C_12927_Anlage - IDP-Dienst implementiert HCSL-Client

Inhaltsverzeichnis

1 Änderungsbeschreibung

In der Prüfkette der Zertifikatsprüfung von Smartcards durch den IDP-Dienst war der Aufruf der OCSP-Responder wiederholt Ursache für Fehler in der Produktivumgebung. Überlastung oder Ausfall der OCSP-Responder führen dazu, dass die Authentifizierung von LEI über SMC-B fehlschlagen und damit der Zugang der LEI zu den TI-Anwendungen verwehrt wird.
HCSL (Hash based Certificate Status List) reduziert die Abhängigkeit der Zertifikatsprüfung von Verfügbarkeit und Stabilität der OCSP-Responder Schnittstelle.

Um HCSL nutzen zu können, muss der IDP-Dienst die Clientschnittstelle gemäß der Spezifikation [gemF_HCSL] implementieren. Dazu werden dem IDP-Dienst alle relevanten Anforderungen der HCSL-Spezifikation (vgl. Abschnitt "5.2 HCSL-Client" [gemF_HCSL]) zugewiesen.

Die Spezifikation gemSpec_IDP_Dienst wird um eine Anforderung erweitert, welche die Implementierung eines HCSL-Client fordert.

2 Änderung in gemSpec_IDP_Dienst

Es wird Kapitel "3.8.1 Erstellung des AUTHORIZATION_CODE"  wie folgt angepasst:

Im Fall einer Authentisierung mittels Smartcard sendet der Authorization-Endpunkt eine CHALLENGE an das Authenticator-Modul und prüft anschließend die Signatur der CHALLENGE und das mitgelieferte Zertifikat der Smartcard des Nutzers mittels der TSL der PKI der Telematikinfrastruktur und für die Zertifikatsstausinformationen mittels HCSL [gemF_HCSL] oder OCSP, bevor er die benötigten Attribute ausliest.

Es wird Kapitel "4.3 Schnittstellenbeschreibung des IDP-Dienstes"  wie folgt angepasst:

Die erste tokenbezogene Anfrage an den Authorization Server des IDP-Dienstes geht am Authorization-Endpunkt [RFC6749#section-3.1] ein. Das Authenticator-Modul reicht dort am Endpunkt den CONSENT mit der CHALLENGE ein, mit welchem die TOKEN erstellt werden sollen, und erhält den AUTHORIZATION_CODE zurück, falls die Prüfung der signierten CHALLENGE und die Prüfung des übergebenen Smartcard-Zertifikats am TSL-Dienst (und dabei u. a. Verwendung von HCSL oder OCSP) positiv ausfallen.

Es wird Kapitel "5.2.1 Authorization-Endpunkt Eingangsdaten"  wie folgt angepasst:

Neue Anforderung A_30517

Neu:

A_30517 - Implementierung eins HCSL-Client

Der Authorization-Endpunkt MUSS einen HCSL-Client gemäß [gemF_HCSL] implementieren. Sollte eine CA der TI-PKI HCSL anbieten (vgl. A_28711-*) so MUSS der Authorization-Endpunkt HCSL für die Zertifikatszustandprüfung für EE-Zertifikate aus solch einer CA verwenden. Er MUSS im Fehlerfall (HCSL) zurückfallen auf die Verwendung von OCSP für die Zertifikatszustandsprüfung.

[<=]

redaktionelle Erweiterung A_20951* und A_20465

Alt:

A_20951-01 - Validierung der Signatur und des Zertifikats des CHALLENGE_TOKEN

Der Authorization-Endpunkt MUSS die Signatur des vom Authenticator-Modul übertragenen, signierten CHALLENGE_TOKEN anhand des mitgelieferten Authentifizierungs-Zertifikats überprüfen. Die Überprüfung MUSS neben der Signatur auch das Authentifizierungszertifikat anhand von OCSP umfassen. [<=]

Neu:

A_20951-02 - Validierung der Signatur und des Zertifikats des CHALLENGE_TOKEN

Der Authorization-Endpunkt MUSS die Signatur des vom Authenticator-Modul übertragenen, signierten CHALLENGE_TOKEN anhand des mitgelieferten Authentifizierungs-Zertifikats überprüfen. Die Überprüfung MUSS neben der Signaturprüfung (Zertifikatskette) auch den Zertifikatszustand des Authentifizierungszertifikats anhand von mittels HCSL oder als Fallback OCSP umfassen. [<=]

Alt:

A_20465 - Zertifikatsprüfung gegen OCSP-Responder

Der Authorization-Endpunkt MUSS das Zertifikat des Antragstellers immer gegen den zugehörigen OCSP-Responder innerhalb der TI auf Gültigkeit prüfen. [<=]

Neu:

A_20465-01 - Zertifikatsstatusprüfung gegen HCSL oder OCSP-Responder

Der Authorization-Endpunkt MUSS das Zertifikat des Antragstellers immer gegen den zugehörigen HCSL oder als Fallback OCSP-Responder innerhalb der TI auf Gültigkeit prüfen. [<=]

Es wird Kapitel "6.1 Abkürzungen"  wie folgt angepasst:

Es wird Kapitel "6.5.1 Dokumente der gematik"  wie folgt angepasst:

3 Änderungen in Steckbriefen

3.1 Änderungen in gemProdT_IDP-Dienst_PTV

Anmerkung: Die Anforderungen der folgenden Tabelle stellen einen Auszug dar und verteilen sich innerhalb der Tabelle des Originaldokuments [gemProdT_IDP-Dienst_PTV]. Alle Anforderungen der Tabelle des Originaldokuments, die in der folgenden Tabelle nicht ausgewiesen sind, bleiben unverändert bestehenden.

Tabelle 1: Anforderungen zur sich. techn. Eignung "Herstellererklärung"

Tabelle 2: Anforderungen zur funktionalen Eignung "Produkttest/Produktübergreifender Test"

Tabelle 3: Anforderungen zur sich. techn. Eignung "Produktgutachten"

Tabelle 4: Anforderungen zur funktionalen Eignung "Herstellererklärung"

3.2 Änderungen in gemAnbT_IDP-Dienst_ATV

Anmerkung: Die Anforderungen der folgenden Tabelle stellen einen Auszug dar und verteilen sich innerhalb der Tabelle des Originaldokuments [gemAnbT_IDP-Dienst_ATV]. Alle Anforderungen der Tabelle des Originaldokuments, die in der folgenden Tabelle nicht ausgewiesen sind, bleiben unverändert bestehenden.

Tabelle 5: Anforderungen zur organ./betriebl. Eignung "Anbietererklärung"

Tabelle 6: Anforderungen zur sich./tech. Eignung "Gutachten (Anbieter)"