Digitale Signatur

Internet Internet Sicherheit
#1

Hallo zusammen,

ich habe im moment die Aufgabe eine Möglichkeit zu finden um pdf-dateien zu unterschreiben.

Es geht darum, das mein Chef die Logs unseres BackupServers unterschreiben muss. Da die dafür aber logischerweise erstmal ausgedruckt, unterschrieben, eingescannt und auf den Server in Dallas verschoben werden müssen, wollen wir diesen Aufwand jetzt mit einer digitalen Signatur vereinfachen.

Ich habe mir schon einiges ergoogelt, steh aber immer noch vor einigen Fragen.

Soweit ich weiß, brauche ich ein Zertifikat, das ich mir entweder selber erstellen kann oder über eine Zertifizierungsstelle im Internet holen kann.
Ist so ein Zertifikat jetzt mit einem PublicKey zu vergleichen, oder können damit auch mehrere unterschiedliche Nutzer identifiziert werden?

Mein Gedankenganz wäre folgender. Ich erstelle für alle Nutzer die irgendwelche pdf´s unterschreiben wollen einen privat/public-key. Danach wird ein Zertifikat erstellt, in dem alle publicKeys gespeichert sind. (selbst erstellt deswegen, weil es nur innerhalb unserer Domäne benutzt wird und deswegen jeder Zugriff auf das Zertifikat hätte). Damit könnte dann jeder z.B. schon mit den Adobe-Hausmitteln eine Unterschrift überprüfen.

Und jetzt zur Frage

Ist das so überhaupt möglich oder bin ich vollkommen auf dem Holzweg und habe nichts verstanden was ich bisher gelesen habe?
Ich wäre über Links dankbar, die mir helfen mich noch weiter in die Materie einzulesen, bzw. mir eine Hilfestellung geben.

Gruß und danke
divus

#2

Hallo,

ich habe im moment die Aufgabe eine Möglichkeit zu finden um
pdf-dateien zu unterschreiben.

Es geht darum, das mein Chef die Logs unseres BackupServers
unterschreiben muss.

Wenn das rechtliche Gruende hat, dann muss ich dich leider enttaeuschen: damit eine Signatur rechtsgueltig ist, muss sie jede Menge Auflagen erfuellen; das korrekt aufzusetzen wird sicher nicht einfach fuer dich.

http://de.wikipedia.org/wiki/Elektronische_Signatur

Beachte darin auch den Absatz

In Fällen, in denen eine qualifizierte elektronische Signatur nicht gesetzlich vorgeschrieben ist, können Dokumente, die „nur“ mit einer fortgeschrittenen elektronischen Signatur gemäß § 2 Nr. 2 SigG versehen wurden, jedoch per Augenscheinsbeweis ebenfalls als Beweismittel vor Gericht verwendet werden.

Vielleicht gibt es also doch noch Hoffnung fuer dich :smile:

Gruesse,
Moritz

#3

Da die Signaturen, bzw. die unterschriebenen Dateien nur innerhalb der Firma genutzt werden, brauche ich nichts rechtlich wasserdichtes.

Man soll halt sehen können:

Hey, er hat das Dokument gesehen und bestätigt, das es so in Ordnung ist.

#4

Hallo,

ich habe zwar nicht so ganz Deinen Weg verstanden, würde aber das ganze mit ganz normalen X.509 Zertifikaten machen. Wenn es eh „nur“ Firmenintern sein soll kannst Du auch die von CAcert verwenden (siehe http://www.cacert.org).
Vorteil: Du hättest die Kontrolle über die Zertifikate und kannst auch Ablaufdatum, etc. kontrollieren.
Diese Zertifikate lassen sich eigentlich recht einfach in die entsprechenden Dokumente per Adobe acrobat einpflegen. Ggf. gibt es auch Kommandozeilenbefehle dazu.

Gruß
h.

#5

Hallo,

danke für den Link. X.509-Zertifikate kann ich bereits erstellen. Ich wüsste nur gern, ob mein Gedankengang der richtige ist.

Vll bin ich auch nur von meiner SSL-Geschichte gebrandmarkt.

Aber das hilft vll fürs bessere Verständnis, wenn ich erkläre was ich zuhause habe.

Ich habe einen Rechner, auf dem Ubuntu läuft und der als Gateway für mein Netz fungiert. Wenn ich mich jetzt auf diesen Rechner einloggen will, benutze ich SSL mit dem Public/Private Key Verfahren. (Auch wenn die meisten hier wohl wissen wie das funktioniert erkläre ich es trotzdem mal).
D.h. ich habe eine Datei (privateKey) dich ich bei der Anmeldung dem Server zukommen lasse. Der Vergleicht den Wert und fragt nach dem Passwort, dass bei der Erstellung des Key-Paares eingegeben wurde. Erst wenn ich PrivateKey und Passwort habe, kann ich mich also auf dem Server einloggen.

Nun ist also meine Überlegung ob das mit den Zertifikaten ähnlich möglich wäre.
Ich erstelle mir ein KeyPaar (für jeden User der Unterschriften leisten muss ein eigenes), die PublicKeys werden im Zertifikat gespeichert und die PrivateKeys kennen eben nur die entsprechenden Personen. Mit dem PrivateKey und einem Passwort kann er sich gegenüber dem Zertifikat verifizieren.

Und meine Frage ist eben, ob das so funktioniert, oder ob ich da komplett auf dem Holzweg bin.