Vandaag wettelijke status voor elektronische handtekening

Leuk, maar stel dit

Je stuurt fijn je email met je handtekening naar een klant of bedrijf.
Dit bericht wordt onderweg onderschept door een hacker.
Deze kopieert de header en de handtekening.
Gaat nu accorden sluiten d.m.v. het versturen van de email via een ghost email adres(anonymail etc...)

Ik begrijp dus niet echt de securiteit hiervan, lijkt me makkelijk te kraken en te "exploiten".

Ik ga wat meer info hierover opzoeken, check deze thread s00n!

De website van de PKI van de overheid is hier: http://www.pkioverheid.nl/. Het rootcertificate (sorry, het stamcertificaat) heb ik al geinstalleerd.

Om de lijst van toegetreden CSP's staat nu nog niemand, maar dat zal niet lang gaan duren.

Even een zwaar off-topic flamebait, Hiawatha zei toch dat ie z'n account op ging zeggen en niet meer zou reageren?

Hmmm, kan niet echt vinden hoe ik m'n account moet opheffen. Dan maar een debiel emailadres en een random password invoeren. Doei allemaal!!!

(Hierop dom reageren heeft geen zin, ik kijk toch niet. En reageren al helemaal niet)

Beetje vreemd dat 'ie dan nog steeds antwoorden verstrekt....

Technologie doet er weinig toe. Het heeft zich bewezen dat de sterkte valt of staat met de lengte van de private key.

Lukt het om bij een public key, met 40 onbekende bits, in 20 uur een corresponderende private key te vinden, dan kost dat bij een key met 41 onbekende bits al 2 tot de macht 1 * 20 uur. Ofwel bij een key met 128 onbekende bits is het verschil 2 tot de macht 64 * 20 uur. Een beetje certificaat bevat al een key met 512 onbekende bits, de technologie is niet gelimiteerd en banken gebruiken rustig keys met 2048 onbekende bits.

In de PKI technologie zit het hem dus niet.

Wel als de certificerende autoriteit (CA), zich Trusted Third Party gaat noemen. Begint al psychologisch, ga maar aan de man op straat uitleggen dat KPN trusted is. Idem voor Roccade.

Verisign was in 1995 wellich nog trusted te noemen, in de loop der jaren is het beleid zo terug gedraaid, dat als je maar betaald je een certificaat kunt krijgen. Controles op echtheid aanvragen zijn er nog nauwelijks. Veel te fraudegevoeligd. Daar moet je dus ook niet meer zijn. Daarbij, heeft Microsoft in naam van 500 miljoen PC gebruikers al gezegd dat je Verisign vertrouwd (omdat ze standaard in de lijst van vertrouwelijke Certificate Authorities staan).

En alle andere TTP's waar je als persoon een certificaat kunt krijgen, met alle respect, zijn erg zwak in het beleid om een certificaat te krijgen. Uitzonderingen hierop vragen derdelijk hoge kosten voor de registratie (en daarbij het toepassen van het beleid) dat ze voor de normale man onbetaalbaar zijn geworden. Daarbij opereren ze in een niche markt.

Maar daar ligt hem de kruks. De digitale handtekening staat en valt met het feit dat de natuurlijke persoon die de electronische handtekening plaatst, uniek te identificeren is. Dit zou betekenen dat je zeker moet zijn, dat een bepaalde electronische handtekening alleen en alleen aan een natuurlijk persoon toebehoord, en dat alleen hij de electronische handtekening geplaats zou kunnen hebben (onbetwistbare zekerheid). Dit zou beteken dat de publieke key, voorzien zou moeten zijn van een certificaat, die op haar beurt is uitgegeven door een vertrouwelijke derde.

Om zover te komen, is er een bijna onmogelijke taak om te organiseren dat een persoonlijk certificaat gekoppeld wordt aan een persoon. En dat dit proces gebeurt door een uiterst vertrouwelijke derde partij.

Als er een partij is die het zou moeten kunnen organiseren, dan is het de overheid wel (vandaar pilots/feasability studies onder de noemer PKI overheid). De overheid heeft een "netwerk" voor de uitgifte van paspoorten wat redelijk te vertrouwen is.
Probleem is weer wel, hoe kun je de overheid vertrouwen dat zij geen kopie maken van je keys en dat als backdoor gebruiken om je communicatie af te tappen.

BTW, als je van je bank een certificaat zou krijgen, om je te identificeren bij telebankieren etc, dan kan er nooit sprake van zijn dat de bank een TTP is. Immers er is geen sprake van een betrouwbare derde; het is jij en de bank.