-
Die
Erfindung bezieht sich auf die Infrastrukturen zur Verwaltung von
Schlüsseln
für EDV-Systeme
in offenem Netz. Genauer bezieht sich die Erfindung auf ein Verfahren
zur Zertifikatvergabe sowie auf ein System, das die Vergabe eines
Zertifikats gemäß dem Verfahren
erlaubt.
-
In
der vorliegenden Erfindung muss, was als Zertifikat bezeichnet wird,
als das Zertifikat verstanden werden, das es ermöglicht, einen kryptographischen
Schlüssel
zu validieren, der in einem offenen EDV-Netz verwendet wird. Zum
Beispiel ist ein Standard, der für
gewöhnlich
allgemein im Internet für
die Strukturen zur Verwaltung eines öffentlichen Schlüssels, eines
Zertifikats und einer Zertifikat-Widerruf-Liste verwendet wird,
unter dem Namen X.509 und insbesondere X.509v3 bekannt, der in der RFC3280
(Request For Comment n° 3280)
definiert ist, die von der IETF (Internet Engineering Task Force)
veröffentlich
wurde. Das Zertifikat ist ein Objekt, das unter anderen einen zu
zertifizierenden öffentlichen
Schlüssel,
die Identität
seines Besitzers, eine Gültigkeitsperiode,
eine Liste der Nutzungsrechte des Schlüssels und eine kryptographische
Signatur dieser Daten aufweist, die mit Hilfe des öffentlichen
Schlüssels
einer Zertifizierungsinstanz hergestellt werden, die das Zertifikat
ausgibt.
-
Infrastruktur
mit öffentlichem
Schlüssel, nachfolgend
PKI (aus dem Englischen Public Key Infrastructure), wird für gewöhnlich eine
Verwaltungsplattform der Zertifikate genannt. Die PKI hat nicht nur
die Aufgabe, die Zertifikate zu erzeugen, sondern auch ihre Gültigkeit
zu verwalten, d. h. ihren Widerruf und ihre Erneuerung. 1 zeigt
ein Beispiel einer PKI gemäß dem Stand
der Technik. Die PKI enthält hauptsächlich eine
Zertifizierungsinstanz (AC), realisiert durch einen Zertifikatserver 1,
und eine Registrierungsinstanz (RA), realisiert durch einen Registrierungsserver 2.
Der Zertifikatserver 1 und der Registrierungsserver 2 sind
zum Beispiel miteinander über das
Internet verbunden und kommunizieren auf gesicherte Weise.
-
Die
Zertifizierungsinstanz ist ein Organismus, der als kompetent und
vertrauenswürdig
anerkannt ist, um Zertifikate zu liefern und zu verwalten, sowie
um ihre Gültigkeit
zu gewährleisten.
Bei der Ausgabe eines Zertifikats berechnet die Zertifizierungsinstanz
einen öffentlichen
Schlüssel
und einen privaten Schlüssel,
um ihn an einen Antragsteller zu vergeben. Der private Schlüssel wird
anschließend mit
dem Zertifikat an den Antragsteller geliefert, damit dieser ihn
als Mitteilungs-Signaturschlüssel
oder als Zugangsschlüssel
zu gesicherten WEB-Diensten oder für andere Anwendungen verwenden
kann, die einen gesicherten Zugang erfordern. Bei einer Nutzung
des privaten Schlüssels
wird die Zertifizierungsinstanz bemüht, um die Gültigkeit
dieses Schlüssels und
der verschiedenen das Zertifikat betreffenden Daten zu überprüfen, insbesondere
seine Gültigkeit und
Aktivierung oder sein Widerruf.
-
Die
Registrierungsinstanz dient dazu, einen Zertifikatantrag bei der
Zertifizierungsinstanz für
einen Zertifikatantragsteller zu erstellen. Die Registrierungsinstanz
muss einen vollständigen
Zertifikatantrag erstellen, in dem verschiedene Informationen in Abhängigkeit
vom beantragten Zertifikat gesendet werden. Für die Zertifikate, die ein
hohes Sicherheitsniveau erfordern, hat die Registrierungsinstanz
die Aufgabe, die vom Antragsteller gelieferten Informationen betreffend
seine Identität
zu überprüfen und
zu prüfen,
ob dieser berechtigt ist, ein solches Zertifikat zu beantragen,
das die im Zertifikat beantragte Attributliste enthält.
-
Wenn
derzeit ein Antragsteller 3 ein Zertifikat beim Registrierungsserver 2 über ein
Endgerät 4 anfordert,
das ebenfalls mit dem Internet verbunden ist, kann die Registrierungsinstanz
von ihm fordern, sich entweder von der Stelle zu bewegen, damit
sie mit eigenen Augen bestimmte Informationen prüft, oder mittels klassischer
Post Legitimationspapiere seiner Identität zu senden. Diese relativ
zuverlässige
Methode hat aber einige Nachteile:
- – das Senden
einer Zertifikatantrag-Anforderung durch die Registrierungsinstanz
an die Überwachungsinstanz
unterliegt der Überprüfung der Identität der Person;
dies kann eine Frist bei der Ausgabe erfordern, wenn die antragstellende
Person sich von der Stelle bewegen oder Belege senden muss, um ihre
Identität
zu beweisen;
- – ein
Antragsteller, der mehrere Zertifikate erhalten möchte, die
verschiedenen PKI entsprechen, muss seine Registrierung bei verschiedenen
Registrierungsinstanzen durchführen
und systematisch die Operationen wiederholen, die zum Ziel haben,
seine Identität
zu beweisen, obwohl diese sich nicht geändert hat;
- – die Überprüfungen der
Identität
der das Zertifikat beantragenden Person müssen notwendigerweise über einen
Operator erfolgen und ermöglichen
es einer Registrierungsinstanz nicht, sich mit einem einfachen Server
zufrieden zu geben, der die Daten zentralisiert.
-
Die
Erfindung hat zum Ziel, die oben erwähnten Nachteile zu beseitigen.
Erfindungsgemäß wird eine
Vorab-Registrierung der Identität
der antragstellenden Person von einer Drittinstanz durchgeführt, damit
die Registrierungsinstanz zertifizierte Informationen über die
Identität
des Antragstellers erhalten kann. Wenn so ein Antragsteller ein
Zertifikat bei dem Registrierungsserver anfordert, prüft der Registrierungsserver
Informationen bei einem Identitätsserver,
dem vorher die Identität
des Antragstellers mitgeteilt wurde. Mit Hilfe der Verwendung einer
Kennung, die es ermöglicht,
zertifizierte Identitätsinformationen bei
einem Identitätsserver
zu erhalten, kann der Registrierungsserver die Anforderung schneller
durchführen,
indem er die Identität überprüft und ggf.
beim Identitätsserver
die erforderlichen Informationen über die Identität in zertifizierter
Weise vervollständigt,
um ein neues Zertifikat zu erhalten. Ein Antragsteller muss sich
nur einmal bei einer Identitätsverwaltungsinstanz
registrieren, um seine Identität
bei mehreren Registrierungsservern zu erzeugen. Ebenfalls muss die
Registrierungsinstanz nicht mehr systematisch Identitätsinformationen überprüfen, die
ein für
allemal von der Identitätsverwaltungsinstanz überprüft wurden.
-
So
ist die Erfindung ein Verfahren zur Vergabe eines elektronischen
Zertifikats in einer in einem Netz verteilten Zertifikatvergabe-Infrastruktur,
wobei die Infrastruktur mindestens einen Zertifikatserver, einen
Identitätsserver
und einen Registrierungsserver umfasst, die mit dem Netz verbunden
sind. Vor einer Anforderung eines Zertifikatantrags werden Informationen
bezüglich
der Identität
eines Zertifikatantragstellers in dem Identitätsserver gespeichert, wobei die
Identitätsinformationen über eine
Kennung zugänglich
sind. Ein Antragsteller fordert ein Zertifikat beim Registrierungsserver
an. Die Kennung wird an den Identitätsserver gesendet. Nach Überprüfung der
Kennung sendet der Identitätsserver
die vorher registrierte Identität
des Antragstellers, wobei die Identität an den Registrierungsserver
geliefert wird. Nach Empfang der Identität sendet der Registrierungsserver
eine Zertifikatanforderung, die die Identität des Antragstellers enthält, an den
Zertifikatserver. Der Zertifikatserver sendet das Zertifikat an
den Antragsteller.
-
Vorzugsweise
verlangt der Registrierungsserver vom Antragsteller seine Kennung,
um sie an den Identitätsserver
zu senden. Nach Überprüfung der
Kennung sendet der Identitätsserver
die vorher registrierte Identität
des Antragstellers an den Registrierungsserver (20). Der
Zertifikatserver sendet das Zertifikat an den Registrierungsserver.
Der Registrierungsserver liefert das Zertifikat an den Antragsteller.
-
Gemäß verschiedenen
Ausführungsformen kann
die Kennung eine anonyme Kennung sein. Die Kennung kann selbst ein
Zertifikat sein. Die Kennung kann von einem Überprüfungsmittel begleitet werden.
Das Überprüfungsmittel
kann vom Antragsteller an den Registrierungsserver geliefert werden,
der es an den Identitätsserver
liefert, und der Identitätsserver
sendet die Identität
an den Registrierungsserver nur dann zurück, wenn das Überprüfungsmittel
die Kennung validiert. Das Überprüfungsmittel
kann ein Zertifikat sein, das vom Registrierungsserver überprüft wird.
-
Gemäß einer
Variante sind mehrere Identitätsserver
mit dem Netz verbunden, wobei jeder Server komplementäre Identitätsinformationen
aufweist, die vor einer Zertifikatantrag-Anforderung registriert wurden,
wobei die Identitätsinformationen über eine Kennung
zugänglich
sind, die jedem Identitätsserver eigen
ist. Der Registrierungsserver sammelt die Identitätsinformationen
der verschiedenen Identitätsserver,
um eine komplette Identität
wiederherzustellen, ehe er sie an den Zertifikatserver sendet.
-
Die
Erfindung ist auch ein Computerprogrammprodukt, das Anweisungen
enthält,
um das Verfahren bei einer Ausführung
durch Verarbeitungsmittel anzuwenden, die das Verfahren anwenden.
-
Die
Erfindung bezieht sich ebenfalls auf einen computerlesbaren Aufzeichnungsträger, der
ein Computerprogramm aufweist, das das Verfahren anwendet, wenn
das Programm von Verarbeitungsmitteln ausgeführt wird, die das Verfahren
anwenden.
-
Gemäß einem
anderen Aspekt ist die Erfindung eine Zertifikatvergabe-Infrastruktur
auf einem Informatiknetz. Die Infrastruktur weist mindestens einen
Authentifizierungs-Zertifikatserver, der mit dem Netz verbunden
und fähig
ist, ein elektronisches Zertifikat für einen Antragsteller für eine gegebene
Dauer und für
ein definiertes Objekt zu liefern, wobei das Zertifikat nach dem
Empfang einer Identität
eines Antragstellers geliefert wird; einen mit dem Netz verbundenen
Identitätsserver,
wobei der Identitätsserver
Informationen bezüglich
der Identität
eines Zertifikatantragstellers enthält, wobei der Identitätsserver
fähig ist,
nach Empfang einer Kennung die vorher registrierte Identität des Antragstellers
zu liefern; einen Registrierungsserver auf, der mit dem Netz verbunden und
fähig ist,
nach einer Zertifikat-Anforderung
eines Antragstellers die Identitätsinformationen
bezüglich des
Antragstellers beim Identitätsserver
anzufordern, dann eine Zertifikat-Anforderung an den Zertifikatserver
zu senden, die die Identitätsinformationen
des Antragstellers enthält.
-
Vorzugsweise
ist der Identitätsserver
fähig, die
Gültigkeit
der Kennung zu überprüfen, um
die Identität
nur dann an den Registrierungsserver zurückzusenden, wenn die Kennung
gültig
ist.
-
Gemäß einer
Variante sind mehrere Identitätsserver
mit dem Netz verbunden, wobei jeder Server komplementäre Identitätsinformationen
enthält, die
vor einer Zertifikatantrag-Anforderung registriert wurden, wobei die
Identitätsinformationen über eine Kennung
zugänglich
sind, die jedem Identitätsserver eigen
ist. Der Registrierungsserver ist fähig, die Identitätsinformationen
der verschiedenen Identitätsserver
zu sammeln, um eine komplette Identität wiederherzustellen, ehe sie
an den Zertifikatserver gesendet wird.
-
Die
Erfindung wird besser verstanden und weitere Besonderheiten und
Vorteile gehen aus der nachfolgenden Beschreibung hervor, wobei
die Beschreibung sich auf die beiliegenden Figuren bezieht. Es zeigen:
-
1 ein
Beispiel einer Infrastruktur zur Verwaltung eines öffentlichen
Schlüssels
gemäß dem Stand
der Technik,
-
2 eine
erste Ausführungsform
einer Infrastruktur zur Verwaltung eines öffentlichen Schlüssels gemäß der Erfindung,
-
3 schematisch
die Austauschvorgänge innerhalb
der Infrastruktur der 2, um ein Zertifikat anzufordern,
-
4 eine
zweite Ausführungsform
einer Infrastruktur zur Verwaltung eines öffentlichen Schlüssels gemäß der Erfindung,
-
5 schematisch
die Austauschvorgänge, die
für den
Erhalt eines Zertifikats mit Hilfe der Infrastruktur der 4 notwendig
sind.
-
2 stellt
eine erste Ausführungsform
einer Infrastruktur zur Verwaltung eines öffentlichen Schlüssels gemäß der Erfindung
dar. Diese Infrastruktur weist einen Zertifikatserver 10,
einen Registrierungsserver 20 und einen Identitätsserver 30 auf. Die
Server 10, 20 und 30 sind physikalisch getrennt und
miteinander über
das Internet verbunden und kommunizieren mit Hilfe einer gesicherten
Verbindung. Der Zertifikatserver 10 realisiert die Zertifizierungsinstanz.
Bei Empfang einer Zertifikatantrag-Anforderung, die formgerecht
vom Registrierungsserver 20 ausgegeben wurde, ist der Zertifikatserver 10 fähig, einen öffentlichen
Schlüssel
und einen privaten Schlüssel
zu berechnen und dann ein Zertifikat zu liefern, das den öffentlichen
Schlüssel
sowie die anderen Attribute des Zertifikats enthält. Der Registrierungsserver 20 realisiert
die Registrierungsinstanz. Der Registrierungsserver 20 ist
fähig,
Anforderungen von Registrierungsanträgen zu empfangen, die von einem
Benutzer 40 kommen, ggf. über ein Endgerät 41,
das selbst mit dem Internet verbunden ist. Der Registrierungsserver 20 ist
fähig,
im Identitätsserver 30 die
Informationen zu suchen, die die Identität des Antragstellers 40 betreffen.
Der Identitätsserver 30 realisiert
eine Identitätsverwaltungsinstanz
und enthält
Informationen über
die Identität
eines Zertifikatantragstellers 40. Die Interaktion zwischen
dem Identitätsserver 30 und
dem Antragsteller 40 kann über ein Endgerät 41 über das
Internet oder direkt, entweder physisch oder über ein anderes Kommunikationsmittel
wie die normale Post, mit dem Antragsteller erfolgen.
-
Jeder
Server 10, 20 und 30 ist mit einem Computerprogramm
versehen, um mit den anderen Servern zu interagieren, um das Verfahren
für den Erhalt
eines Zertifikats durchzuführen,
das nachfolgend beschrieben wird. Das Programm kann vor der Anwendung
auf den Servern auf einem computerlesbaren Aufzeichnungsträger gespeichert
werden.
-
Ein
erfindungsgemäßer Zertifikatantrag
wird in zwei Phasen hergestellt, wie sie in 3 dargestellt
gezeigt sind. Während
einer ersten Phase registriert der Antragsteller seine Identität beim Identitätsserver 30.
Während
eines ersten Schritts 301 liefert der Antragsteller 40 an
den Identitätsserver
Informationen betreffend seine Identität, nämlich Name, Vorname, usw. Während dieses
ersten Schritts 301 liefert der Antragsteller 40 der
Identitätsverwaltungsinstanz
alle notwendigen Belege, um die Richtigkeit der angegebenen Informationen
zu beweisen, damit sie im Identitätsserver 30 registriert
werden. Ab dem Moment, in dem ein Minimum von Identitätsbelegen
an die Identitätsverwaltungsinstanz
geliefert wurde, wird die Identität im Server 30 registriert,
und dieser liefert dem Antragsteller 40 während eines
zweiten Schritts 302 eine den Identitätsinformationen zugeordnete anonyme
Kennung. Die Kennung ermöglicht
den Zugang zu den Identitätsinformationen
im Identitätsserver.
Wenn die vollständige
Registrierung der Identitätsinformationen
während
des Schritts 301 nicht durchgeführt werden konnte, kann der
Antragsteller während
eines dritten Schritts 303 komplementäre Belege an die Identitätsverwaltungsinstanz
liefern, die die komplementären
Informationen nach Überprüfung im
Identitätsserver
registriert.
-
In
den 2 und 3 ist ein einziger Identitätsserver 30 dargestellt.
Es ist anzumerken, dass die Identitätsverwaltungsinstanz zusätzlich zum Identitätsserver 30 Schnittstelleneinrichtungen
mit dem Antragsteller 40 aufweist. Diese Schnittstelleinrichtungen
sind zum Beispiel ein physischer Operator, der sich in einer Agentur
befindet, entweder in der Nähe
des Servers oder eine ferne Agentur, die mit dem Server über das
Internet über
eine gesicherte Verbindung verbunden ist. Es ist anzumerken, dass der
Antragsteller 40 die Informationen und Belege seiner Identität in einem
Schritt 301 oder in zwei Schritten 301 und 303 liefern
kann. Wenn die Identität
und die Identitätsbelege
in zwei oder mehr Schritten geliefert werden, kann der Antragsteller
sich an eine oder mehrere Agenturen wenden, die mit dem Identitätsserver 30 verbunden
sind.
-
Sobald
der Identitätsserver 30 korrekt über die
Identität
informiert wurde, kann der Antragsteller 40 Zertifikate
bei der Infrastruktur zur Verwaltung eines öffentlichen Schlüssels über ein
Endgerät 41 beantragen,
dann ist die erste Phase beendet.
-
Eine
zweite, der Zertifikatanforderung entsprechende Phase kann dann
beginnen. Während eines
Schritts 304 sendet der Antragsteller an den Registrierungsserver 20 eine
Zertifikatantrag-Anforderung. Während
eines Schritts 305 fordert der Registrierungsserver unter
anderem den Antragsteller auf, seine Identität nachzuweisen. Als Antwort
auf diese Identitätsanforderung
begnügt
der Antragsteller sich damit, seine Kennung an den Registrierungsserver 20 zu
senden.
-
Bei
Empfang der Kennung fordert der Registrierungsserver 20 während eines
Schritts 306 den Identitätsserver 30 auf, ihm
die der Kennung entsprechenden zertifizierten Informationen zu senden. Während eines
Schritts 307, und nach der Überprüfung der Gültigkeit der Kennung, liefert
der Identitätsserver 30 an
den Registrierungsserver 20 die in seiner Datenbank vorhandene
Informationen, die der Kennung zugeordnet sind und sich auf die
Identität des
Antragstellers 40 beziehen.
-
Bei
Empfang der Identitätsinformationen
und während
eines Schritts 307 sendet der Registrierungsserver 20 eine
komplette Zertifikatantrag-Anforderung an den Zertifikatserver 10.
Der Zertifikatserver 10 berechnet dann einen öffentlichen
Schlüssel und
einen privaten Schlüssel
und erstellt ein entsprechendes Zertifikat für den Antragsteller 40.
Das Zertifikat und der private Schlüssel werden anschließend während eines
Schritts 309 an den Registrierungsserver 20 übertragen.
-
Der
Registrierungsserver 20 liefert an den Antragsteller das
Zertifikat und den privaten Schlüssel
während
eines Schritts 310.
-
Es
ist anzumerken, dass die einerseits zwischen dem Endgerät 41 und
dem Registrierungsserver 20 und andererseits zwischen den
drei Servern 10, 20 und 30 ausgetauschten
Informationen über das
Internet mit Hilfe eines gesicherten Protokolls erfolgen, zum Beispiel
dem unter der Bezeichnung HTTPS oder HTTP (aus dem Englischen: HyperText Transfer
Protocol) bekannten Protokoll mit SSL (aus dem Englischen: Secure
Socket Layer).
-
Der
Vorteil einer solchen Infrastruktur zur Verwaltung eines öffentlichen
Schlüssels
sowie des Verfahrens der Zertifikatvergabe kommt daher, dass die
Identität,
wenn sie im Identitätsserver 30 gespeichert
ist, von mehreren Registrierungsserver 20 verwendet werden
kann, und dass diese Identitätsregistrierung
nur einmal erfolgt.
-
Die
an den Antragsteller 40 vom Identitätsserver 30 gelieferte
Kennung kann von mehreren Typen sein. Gemäß einer ersten Ausführungsform
kann die Kennung ein einfaches Passwort sein, das den Zugang zu
den Identitätsinformationen
erlaubt, die im Server 30 enthalten sind. Das Passwort
wird dann gesichert an den Registrierungsserver 20 geliefert, der
es anschließend
an den Identitätsserver 30 liefert.
Als Antwort auf das Passwort liefert der Identitätsserver 30 die der
Kennung entsprechenden Identitätsinformationen.
-
Gemäß einer
gesicherteren Variante kann die Kennung selbst ein Zertifikat sein.
So werden Informationen bezüglich
der Identität
des Antragstellers in die Felder eines Formulars eingegeben, das an
den Antragsteller 40 vom Registrierungsserver geliefert
wird. Die Felder werden anschließend mit Hilfe des dem Zertifikat
der Kennung zugeordneten privaten Schlüssels signiert. Das so signierte
Formular wird anschließend
vom Registrierungsserver 20 an den Identitätsserver 30 gesendet.
Der Identitätsserver 30 prüft die Signatur
des Formulars mit Hilfe seines öffentlichen
Schlüssels,
und wenn diese überprüft ist,
liefert er dann an den Registrierungsserver 20 die Identitätsinformationen
des Formulars, indem er sie zertifiziert, und indem er ggf. zusätzliche
Identitätsinformationen
hinzufügt,
die auf dem Formular nicht vorhanden sind.
-
Das
Zertifikat kann ebenfalls ein nicht-persönliches oder anonymes Zertifikat
sein, das in einer Chipkarte enthalten ist, begleitet von seinem
PIN-Code.
-
Es
kann relativ viele Identitätsinformationen bezüglich einer
Person geben. Oben wurden der Name und der Vorname erwähnt. Diesen
Basis-Identitätsinformationen
können
weitere, komplementäre Identitätsinformationen
hinzugefügt
werden, wie Datum und Ort der Geburt, Nationalität, Geschlecht, aber auch biometrische
Informationen oder Informationen, die sich zum Beispiel auf das
Bankkonto beziehen. Es ist nicht notwendig, dass alle diese Informationen
für einen
gegebenen Zertifikatantrag geliefert werden. Aus Gründen der
Vertraulichkeit kann es außerdem
bevorzugt werden, alle diese Informationen bezüglich der Identität einer
Person nicht in einem einzigen Server zu speichern. Ebenfalls kann das
Speichern der Gesamtheit der Identitätsinformationen bezüglich einer
Person relativ große
Einrichtungen erfordern, die nur schwierig von einer einzigen Instanz
zu verwalten sind.
-
Zu
diesem Zweck ist eine Ausführungsvariante
einer erfindungsgemäßen Infrastruktur
in 4 dargestellt. In dieser 4 ist der
Identitätsserver 30 durch
zwei Identitätsserver 31 und 32 ersetzt,
die sich physikalisch unterscheiden und mit dem Internet verbunden
sind. Die Identitätsserver 31 und 32 enthalten
gemeinsame und komplementäre
Identitätsinformationen.
Zum Beispiel enthält
der Identitätsserver 31 den
Namen und den Vornamen der Person, begleitet von biometrischen Informationen
wie Fingerabdrücke
oder Sprachsignatur. Und der Identitätsserver 32 seinerseits
registriert üblichere
Informationen wie die Informationen über die zivile Identität, Name,
Vorname, Geburtsdatum, Geburtsort, Nationalität, Geschlecht, Versicherungsnummer,
Bankkontonummer, usw. Selbstverständlich ist es für den Server 31 unbedingt
notwendig, dass die Person sich für die Messung der biometrischen
Informationen von der Stelle bewegt und ihre Identität mit Hilfe
eines legalen Ausweises nachweist. Für den Identitätsserver 32 können alle
diese Informationen auf dem Postweg geliefert werden, mit Hilfe
von üblichen
Identitätsbelegen.
-
Auch
hier wird ein Zertifikatantrag in zwei Phasen hergestellt, wie in 5 gezeigt
ist. Während der
ersten Phase informiert der Antragsteller die Server 31 und 32 in
voneinander unabhängiger
Weise. So liefert der Antragsteller 40 während eines
ersten Schritts 401 an den Server 31 erste Informationen betreffend
seine Identität,
zum Beispiel biometrische Informationen. Der Antragsteller 40 geht
also in eine Agentur, die zunächst
seine Identität
prüft,
indem er einen Ausweis präsentiert,
und zum Beispiel diese Fingerabdrücke registriert oder auch eine
Sprachidentifikation registriert. Wenn diese Informationen in diesem
biometrischen Server registriert sind, liefert der Server 31 eine
erste Kennung während
des Schritts 402. Wenn zufällig der Antragsteller 40 neue biometrische
Informationen ändern
oder registrieren möchte,
kann er es jederzeit während
eines Schritts 403 tun, indem er gleichzeitig seine Kennung
mit den Daten der zusätzlichen
Informationen liefert, indem er ebenfalls zu der Identitätsverwaltungsinstanz
geht, die dem Server 31 zugeordnet ist.
-
Immer
noch während
der ersten Phase veranlasst der Antragsteller 40 ebenfalls
die Registrierung seiner Identität
beim Server 32. Während
eines Schritts 404 liefert er Informationen begleitet von
seine Identität
nachweisenden Papieren, zum Beispiel sein Ausweis, sowie alle Papiere,
die es ermöglichen zu
beweisen, dass sein Wohnsitz wirklich real ist, usw. Während die
verschiedenen Informationen von einer Person bei der Registrierung
im Server 32 überprüft werden,
wird dem Antragsteller 40 im Schritt 405 eine
zweite Kennung geliefert. Auch hier, wenn der Antragsteller weitere
Informationen betreffend seine Identität registrieren möchte, zum
Beispiel sein Bankkonto oder ggf. seine Versicherungsnummer, kann
er sie jederzeit während
eines Schritts 406 mit den notwendigen Belegen begleitet
von seiner Kennung liefern.
-
Wenn
die verschiedenen Informationen bezüglich seiner Identität in den
Servern 31 und 32 registriert sind, kann der Antragsteller 40 vom
Registrierungsserver 20 verlangen, ihm über ein mit dem Internet verbundenes
Endgerät 41 ein
Zertifikat zu übertragen.
Die Anforderung wird während
eines Schritts 416 gesendet. Während eines Schritts 407 dialogisieren
der Registrierungsserver und der Antragsteller, um die Formulare
auszufüllen,
die vom Registrierungsserver für
einen Zertifikatantrag gefordert werden, und um dem Registrierungsserver 20 die
ersten und zweiten Kennungen zu liefern, die den Servern 31 bzw. 32 entsprechen.
Wenn der Registrierungsserver die Kennungen empfangen hat, sendet
er sie während
der Schritte 408 und 409 gleichzeitig an die Identitätsserver 31 und 32.
Die Schritte 408 und 409 sind praktisch gleichzeitig,
und der Registrierungsserver muss nicht die Antwort der Identitätsserver
abwarten, eher er die folgende Kennung sendet. Als Antwort auf die
während
des Schritts 408 empfangene Kennung überprüft der Identitätsserver 31 diese
erste Kennung und sendet die zertifizierten Identitätsinformationen
während
eines Schritts 410. Nachdem er die zweite Kennung während des Schritts 409 empfangen
hat, prüft
der Identitätsserver 32 diese
Kennung und liefert im Gegenzug die komplementären Identitätsinformationen während eines Schritts 411.
Dann kompiliert der Registrierungsserver die verschiedenen empfangenen
Identitätsinformationen
in einem einzigen Formular für
den Zertifikatserver 10. Die vom Server 31 kommenden
und die vom Server 32 kommenden Informationen werden in ein
einziges Formular gebracht. Während
eines Schritts 412 sendet der Registrierungsserver die
ordnungsgemäß vervollständigte und
die Identitätsinformationen
des Antragstellers 40 enthaltende Anforderung an den Zertifikatserver 10.
Dieser berechnet im Gegenzug einen öffentlichen und einen geheimen Schüssel und
erstellt ein Zertifikat, das er während eines Schritts 413 an
den Registrierungsserver sendet. Das Zertifikat wird anschließend vom
Registrierungsserver an den Antragsteller 40 während eines Schritts 414 geliefert.
-
Es
ist anzumerken, dass der Registrierungsserver sich damit begnügen kann,
vom Identitätsserver 31 oder 32 nur
eine begrenzte Anzahl von Informationen bezüglich der Identität im Vergleich
mit den in den Servern enthaltenen Informationen anzufordern. Der
Server 31 enthält
nämlich
biometrische Informationen, zum Beispiel Fingerabdrücke und Sprachsignatur,
während
die Identitätsinformationsanfrage
nur die Sprachsignatur betreffen kann; es ist also nicht notwendig,
Informationen bezüglich
der Fingerabdrücke
zu übertragen.
-
In
den beschriebenen Beispielen liefert der Antragsteller 40 die
Kennung an den Registrierungsserver 20, der den Identitätsserver 30 abfragt,
um die Identitätsinformationen
des Antragstellers zu erhalten. Gemäß einer Variante ist es möglich, dass
der Antragsteller 40 direkt den Identitätsserver 30 abfragt,
damit dieser die Identitätsinformationen
an den Registrierungsserver 20 liefert. Es ist ebenfalls
möglich,
dass die Identität
an den Antragsteller vom Identitätsserver 30 in
Form eines Zertifikats geliefert wird. Der Antragsteller kann dann
das Zertifikat dem Registrierungsserver 20 vorzeigen, der
sich damit begnügt,
die Gültigkeit
des Zertifikats beim Identitätsserver
zu überprüfen.
-
In
den beschriebenen Beispielen gehen das Zertifikat und der zugeordnete
private Schlüssel,
die vom Zertifikatserver 10 an den Antragsteller 40 geliefert
werden, über
den Registrierungsserver 20. Es ist absolut möglich, das
Zertifikat und den privaten Schlüssel
an den Antragsteller 40 zu liefern, ohne über den
Registrierungsserver 20 zu gehen.