TR 03126-4 - Bundesamt für Sicherheit in der Informationstechnik ...

TR 03126-4: Einsatzgebiet „Handelslogistik“
MK8
Kurzbezeichnung der Maßnahmen Adressierte Gefährdungen
Nachladen von Schlüsseln - Sichern der Berechtigungen
hinsichtlich Authentizität und
Integrität
120 Bundesamt für Sicherheit in der Informationstechnik
GK3
fahren verwendet. Hierzu ist eine PKI mit einer CA zu etablieren, durch die
alle asymmetrischen Schlüssel zertifiziert werden.
II. Allgemeine Vorgehensweise
Das Nachladen von Schlüsseln kann z. B. nach folgendem Verfahren erfolgen:
1 Der Schlüsselherausgeber (bzw. Schlüsselmanagement) sendet seinen von
einer CA zertifizierten öffentlichen Schlüssel an das Terminal
2 Das SAM verifiziert das Zertifikat (z. B. mit Verify Certificate) und speichert
den öffentlichen Schlüssel des Schlüsselherausgebers temporär.
3 Der Schlüsselherausgeber verschlüsselt den einzubringenden Schlüssel
sowie dessen Zusatzinformationen (Key-ID, Keyversion, Bedienzähler, …)
mit dem öffentlichen Verschlüsselungsschlüssel des SAM, signiert das
Kryptogramm mit dem eigenen privaten Schlüssel und sendet Kryptogramm
und Signatur an das SAM.
4 Das SAM prüft die Signatur mit dem öffentlichen Signaturschlüssel des
Schlüsselherausgebers, entschlüsselt nach erfolgreicher Signaturprüfung
das Kryptogramm mit seinem privaten Entschlüsselungsschlüssel und speichert
Schlüssel und Schlüsselzusatzinformationen permanent.
Tabelle 8–57 Schutz durch Sicherung der Authentizität und Integrität beim Nachladen
von Schlüsseln
8.4.5 Maßnahmen in Bezug auf Kundendatensysteme
Kundendatensysteme sind die einzigen Komponenten im System, die in gewissen Fällen
personenbezogenen Daten verwenden und speichern. Deshalb treten hier besondere Gefährdungen
auf.
Generelle Maßnahmen, die Gefährdungen des Kundendatensystems adressieren, sind in
Kapitel 8.4.1 beschrieben. Zusätzlich werden die folgenden Maßnahmen vorgegeben, die
insbesondere der sicheren und gesetzeskonformen Handhabung von personenbezogenen
Daten dienen.
MV1
Allgemein
1
2
Kurzbezeichnung der Maßnahmen Adressierte Gefährdungen
Identifikation des Kunden bei Verkauf und
Produktübergabe
GV10
Beim Anlegen eines Kundenkontos sowie der Zustellung und Abholung von
Produkte muss die Identität des Kunden geklärt sein.
Erklärung des Kunden:
• Der Kunde übergibt die Angaben zu seiner Identität mündlich oder per Internet
Antragsformular beim Anlegen eines Kundenkontos und Ausgabe einer Kundenkarte: