Vertrauen, beglaubigt vom digitalen Notar

Chaosradio

CR285: Ein offener Brief aus der Wissenschaft gegen den gefährlichen EU-Plan für eine Zertifikat-Parallelinfrastruktur

Im Chaosradio 285 geht es um ein Vorhaben der Europäischen Union zur Einführung eines digitalen Identitätsnachweises und anderer Vertrauensdienste, das eine frühere Gesetzgebung reformieren soll. Ein wichtiger Teil der Gesetzgebung ist die „European Digital Identity Wallet“ (ID-Wallet), die in allen Mitgliedstaaten angeboten werden soll. An dieser „Digital-Brieftasche“ in der eIDAS-Verordnung gibt es einige Kritik, die wir nicht verheimlichen wollen.

Aber neben den Kritikpunkten an der ID-Wallet erregt vor allem der Artikel 45 der Gesetzesvorhabens die Gemüter der technischen Community. In diesem Artikel geht es um TLS-Zertifikate und die Vertrauensketten von Zertifikaten. Es soll in Europa eine Parallelinfrastruktur mit anderen Sicherheitsrichtlinien für die Zertifikate eingerichtet werden. Die breite Kritik in Form eines offenen Briefs kommt aus der Wissenschaft, aber auch von NGOs sowie von Google und Mozilla. Mittlerweile haben mehr als 550 IT-Sicherheitsfachleute und dutzende NGOs unterzeichnet. Die begründete Befürchtung ist, dass die geplante Neuregelung die Sicherheit der Zertifikatsinfrastruktur schwächt und damit verschlüsselte Kommunikation im Netz unterminiert und zugleich weitreichende Überwachungsmöglichkeiten eröffnet.

Das Team diesmal: Moderator Marcus mit seinen Gästen Anja, Constanze und Jiska (v.l.n.r.).

Wir sind nah am Puls der Zeit: Erst Ende November fand eine letzte Abstimmung im Industrieausschuss (ITRE) des EU-Parlaments zu dem Vorhaben statt. Ob eine Mehrheit für oder gegen die eIDAS-Reform stimmen wird, ist vor der Aufzeichnung des Podcasts nicht mehr entschieden worden. Heute hat ITRE dann zugestimmt. Die Änderungen am Artikel 45, die es nach dem offenen Brief noch gab, waren zuvor als unzureichend kommentiert worden.

Wenn ihr wissen wollt, was in diesem Artikel 45 denn nun drinsteht, hört rein! Fragt ihr euch, was eine Root CA ist? Welche Parallelinfrastruktur soll entstehen? Und ist die Wissenschaft jetzt auch ein Opfer des Lobbyismus geworden? Darüber unterhält sich Marcus Richter mit seinen Gästen Anja Lehmann, Constanze Kurz und Jiska Classen im Chaosradio 285.

Ein Teil des Gesprächs findet sich bei netzpolitik.org in schriftlicher Form. Wenn ihr noch mehr Kontext zu Verschlüsselung braucht, bietet sich das Chaosradio 192 „Radioaktive Cryptoparty“ an.

Referenzen

• CR172: SSL. Oder: Einmal aufmachen, bitte
• CR192: Radioaktive Cryptoparty
• CR248: HTTPS

Kapitel

1. Einleitung zum Chaos Radio 285 (00:00:00)

2. Hintergrund des EIDAS-Gesetzes und Trilog im EU-Gesetzgebungsprozess (00:02:03)

3. Sichere digitale Identitäten - Meinungen gehen auseinander (00:08:26)

4. Kritik am EIDAS-Gesetzesvorhaben - technische Details und Diskriminierung (00:12:26)

5. Entscheidungsfreiheit bei der Nutzung der Identitätsattribute (00:16:03)

6. Kritik an mangelnder Datenschutzfolgeabschätzung (00:18:53)

7. Kritische Haltung zum Gesetz und seine Auswirkungen (00:20:12)

8. Potentieller Schaden bei Nutzung des Gesetzes (00:23:30)

9. Offener Brief zur EIDAS-Gesetzgebung (00:26:59)

10. Artikel 45 und die Bedeutung für Browser-Verschlüsselung (00:30:05)

11. Schlüsselaustausch über unsicheren Kanal - faszinierendes Konzept (00:33:21)

12. Technische Realisierung von Rootzertifikaten (00:39:47)

13. Revokation und Zuständigkeit für Zertifikatsausstellung (00:42:30)

14. Gefahr staatlicher Überwachung durch Unterminierung der Vertrauenskette (00:45:46)

15. Mögliche Auswirkungen: Software-Updates mit manipulierter Software installieren (00:49:44)

16. Bedenken bezüglich Einschränkungen der Browserhersteller (00:52:57)

17. Einschränkung der Sicherheitschecks und EU-Verordnung zu Zertifikaten (00:56:50)

18. Beispiel Let's Encrypt als Möglichkeit zur Veränderung (01:00:09)

19. Neue Zertifikate sollen legale Identität überprüfen (01:04:02)

20. Diskussion über Artikel 45 und Zertifikatsstruktur (01:07:03)

21. Reaktionen auf den offenen Brief (01:10:21)

22. Herausforderungen bei der Umsetzung eines umstrittenen Gesetzes (01:13:52)

23. Proteste gegen den Kommissionsvorschlag 2021 (01:20:59)

24. Kritik an der EU und Interessenträger in Brüssel (01:23:06)

25. Verbreitung der Informationen und kritische Presseberichte (01:24:51)

26. Outro: Systemabsturz - Verdächtig (01:25:53)