Cryptographic Service Provider (CSP)
Mittels einer standardisierten Anwendungsschnittstelle (API) kann der CSP als kryptografischer Abstraktions-Layer für Hardware-Sicherheitsanker genutzt werden, um Sicherheitszertifizierungen nach Common Criteria für Anwendungen, die auf dem CSP basieren, zu vereinfachen. Das BSI bringt derzeit das nationale Thema CSP in ein internationales Umfeld, um Cybersicherheit und Digitalisierung voranzubringen.
.
Der „Cryptographic Service Provider“ (CSP) ist ähnlich einer kryptografischen Software-Bibliothek: Er bietet typische Sicherheitsfunktionen an, die Anwendungen über ein standardisiertes API nutzen, um ihre Anwendungslogik abzusichern. Diese Funktionen reichen von Basisoperationen wie Verschlüsselung und Signaturen bis hin zu komplexen Aufgaben wie dem kryptografischen Nachweis von Schlüsselbesitz (Key-Attestation). Dazu wird insbesondere die sichere Aufbewahrung und der sichere Umgang mit Schlüsselmaterial vom CSP gewährleistet.
Das Besondere am CSP: Kryptografische Software-Bibliotheken stellen meist nur kryptografische Basisfunktionen, wie zum Beispiel Algorithmen für die Ver- und Entschlüsselung oder Funktionen zur Schlüsselerzeugung, zur Verfügung. Der CSP stellt dagegen vollständige Sicherheitsfunktionen zur Verfügung, zum Beispiel kryptografisch abgesicherte Protokolle, Authentisierungsfunktionen oder digitale Signaturen. Die Sicherheitsfunktionen werden gekapselt als Services bereitgestellt: Dadurch wird gewährleistet, dass Anwendungen, die ausschließlich den CSP für sicherheitskritische Funktionen nutzen, selbst kein lohnendes Ziel für Angriffe und Kompromittierungsversuche sind.
Zertifizierungsskalierung im Kontext Smartphones
Durch Updates oder neue Bauteile entwickeln sich Hardware, Betriebssystem und Konfigurationen von Smartphones und anderen mobilen Nutzerendgeräten ständig weiter. Eine klassische Compositezertifizierung nach Common Criteria (CC) müsste bei jeder Änderung der Plattform neu durchlaufen werden, was angesichts der Vielzahl an Plattformkonfigurationen und kurzen Produktzyklen oft weder zeitlich noch wirtschaftlich realisierbar ist.
Der CSP adressiert dies und eignet sich besonders für Szenarien mit hohem Schutzbedarf, bei denen eine Composite-Zertifizierung der Komponenten aufgrund der Plattform-Vielfalt schwer umsetzbar ist – etwa für mobile eID- oder Wallet Lösungen auf Smartphones.
Historie des CSP
Das Konzept des CSP wird unter anderem in nationalen Digitalisierungsprojekten eingesetzt. Hierfür veröffentlichte das BSI zwei Schutzprofile (PP-0104 und PP0111) sowie die Technische Richtlinie CSP (TR-03181).
Ein erfolgreich etablierter Anwendungsfall ist der Einsatz des CSP für „Technische Sicherheitseinrichtungen“ (TSE) in Registrierkassen: Jeder Kassenzettel in Deutschland enthält eine Signatur, die durch einen CSP generiert wird.
Internationale Aktivitäten
Durch das BSI wurde der CSP in das ENISA Scheme „Specifications For eUICC Certification Under The EUCC Scheme“ verankert. Das Dokument definiert Guidelines zur Zertifizierung von „embedded Universal Integrated Circuit Cards“ (eUICCs) auf Basis von CC-Schutzprofilen. Dadurch erlangte der CSP internationale Aufmerksamkeit, was eine Forderung nach detaillierteren CSP-Spezifikationen auslöste – insbesondere für „embedded Secure Elements“ (eSE) und eSIMs.
Das BSI initiierte 2023 die Spezifikation eines JavaCard-basierten CSP bei der GlobalPlatform (GP). Gemeinsam mit Chipherstellern und Smartphone-Betriebssystemanbietern entsteht dort eine Erweiterung der GP Card-Spezifikation (Amendment N – CSP), deren finale Veröffentlichung für 2025 geplant ist. Parallel dazu begannen Arbeiten an einem neuen Schutzprofil für diese CSP-Spezifikation.
Im Zuge der Spezifikationsarbeiten ergaben sich Detailfragen, insbesondere zur Einordnung der Zertifizierungsvorteile für Anwendungen. Bisher stellt das CSP-Schema diesbezüglich vor allem ein Konzept dar, dessen konkrete Ausprägung an einigen Stellen noch detailliert werden muss. Um diese Lücke zu schließen, wird derzeit im BSI eine CC-Methodik für CSP-basierte Evaluierungen entwickelt, die beim CC-Zertifizierungsschema der European Union (EUCC) eingereicht werden wird.
Was macht das BSI zum Thema CSP?
Die Arbeiten zum CSP erfordern verschiedene Kompetenzen und werden daher innerhalb des BSI in mehreren Abteilungen bearbeitet: Das reicht von technischem Knowhow zu Secure Elements und der Erstellung aller relevanten BSI-Dokumente zum CSP. Andere BSI-Expertinnen und -Experten bringen anwendungsspezifische Anforderungen ein und sind zuständig für die internationalen Standardisierungsaktivitäten. Ein wichtiges Thema sind zudem immer wieder Fragen rund um die Zertifizierung. Zudem wird im BSI an der Entwicklung einer CSPbasierten Evaluierungsmethodik gearbeitet, die in der Folge in den europäischen CC-Zertifizierungsgremien abgestimmt wird. Nicht zuletzt fließt das Know-how zu kryptografischen Algorithmen in den gesamten CSP-Prozess ein.
Ausblick
Die Idee des CSP, „sicherheitskritische Funktionen für Anwendungen bereitzustellen“, ist nicht trivial. Die Möglichkeit, verschiedenste Use-Cases sicher, effizient und CC-evaluiert in die Breite zu bringen, ist jedoch eine essenzielle Notwendigkeit zur Bewältigung aktueller und zukünftiger Aufgaben, zum Beispiel einer gelungenen Umsetzung des EUDI-Wallet und weiterer Digitalisierungsprojekte für Staat, Wirtschaft und Gesellschaft.
Die Herausforderungen, die sich hierbei unweigerlich ergeben, nutzt das BSI auch weiterhin als Chance, um das Konzept kontinuierlich weiterzuentwickeln. Unsere Vision ist, dass der CSP die Grundlage für sicherheitskritische Anwendungen auf Endnutzer-Geräten bildet – und damit Smartphones sicherer machen wird.