Hallo, in einer Arztpraxis sind in der Regel mindestens zwei SMC-B Karten verbaut. Eine im stationären Lesegerät am Konnektor und eine im mobilen Lesegerät. Beide SMC-B haben jeweils drei Zertifikate (ENC, AUT, SIG) d.h. es gibt pro Praxis mindestens zwei ENC-Zertifikate. Welches von den beiden soll man zur Verschlüsselung mit KIM verwenden? Sieht man der SMC-B oder dem Zertifikat darauf im Verzeichnisdienst irgendwie an, dass es "offline" ist, nicht im Konnektor steckt und damit gar nicht zur Verschlüsselung verwendet werden kann? Das Ganze kann ich noch auf die Spitze treiben mit einem Arzt, der in mehreren Praxen angestellt ist. Wenn ich an den einen Arztbrief/KIM schicken möchte, an welche seiner Praxen und dort an welche SMC-B adressiere ich? Gibt es überhaupt eine Zuordnung vom Arzt zu seinen möglichen SMC-B?
Mache ich irgendwo einen Denkfehler oder gibt es eine Datenstruktur in der das behandelt wird und ich sehe die nicht? Danke für jede Antwort, hunderteins
die Sache ist zum Glück ganz einfach gelöst: Jede Praxis hat eine TID (Telematik-ID) und unter dieser TID ist sie auch im zentralen Verzeichnisdienst (VZD). Zu diesem Praxiseintrag sind die 1-n KIM-Adressen hinterlegt, die die Praxis für sich bei einem KIM-Anbieter registriert hat und zu diesem Praxiseintrag werden einfach alle 1-n SMC-B-Zertifikate der Praxis (zu dieser TID) hinterlegt.
Wird nun eine KIM-Mail an diese Praxis geschickt, dann ermittelt das sendende KIM-Clientmodul automatisch über den VZD den zur KIM-Adresse gehörenden Praxiseintrag und verschlüsselt die Mail für ALLE SMC-B-Zertifikate, die im VZD zu dieser Praxis hinterlegt sind. Auf der empfangenden Seite ermittelt das KIM-Clientmodul für welche SMC-Bs die Mail verschlüsselt wurde und prüft, ob eine SMC-B davon über den Konnektor erreichbar ist. Die wird dann automatisch genommen.
Ergo: Egal wie viele SMC-Bs eine Praxis hat: Solange mindestens eine davon für den Konnektor erreichbar ist (was ja immer der Fall ist, sonst klappt VSDM nicht), funktioniert auch der Mail-Empfang mit KIM. Ohne dass jemand mitdenken muss.
Hallo nochmal, falls das so ist, dass einfach mehrere Zertifikate zur Verschlüsselung benutzt werden, was kommt dabei heraus? Ein einziges Chiffrat welches von mehrere privaten Schlüsseln entschlüsselt werden kann oder eine Aneinanderreihung von mehreren Chiffraten bei denen jeweils ein private Schlüssel zur Entschlüsselung verwendet wird? Für den ersten Fall ist meine Crypto-Fu zu wenig, Im zweiten Fall wäre das ein ganz schöner Overhead, jede KIM-Mail quasi n-Mal (n=Anzahl der SMC-B der Praxis)zu verschlüsseln und zu verschicken.
Es wäre verräterisch, wenn man der verschlüsselten KIM-Mail ansehen kann, welches Zertifikat verwendet wurde. Wird auf Empfängerseite nicht einfach ausprobiert, ob der private Schlüssel auf der SMC-B im Lesegerät am Konnektor passt oder nicht?
Es wird eine Hybridverschlüsselung genutzt: Die Mail selbst wird symmetrisch verschlüsselt, der Key dann asymmetrisch für alle Enc-Zertifikate aller Empfänger (kann ja mehr als einen geben). Damit der Overhead erträglich / kein Problem.
Und "verräterisch" ist da nichts, denn die Empfänger-Mail-Adressen stehen ja bereits im Header - sonst könnten die Mails ja nicht zugestellt werden.🤷♂️ Von daher liefern die Referenzen auf die SMC-Bs, die zu den Mailadressen gehören, keine neuen Infos. Und die SMC-B-Zertifikate sind ohnehin öffentlich (ist ja das Grundprinzip asymmetrischer Kryptografie🤓).
Es ist aber offenkundig nicht zwingend, daß auf ein SMB-C-Zertifikat verschlüsselt wird. Sonst würde meine Lösung nicht funktionieren, die mit einer einzigen KIM-Adresse auskommt, die an meine eHBA gebunden ist, oder?: (Daß ich hier nicht auf eigene Forumsbeiträge verlinken kann, finde ich verbesserungsfähig:) htt ps://w ww.ti-community.de/t54f22-KIM-VDZ-LDAP-konfigurieren-und-suchen-fuer-Thunderbird-Claws-Mail.html#msg159 Versenden können übrigens auch bei mir meine Mitarbeiterinnen, ohne die PIN meiner eHBA zu kennen. Nur beim Empfang (oder Signieren) muß die eHBA entsperrt im Kartenlesegerät stecken. Empfang geht mit einem normalen Emailclient, Signieren nicht.
Ich kann aus einer Kommunikation mit der CGM noch ergänzen: (...) Kann ich eigentlich meine KIM-Adresse durch Deregistrierung und Reregistrierung in der Installationssoftware für den KIM-Proxy von eHBA auf SMC-B umbuchen und umgekehrt? (...) Dies ist aktuell noch möglich; ab Kim 1.5 wird eine deregistrierte KIM-Adresse nicht mehr registrierbar sein. (...)
Zu den Verlinkungen: Ja, das könnte eleganter funktionieren... Verlinkung ist prinzipiell möglich, in der Toolbar oberhalb des Eingabebereichs gibt es das Icon zum Einfügen eines Links (Artikel mit einem Pfeil nach rechts). Beispiel: Link zum Artikel mit dem Hinweis auf die fehlende Verlinkung
Zum Kartenthema: Signiert wird die ausgehende eMail immer mit der SMC-B. Deswegen können Ihre Mitarbeiter auch Mails schicken, obwohl Ihre KIM-Adresse mit Ihrem HBA verknüpft ist. Soll hingegen der Payload signiert werden, z.B. ein Arztbrief, dann erfolgt dies mit Ihrem HBA - daher geht das nicht ohne Ihre PIN. Wenn Sie nun eine KIM-Nachricht erhalten, ist diese für Ihren HBA verschlüsselt. Daher können Ihre Mitarbeiter die Mail auch nicht entschlüsseln, wenn Ihr HBA mit Ihrer PIN-Eingabe nicht verfügbar ist.
Daher: Praxis-KIM idealer Weise immer mit der Praxis-SMC-B verknüpfen! Dann bleiben die Praxisprozesse möglich (wie beim Fax). Gesondertes KIM-Postfach mit HBA-Verknüpfung nur für Ausnahmefälle verwenden, bei denen das Praxispersonal die Nachricht nicht lesen können soll (dürfte die absolute Ausnahme sein).
Eine Frage zu Zertifikaten der SMC-B & KIM: Auf der SMC-B sollen ja 3 Zertifikate sein (ENC, AUT, SIG). Jetzt haben wir eine SMC-B auf welcher die doppelte Anzahl Zertifikate - 6 Stück je 2 ENC, AUT, SIG - ist. Im VZD sind also unter der Telematik-ID 2 ENC Zertifikate sichtbar.
Ein Versenden von KIM Mails ist nicht möglich es kommt SMPT Fehler ohne Rückkehr-Code. Gibt es dazu Erfahrungen?
Zitat von Bürostuhl im Beitrag #8Jetzt haben wir eine SMC-B auf welcher die doppelte Anzahl Zertifikate - 6 Stück je 2 ENC, AUT, SIG - ist. Im VZD sind also unter der Telematik-ID 2 ENC Zertifikate sichtbar.
Zumindest kann ich sagen, dass es technisch nicht möglich ist, auf einer SMC-B den doppelten Besatz an Schlüsseln und Zertifikaten zu speichern. Haben Sie eventuell 2 SMC-B bestellt? (zB eine als Backup oder aus Gründen der Lastverteilung)
Wenn Sie keine 2 SMC-B bestellt haben, ist dieser Eintrag im VZD in jedem Fall ein Fehler. Dann sollten Sie sich an Ihren Kartenherausgeber wenden, da dieser für die Einträge im VZD verantwortlich ist. Kann gut sein, dass dieser VZD-Fehler auch die Ursache für das KIM-Problem ist (wobei die angefragte Fehlermeldung immer noch interessant ist)
Zitat von MLangguth im Beitrag #10Zumindest kann ich sagen, dass es technisch nicht möglich ist, auf einer SMC-B den doppelten Besatz an Schlüsseln und Zertifikaten zu speichern. Haben Sie eventuell 2 SMC-B bestellt?
Danke für den Hinweis - kurios ist, dass auf dem Antrag der SMC-B (XML Export beim Trustcenter) tatsächlich 6 Zertifikate aufgeführt sind.
Ups, Kommando zurück: Durch die Dopplung RSA und ECC gibt es tatsächlich in Summe 6 Zertifikate:
EF.C.HCI.OSIG.R2048
EF.C.HCI.AUT.R2048
EF.C.HCI.ENC.R2048
EF.C.HCI.OSIG.E256
EF.C.HCI.AUT.E256
EF.C.HCI.ENC.E256
KIM verwendet (bislang) zum Signieren nur die RSA-Variante. Für die Verschlüsselung kommt hingegen sowohl RSA als auch ECC zum Einsatz.
Von daher ist die Zertifikatslage klar und bei dieser SMC-B auch nicht anders als bei allen anderen. An der SMC-B oder den VZD-Einträgen scheint das Problem dann nicht zu liegen.
Die 2 ENC Zertifikate (RSA & ECC) sind im VZD veröffentlicht und daher stirbt der Registrierungsprozess der KIM Adresse ab. Eine Anfrage beim Trustcenter ist gestellt. Unklar ist mir, warum alle aktuellen SMC-B Karten nur ein Zertifikat veröffentlicht haben (die Problemkarte ist von 2018).
TI-Community
»
TI-Nutzung und Nutzen aus Anwendersicht
»
sichere eMail (KIM)
»
[KIM] Adressierung der Praxis - welche SMC-B/Zertifikat nimmt man?
24.04.2021 11:11 (zuletzt bearbeitet: 24.04.2021 11:24)
Thema drucken
Antworten
