Wie bereits angekündigt werde ich in den nächsten Wochen einige Aspekte asymmetrischer Kryptographie beschreiben. Der vorliegende Artikel erläutert nochmals Attributzertifikate - speziell im Hinblick auf Data Privacy.

Attributzertifikate stellen eine Möglichkeit dar, ein bestehendes Zertifikat mit beliebigen Attributen zu verbinden. Diverse Anwendungsfälle lassen sich damit abbilden: Verbergen von Attributen: Normalerweise sind alle Informationen in einem Zertifikat für alle lesbar. Ich kann nur entweder das Zertifikat als Ganzes zeigen oder nicht. Über proprietäre Extensions lässt sich das umständlich mitigieren: Man verschlüsselt die jeweiligen Angaben und integriert den verschlüsselten Text als Wert der Extension. Das ist allerdings nicht flexibel und man sollte proprietären Extensions sowieso immer skeptisch gegenüberstehen. Ein weiterer Grund dagegen ist, dass der Empfängerkreis der enthaltenen Informationen vorher bekannt sein muss - dieser Kreis der Relying Parties benötigt ja die Informationen zur Entschlüsselung. Und dieser Kreis ist später nur kompliziert zu erweitern - es muss ja ein sicherer Kanal für die Übermittlung der zur Entschlüsselung benötigten Informationen existieren. Mit Attributzertifikaten hingegen kann man dieser Herausforderung auf einfache Art und Weise begegnen: Das Zertifikat, das zur Digitalen Identität gehört muss nur die absolut notwendigen Informationen enthalten - alle anderen werden in entsprechenden, auf den Use Case und die Relying Party zugeschnittenen Attributzertifikaten ausgelagert. So sieht jede Relying Party nur die Informationen über den Inhaber der digitalen Identität, die für den jeweiligen Use Case unerlässlich sind. Attribute charakterisieren das Zertifikat oder das Subject des Zertifikats näher. Dies kann sowohl zu einer Erweiterung der Rechte führen als auch zu einer Beschränkung: Ein Beispiel für jede Variante ist das Zuteilen bestimmter Berechtigungen oder das Beschränken zum Beispiel des erlaubten Transaktionrahmens. Ich habe bereits Code veröffentlicht, der zeigt, wie man mittels Java und BouncyCastle Attributzertifikate erstellen und deren Inhalte analysieren kann.

OpenSSL in der Version 3.4 beginnt mit der Unterstützung von Attributzertifikaten - allerdings konnte ich bis zur Version 4.0 noch nicht ermitteln, dass es diese Unterstützung bis in die Kommandozeilenanwendung(en) geschafft hat. Ich werde weiter dranbleiben und über etwaige neue Entwicklungen in dieser Richtung berichten.

Artikel, die hierher verlinken