beste heren,<br>
<br>
een reactie op de stelling dat "encryptiecertificaten op termijn op een
eidkaart zouden kunnen komen" en de manier waarop vercijferingssystemen
werken.<br>
<br>
het lijkt me vooreerst niet onbelangrijk om de basistechnieken ivm
handtekenen en vercijferen te verduidelijken... het lijkt
allemaal erg simpel, maar er zitten toch wel adders onder het gras...<br>
- handtekenen : als ik naar peter een digitaal ondertekend
bericht stuur, dan gebruik ik mijn private handtekensleutel op het
bericht, en stuur 3 dingen naar peter : het bericht zelf, de digitale
handtekening, en mijn publieke-sleutelcertificaat. peter gaat mijn
publieke-sleutelcertificaat controleren, en als hij dat vertrouwt, dan
gebruikt hij mijn publieke verificatiesleutel uit dat certificaat
halen, met dewelke hij de digitale handtekening op mijn bericht gaat
controleren.<br>
- vercijferen : als ik naar peter een vercijferd bericht wil
sturen, dan moet ik eerst zijn publieke vercijfersleutel te pakken
krijgen. waar ik die vandaan haal, is een verhaal apart (cfr.
hieronder). stel dat ik dus peters publieke vercijfersleutel heb. om
diverse redenen (hoofdzakelijk performantie) ga ik niet heel het
bericht vercijferen met de publieke sleutel van peter... wat ik
wel ga doen, is een willekeurige symmetrische sleutel aanmaken, waarmee
ik het bericht zal vercijferen, en die symmetrische sleutel zal ik
vercijferen met peters publieke vercijfersleutel. peter ontvangt dus
twee dingen : het vercijferde bericht, en de vercijferde symmetrische
sleutel. peter gaat nu zijn private ontcijfersleutel gebruiken om
de vercijferde symmetrische sleutel te ontcijferen, en daarna gaat hij
die symmetrische sleutel gebruiken om het vercijferde bericht te
ontcijferen.<br>
<br>
samenvatting van de terminologie/theorie : diegene die een handtekening
zet gebruikt een private handtekensleutel, en diegene die een bericht
ontcijfert gebruikt een private ontcijfersleutel.<br>
diegene die een handtekening verifieert gebruikt een publieke
verificatiesleutel, en diegene die een bericht vercijfert gebruikt een
publieke vercijfersleutel. het aanmakenen van een handtekening
heet "handtekenen" en het vercijferen heet "vercijferen" (of
encrypteren). het verifieren van een handtekening heet
"verifieren" en het ontcijferen van gegevens heet "ontcijferen" (of
decrypteren). die terminologie is belangrijk. als ze
zorgvuldig gehanteerd wordt, worden er automatisch veel minder
(denk)fouten gemaakt...<br>
<br>
lees er gerust mijn slides eens op na als je er een figuurtje bij wil... (cfr. <a href="http://godot.be/slides">http://godot.be/slides</a>).<br>
<br>
ik ben er van overtuigd dat het geen goed idee is om
vercijfercertificaten en de bijhorende private ontcijfersleutels te
laten beheren door de overheid... let wel dat ik er wel van
overtuigd ben dat een eidkaart moet kunnen ontcijferen :) , en dit
onder de volledige controle van de burger, en alleen van de burger.<br>
<br>
zoals ik hierboven al heb gesteld, is het buitengewoon
belangrijk dat ik weet dat (als ik naar peter een vercijferd bericht
wil
sturen, dat) ik peters publieke vercijfersleutel heb. om die publieke
vercijfersleutel te pakken te krijgen, zijn er verschillende
mogelijkheden : een vercijfercertificaat, de persoonlijke overhandiging
van de juiste sleutel door peter zelf, of een door peter zelf digitaal
ondertekend bericht waarin hij zijn publieke vercijfersleutel vermeldt.<br>
<br>
ik geloof dus meer in een scenario waarbij peter zijn private
decryptiesleutel in zijn eidkaart opslaat, en zijn eidkaart gebruikt om
op de publeiek vercijfersleutel een authentiseringshandtekening te
plaatsen. het beheer van die private decryptiesleutel (bvb het aanmaken
en backuppen van deze sleutel) valt zo geheel onder de
verantwoordelijkheid van peter. als hij zijn eidkaart verliest, is er
geen probleem : hij heeft een backup (of zou toch moeten) van zijn
private decryptiesleutel, en als hij die niet heeft, is dat zijn eigen
fout, niet die van de overheid. peter kan de digitaal ondertekende
vercijfersleutel publiceren, bvb op zijn homepagina, of in een
ldapserver. het spreekt voor zich dat peter ook kan opteren voor een
vercijfercertificaat. hij contacteert daarvoor zelf een
certification authority (en betaalt uiteraard zelf voor dit
certificaat)... al dit moois kan perfect gebeuren zonder
tussenkomst van de overheid, dus zonder potentiele
aansprakelijkheidsproblemen... het enige wat van de overheid verwacht
wordt om dit mogelijk te maken, is de mogelijkheid voor de burger om
een ontcijferingssleutel (en eventueel een geauthentiseerde publieke
vercijfersleutel) op de eidkaart te laten zetten...<br>
<br>
bovenstaande is uiteraard mijn bescheiden observatie :devilish:<br>
<br>
met vriendelijke en uitbundige groeten, danny de cock aka godot<br>
<br>
ps : merk op dat het zinloos is om een backup te maken van een
vercijfercertificaat aangezien dit de publieke vercijfersleutel
bevat... het is wel zinvol om een backup te maken van de private
decryptiesleutel...<br>
<br>
-----------------------------------------------------------<br>
<b><span style="font-weight: bold;"><br>
</span>Peter Strickx</b>
<a href="mailto:openstandaarden%40openstandaarden.be?Subject=%5BOpenstandaarden%5D%20%5BOT%5D%20e-id%20%28nog%20eens%29&In-Reply-To=1119032764.6313.26.camel%40localhost.localdomain" title="[Openstandaarden] [OT] e-id (nog eens)">
peter.strickx at gmail.com
</a><br>
<i>Fri Jun 17 22:17:51 CEST 2005</i>
<ul>
<li>Previous message: <a href="http://www.openstandaarden.be/pipermail/openstandaarden/2005-June/005998.html">[Openstandaarden] [OT] e-id (nog eens)
</a></li><li>Next message: <a href="http://www.openstandaarden.be/pipermail/openstandaarden/2005-June/006004.html">[Openstandaarden] [OT] e-id (nog eens)
</a></li><li> <b>Messages sorted by:</b>
<a href="http://www.openstandaarden.be/pipermail/openstandaarden/2005-June/date.html#6003">[ date ]</a>
<a href="http://www.openstandaarden.be/pipermail/openstandaarden/2005-June/thread.html#6003">[ thread ]</a>
<a href="http://www.openstandaarden.be/pipermail/openstandaarden/2005-June/subject.html#6003">[ subject ]</a>
<a href="http://www.openstandaarden.be/pipermail/openstandaarden/2005-June/author.html#6003">[ author ]</a>
</li>
</ul>
<hr>
<pre>Jan,<br><br>Volgens mij een misverstand maar helemaal zeker ben ik toch niet ...<br>Mijn opvatting (indien verkeerd hoor ik dat graag van een echte specialist..) :<br>Het encryptiecerticaat (met publieke sleutel) dient om
<br>te encrypteren. Je zal decrypteren met je prive-sleutel. Verlies je<br>jouw kaart en is er geen<br>backup genomen van het sleutelpaar dat zal gebruikt worden voor<br>encryptie-decryptie dan<br>kan je niet meer decrypteren en blijft je data onleesbaar.
<br>Omdat encryptie-decryptie via asymmetrische sleutels nogal<br>CPU-intensief is zou je een<br>symmetrische sleutel kunnen encrypteren en die gebruiken (en bij je<br>ge-encrypteerde data<br>opslaan). Zelfde techniek als bij SSL.
<br><br>bvb: encrypteren van data op je lokale harde schijf <br><br>Met vriendelijke groeten,<br><br>Peter Strickx<br><br><br>On 6/17/05, Jan Claeys <<a href="http://www.openstandaarden.be/mailman/listinfo/openstandaarden">
janc+openstandaarden at lugwv.be</a>> wrote:<br>><i> Op vr, 17-06-2005 te 15:54 +0200, schreef Peter Strickx:<br></i>><i> > We denken eraan om op termijn ook een encryptiecertificaat op de kaart<br></i>><i>
> te zetten. Hiervan MOETEN we een backup hebben omdat bij verlies of<br></i>><i> > diefstal van de kaart het originele certificaat nodig is om<br></i>><i> > ge-encrypteerde data terug te kunnen decrypteren.
<br></i>><i> <br></i>><i> Als de overheid een backup van dat private encryptie-certificaat<br></i>><i> bijhoudt, is dat certificaat enkel bruikbaar voor verzenden van data<br></i>><i> naar de overheid, en daarvoor kan je evengoed het publieke certificaat
<br></i>><i> van de overheid gebruiken (daar dient het voor).<br></i>><i> <br></i>><i> Dat certificaat is op die manier m.a.w. zo goed als waardeloos.<br></i>><i> <br></i>><i> Bij verlies of diefstal van de kaart moet de "afzender" de data maar
<br></i>><i> opnieuw encrypteren en doorgeven; dat is de enige "juiste" manier...<br></i>><i> <br></i>><i> --<br></i>><i> Jan Claeys</i><i></i></pre>