschaft e. V. (BDEW) neue Regelungen zum Austausch von EDIFACT-Übertragungsdateien veröffentlicht. Betroffen ist vor allem der elektronische Datenaustausch per E-Mail zwischen verschiedenen Marktpartnern der deutschen Energiewirtschaft. Das EDIFACT-Dateiformat ermöglicht Unternehmen den schnellen Versand von Rechnungen oder Bestellungen aus dem ERP-Programm. Da diese EDIFACT-Dateien sensible und personenbezogene Daten enthalten, muss der Austausch dieser digital signiert und verschlüsselt erfolgen.
"Mit der Durchsetzung der neuen Regelung zum Versand von EDIFACT-Nachrichten wurde auch der verbesserte Signaturalgorithmus äußerst relevant. Denn die Bundesnetzagentur schreibt eine RSA-Schlüssellänge von mindestens 2.048 Bit vor. Als Hash-Funktion sind SHA-256 oder SHA-512 zu verwenden", erläutert Heutger.
Es gibt verschiedene RSASSA-PSS-Zertifikate, die von unterschiedlichen Zertifizierungsstellen (CAs) aus ganz Europa ausgestellt und beispielsweise über die PSW Group zu erwerben sind. Die französische Zertifizierungsstelle Atos beispielsweise stellt sogenannte Atos-EDI-Basic-Zertifikate mit einer Laufzeit von einem, zwei oder 3 Jahren aus. Sie entsprechen dem RSASSA-PSS-Standard nutzen den Signatur-Hash-Algorithmus SHA256.
"Mit proTECTr stellt auch eine deutsche CA RSASSA-PSS-Zertifikate aus. Wer ausschließlich personenbezogene E-Mail-Adressen absichern möchte, findet in den proTECTr-EDI-Standard-Zertifikaten das passende E-Mail-Zertifikat. Dabei besteht übrigens die Wahl zwischen dem Signatur-Hash-Algorithmus RSASSA-PSS oder SHA256/SHA512, jeweils mit einer Laufzeit zwischen ein und drei Jahren", so Heutger weiter.
Alternativ können Unternehmen auch zu proTECTr-EDI-Standard-Gateway-Zertifikaten greifen. Bei ihnen ist keine personenbezogene E-Mail-Adresse eingetragen, sondern lediglich eine abteilungs- oder unternehmensweite E-Mail-Adresse. Auch diese Zertifikate werden sowohl mit Signatur-Hash-Algorithmus RSASSA-PSS oder mit SHA256/SHA512, jeweils mit einer Laufzeit von ein, zwei oder drei Jahren, ausgestellt.
Zertifikate, die den RSASSA-PSS-Standard und den Signatur-Hash-Algorithmus SHA256 verwenden, stellt auch die Schweizer CA SwissSign aus - allerdings gebe es die SwissSign-EDI-Pro-Zertikate nur mit einer Laufzeit von einem Jahr. Vor der Installation sollten Anwender erst einmal in ihrem E-Mail-Client prüfen, welches E-Mail-Zertifikat sie nutzen.
"Dazu klicken Sie in Outlook "Trust Center", zu finden in der Registerkarte Datei, und dort unter Optionen", so Heutger. In den Einstellungen unter E-Mail-Sicherheit gibt es dafür das Untermenü Zertifikate und Algorithmen. Dort wählt man das gewünschte Zertifikat aus und lässt es sich per Klick anzeigen.
Weitere Informationen, auch zur Installation eines RSASSA-PSS-Zertifikats stehen unter: www.psw-group.de/blog/rsassa-pss-was-sie-ueber-den-signaturalgorithmus-wissen-muessen/6749 zur Verfügung.
Lesen Sie mehr zum Thema
