MediTrust Anwendung
Im Zuge dieses Arbeitspakets werden die MediTrust-spezifischen Anwendungsfälle aus AP 1.1 umgesetzt. Die Realisierung konkreter Funktionen wird anhand eines interativen Entwicklungsprozesses umgesetzt, d.h., einzelne Funktionen werden in Iterationsschritten bestehend aus Design, Realisierung und Test umgesetzt. Umzusetzende Forschungs- und Entwicklungsaufgaben sind:
AP 2.1: eGK Connector Support: Um Abrechnungssysteme der kassenärztlichen Vereinigung nutzen zu können, muss der Turaya Sicherheitskern den Zugriff auf die elektronische Gesundheitskarte (eGK) und den zugehörigen Software-Stack unterstützen. Weiterhin muss sichergestellt werden, dass im Gegensatz zu einem herkömmlichen Betriebssystem eine Kompromittierung des Benutzerbetriebssystems weder die Vertraulichkeit von Patentendaten, noch die der Authentifikationsdaten gefährdet. Daher wird in diesem Arbeitspaket ein grundlegendes Konzept erarbeitet und umgesetzt, welches die sichere Anbindung eines eGK-Lesegeräts an den Turaya Sicherheitskern und die Durchsetzung von entsprechenden Zugriffsregeln ermöglicht. Hierzu muss eine geeignete Sprache für die Definition von Zugriffen auf Geräte spezifiziert und umgesetzt werden.
AP 2.2: Management von Compartment Images: Um eine einfache Aktualisierungsfunktion von sicherheitskritischen Compartments und eine einfache Integritätsprüfung von Compartments realisieren zu können, wird ein grundlegendes Konzept erarbeitet, welches für verschiedene Client-Betriebssysteme eine Trennung des virtualisierten Betriebssystems und den damit verarbeiteten Benutzerdaten realisiert. Um eine Authentifikation von Compartments zu gewährleisten, muss das Konzept berücksichtigen, dass die Hashwerte der Compartments möglichst nicht verändert werden dürfen. Eine in diesem Arbeitspaket zu analysierende Umsetzungsvariante ist die Erstellung von abgeleiteten Compartment-Konfigurationen basierend auf einem zentralen Compartment-Image, so dass nur die jeweilige Differenz übertragen werden muss. Eine weitere zu untersuchende Alternative ist, zum Zeitpunkt der Compartment-Nutzung die benötigten Images vom Management-Server herunterzuladen. Als Mindestanforderung muss dieses Konzept für die Betriebssysteme Linux und Microsoft Windows XP umgesetzt werden.
AP 2.3: Updatekonzept der Abrechnungssoftware: Basierend auf den Ergebnissen der Anforderungsanalyse aus AP 1.1 und den Ergebnissen aus AP 2.2 wird in diesem Arbeitspaket ein sicheres Updatekonzept für die Abrechnungssoftware erarbeitet und umgesetzt. Eine besondere Herausforderung ist hierbei die heterogene Infrastruktur bestehend aus verschiedenen IT-Dienstleistern in Kombination mit verschiedenen KV-Abrechnungsstellen. Wird von einem IT-Dienstleister eine neue Softwareversion zur Verfügung gestellt, muss daraus ein neues Compartment generiert, und entsprechende Integritätsmessungen (SHA256-Digest) durchgeführt werden. Nach dem Update der Abrechnungssoftware müssen alle Turaya-Instanzen genau diesen gemessenen Integritätswert attestieren.
AP 2.4: Schutz von Patientendaten: Um den Schutz von Patientendaten zu gewährleisten, wird in diesem Arbeitspaket ein Konzept erarbeitet und umgesetzt, welches ermöglicht vertrauliche Daten mittels Trusted Computing Technologie an die Computerplattform zu binden, so dass eine Umgehung von Zugriffsregeln, beispielsweise durch Manipulationen an der Betriebssoftware, unterbunden wird. Ein bisher ungelöstes Problem in diesem Zusammenhang ist die Berücksichtigung von Konfigurationsänderungen aufgrund von Softwareupdates, welche bei naiver Verwendung von Trusted Computing Funktionen die Verfügbarkeit von Benutzerdaten nicht garantieren können. Es ist geplant, ein Lösungskonzept basierend auf Property-based Sealing zu realisieren.
AP 2.5: Informationsflusskontrolle der sicheren GUI: Zum Schutz der Integrität und Ver-traulichkeit von Patientendaten muss auch das graphische Benutzerinterface der MediTrust Anwendung Zugriffsregeln berücksichtigen. Beispielsweise sollte es möglich sein, mittels „Copy & Paste"-Funktion Daten aus dem Internet in eine Patientenakte zu übernehmen, wo-hingegen das Kopieren von Patientendaten in eine unsichere Umgebung (z.B. einen Web-browser) unterbunden werden muss. Hierzu wird in diesem Arbeitspaket die theoretische Grundlage geschaffen um eine Informationsflussregel mittels einer sicheren Benutzerschnittstelle durchzusetzen. Dieses Konzept wird in einem zweiten Schritt praktisch umgesetzt und in die existierende Secure GUI integriert. Weiterhin muss in diesem Arbeitspaket ein Lösungskonzept für die Inter-Compartment Kommunikation und für die Benutzerbenachrichtigung erarbeitet werden. Ein sehr wichtiger Aspekt in diesem Zusammenhang ist die Realisierung eines Passwort- und Walletdialogs durch die SecureGUI.
AP 2.6: Client Anonymisierung: Ziel dieses Arbeitspakets ist zu garantieren, dass MediTrust-Anwendungen auf interne und externe Server anonym zugreifen können, um z.B. ein Tracking zu verhindern. Dies ist insbesondere eine Herausforderung im Kontext von Trusted Computing Technologie, welche eine eindeutige Identifikation einzelner Rechnerplattformen gestattet. Daher werden in diesem Arbeitspaket Grundlagenkonzepte erarbeitet und umgesetzt, die unter Verwendung anonymitätsschützender kryptographischer Verfahren, wie z.B. dem „Direct Anonymus Attestation" (DAA) Protokoll, einen anonymen Client-Zugriff ermöglichen.
