ich habe die Tage mal etwas mit KIM experimentiert und bin über eine falsche Konfiguration auf eine interessante Sache gestoßen (wie ich finde). ich habe 2 KIM-Adressen die jeweils an unterschiedliche SMC-B gebunden sind, welche in 2 unterschiedlichen KTs stecken die an 2 unterschiedlichen Konnektoren angebunden sind.
Jetzt habe ich den Account der Adresse 1, welche eigentlich an die SMC-B 1 gebunden ist, mit dem KIM Clientmodul der Adresse 2 verbunden, welches mit Konnektor 2 verbunden war. Als ich jetzt eine KIM Mail verschickt mit Adresse 1 verschickt habe, wurde diese mit der SMC-B 2 signiert! Das KIM Clientmodul hat einfach die erstbeste entsperrte SMC-B (in diesem Fall SMC-B 2) genommen und die Signatur damit durchgeführt, ohne zu prüfen, ob die Adresse 1 überhaupt mit der SMC-B 2 verknüpft ist (was ja nicht der Fall ist)!
Sicherheitstechnisch würde ich das jetzt mal als Albtraum bezeichnen, mich würde aber mal interessieren, was denn die Spezifikation dazu sagt? Denn immerhin ist das genutzte KIM-Clientmodul ja von der gematik zertifiziert! Soll das wirklich so sein? Ja, man bräuchte erstmal die Zugangsdaten des Konnektors, aber falls die bekannt sind oder der ungeschützt im Praxisnetz steht, ist das durchaus denkbar.
Ich bin auf eure Meinungen gespannt. Gerne auch einmal nachmachen!
1 Mitglied findet das Top!
1 Mitglied hat sich bedankt!
Signieren heißt erst mal nur, die Unversehrtheit der Nachricht zu beim Empfänger zu prüfen. Beim Absenden (nicht Absender) wurde eine Prüfsumme gebildet und diese wurde von wem auch immer beim Absenden unterzeichnet. Es geht darum, zu prüfen, ob die E-Mail auf ihrem Weg verändert wurde und ob man dem Unterzeichner vertraut. Natürlich wäre eine Meldung "Der Absender stimmt nicht mit der unterschreibenden Person überein" hilfreich.
Kann man der Kombination Mandant, Client, Arbeitsplatz mehrere SMC-B zuordnen? Denn darüber wird auch die Authentifizierung für das KIM Clientmodul geregelt.
Zitat von dhpvs im Beitrag #5Kann man der Kombination Mandant, Client, Arbeitsplatz mehrere SMC-B zuordnen? Denn darüber wird auch die Authentifizierung für das KIM Clientmodul geregelt.
Zitat von dhpvs im Beitrag #1ich habe 2 KIM-Adressen die jeweils an unterschiedliche SMC-B gebunden sind, welche in 2 unterschiedlichen KTs stecken die an 2 unterschiedlichen Konnektoren angebunden sind.
Vereinfachen wir dieses Setting mal etwas: Es gebe nur einen Konnektor mit einem Terminal, in dem 2SMC-B's stecken. Beide freigeschaltet. Wenn nun das ClientModul eine Mail abschicken will, woher soll es denn wissen, welche Mailadresse welcher SMC-B zugeordnet ist ?
Über zwei Manteneinträge wäre das möglich. Statt Mandat "M1" wäre das "M1-1" und "M1-2", um zu kennzeichnen, dass es nur einen Mandat gibt. SMB-C 1 = M1-1 und SMB-C 2 = M1-2 und die KIM Adressen einzeln zuweisen..
Nur so als Idee, aber so ist das nie gedacht gewesen.
Also intendiert ist natürlich, dass mit der richtigen SMC-B signiert wird. Jetzt ist zu prüfen, ob hier ein Fehler im KIM-Clientmodul oder "nur" eine Fehlkonfiguration vorliegt.
Wenn Sie das KIM-Postfach einrichten, müssen sie für die SMTP-Nutzerkennung (im PVS/Mailprogramm) den folgenden String eingeben:
Die Übergabeparameter müssen natürlich zu dem passen, was im Konnektor im statischen Informationsmodell hinterlegt ist. D.h. es muss gemäß Auszug aus der Spezifikation dort einen Mandanten "1" geben, einen Arbeitsplatz "7" und dieser Kombination muss die richtige SMC-B als Default-SMC-B zugeordnet sein. Diese wird dann vom KIM-Clientmodul zur Signatur verwendet. Ist alles richtig konfiguriert, sollte auch mit der richtigen Karte signiert werden.
Entsprechend einmal die Werte in der SMTP-Benutzerkennung (PVS) mit den im Konnektor definierten Informationsmodell vergleichen (Admin-Zugang zum Konnektor zur Einsicht erforderlich).
Ja, es ist richtig dass eine Fehlkonfiguration vorlag. Aber das begründet nicht, warum das Clientmodul trotzdem einfach eine für die KIM-Adresse NICHT hinterlegte SMC-B für die Signatur nutzt. Hier erwarte ich einen Sicherheitsfehler! Ich kann den Benutzernamen ja beliebig anpassen. Habe ich also verschiedene Ärzte auf einem Konnektor, kann der eine Kollege (zwar mit seiner E-Mailadresse) mit der Signatur des anderen Kollegen eine KIM Nachricht verschicken.
Ich bin der festen Überzeugung, dass es ein Sicherheitsproblem ist, wenn ich von einer KIM Adresse X eine Nachricht mit einer anderen Signatur verschicken kann, als von der Karte, die der KIM Adresse X hinterlegt ist! Unabhängig davon, wie ich das konfiguriere.
Zitat von dhpvs im Beitrag #10Ich bin der festen Überzeugung, dass es ein Sicherheitsproblem ist, wenn ich von einer KIM Adresse X eine Nachricht mit einer anderen Signatur verschicken kann, als von der Karte, die der KIM Adresse X hinterlegt ist! Unabhängig davon, wie ich das konfiguriere.
Dem schließe ich mich an!
Bitte senden Sie Ihr "Testergebnis" an betrieb@gematik.de Es ist wichtig, dass die gematik Bescheid weiß und anschließen agieren kann. (hoffen wir, sie tut es).
Zitat von dhpvs im Beitrag #10........Habe ich also verschiedene Ärzte auf einem Konnektor, kann der eine Kollege (zwar mit seiner E-Mailadresse) mit der Signatur des anderen Kollegen eine KIM Nachricht verschicken.
Ich bin der festen Überzeugung, dass es ein Sicherheitsproblem ist, wenn ich von einer KIM Adresse X eine Nachricht mit einer anderen Signatur verschicken kann, als von der Karte, die der KIM Adresse X hinterlegt ist! Unabhängig davon, wie ich das konfiguriere.....
Evt. ist die Denkweise Kollege falsch. Die SMC-B ist eine Praxiskarte und kann für mehrere E-Mail Adressen (Ärzte) innerhalb des Mandanten genutzt werden. Und diese Praxiskarte singniert alle E-Mails. Sollte die Praxis Dr. A gehören und E-Mail Adressen von Dr. A., Dr. B. und Dr. C dort existieren, dann steht in der E-Mail von Dr.B., dass sie von Dr.A. signiert wurde. Klingt komisch macht aber in der Denkweise "Dr.A. ist eine Praxis" mehr Sinn.
Das kann man jetzt drehen und wenden wie man möchte. Wenn man von einer kleinen Praxis ausgeht könnte man so argumentieren. Wenn man aber an ein MVZ, ein Krankenhaus oder die TI as a Service denkt, sieht die Welt schon anders aus. Jeder IT Sicherheitsexperte wird ihnen sagen, dass das NIE so sein darf.
Aktuell habe ich keine Zeit mich nochmals in Detail damit auseinander zu setzen, sobald ich das aber habe werde ich ggf die gematik informieren.
Zitat von WolfgangD im Beitrag #12Die SMC-B ist eine Praxiskarte und kann für mehrere E-Mail Adressen (Ärzte) innerhalb des Mandanten genutzt werden. Und diese Praxiskarte singniert alle E-Mails. Sollte die Praxis Dr. A gehören und E-Mail Adressen von Dr. A., Dr. B. und Dr. C dort existieren, dann steht in der E-Mail von Dr.B., dass sie von Dr.A. signiert wurde.
In so einem Fall ist das so - wenn das KIM Konto SMC-B bezogen eingerichtet wurde, wird immer ausgehend mit der SMC-B signiert- unabhängig davon dass natürlich jeder Mailanhang (eAU oder Arztbrief) dann noch zusätlich "persönlich" von jedem einzelnen Kollegen signiert werden kann und muss dann via EHBA . Eine Praxis Dr. A und Kollegen mit 3 Kollegen B,C,D läuft dann über diese eine SMC-B "DR. A und Kollegen" .
Ich hatte den Beitrag aber bislang so verstanden, dass es eben hier grad darum ging, dass es an dieser Stelle eine Kreuznutzung von 2 smc-B somit 2 Instiutionsidentitäten gegeben hat- das heißt dochn für die Praxis im Frontend: Institution "Praxs Dr. Müller" schickt eine KIM Nachricht raus und ggf. unbemerkt mit der Identität von Institution "Dr. Meier" nebenan.... ? Und Dr. Meier kriegt davon nix mit. Oder noch besser: Dr. Müllers SMB-B ist gesperrt, aus welchen Gründen auch immer- trotzdem kann Dr. Müller jedenfalls noch im Bestandsverbundsystem weiter KIM Botschaften schicken- weil es ja noch eine weitere SMC-B gibt, auf die der Konnektor zugreift...
Für mich zum Dazulernen (und sorry an die technischen Profis für diese Anfängerfrage, die Ihnen vermutlich selbstverständnlich inhaltlich ist) aber ich muss das grad nochmal fragen: Wo genau würde ich das überhaupt sehen , mit welcher SMC-B signiert wurde ? BIn ich richtig, wenn ich das im Signaturprüfungsbericht, der jeder KIM Mail anhängt, nachschaue? Und müsste ich unter diesen Umständen eigentlich jetzt noch bei jeder KIM Mail die Signatur des Absender wirklich prüfen- bzw. "gehört" sich das so, das noch immer mit nachzuschauen aus Sicherheitsgründen und mir war das nur noch nicht so bewusst?
TI-Community
»
Hersteller- und Zulassungsthemen
»
Konzepte, Spezifikationen, Richtlinie
»
KIM Signatur von "falsche" SMC-B - soll das so?
15.11.2021 21:35 (zuletzt bearbeitet: 15.11.2021 21:41)
Thema drucken
Antworten
