Jugendschutz mit Geldkarte

[Dante]

also ich hab jetzt mal ein bisschen gegoogelt und poste einfach mal ein paar Links dazu.
Um mich da jetzt richtig reinzuknien fehlt mir momentan leider die Zeit, aber ich fürchte, es ist eine recht teure Angelegenheit, da ein Klasse 3 Zertifikat, das dafür wharscheinlich erforderlich wäre, alleine schon 49 Euro kostet, aber leste es euch am besten selber mal durch

https://globalsign.wis.de/certs/info...gnatur/#GK0304
von der Sparkasse:
http://www.s-trust.de/faqs/index.htm
Post:
http://www.deutschepost.de/dpag?xmlFile=49490&tpl=html3
was Heise dazu sagt:
http://www.heise.de/newsticker/meldung/24100
und wem das noch nicht reicht, der kann gerne selber nochmal nachgooglen ^^

[blutfeuer]

ich finde da keinen hinweis darauf, das tatsächliche alter einer jeweiligen person zu ermitteln. hab ich was übersehen, oder ist das da nicht mit drin ?
so wie ich das seh, kann sich auch ein minderjähriger eine digitale signatur zulegen. oder nicht ?

[Dante]

wie sieht es hiermit aus?
http://www.geldkarte-jugendschutz.de...m_internet.htm

klingt so auf Anhieb eigentlich ganz brauchbar

[Daen vom Clan]

(Themen zusammengeführt)

Und trotzdem: Ein Bürgschaftssystem ist die beste Lösung für ein nicht kommerzielles Forum das auf ehrenamtlicher Arbeit basiert

[blutfeuer]

wie sieht es hiermit aus?
http://www.geldkarte-jugendschutz.de...m_internet.htm

klingt so auf Anhieb eigentlich ganz brauchbar

...

ja, sieht wirklich gut aus. nur finde ich nichts darüber, woher man ein lesegerät bekommt oder anderweitig benutzen kann um die daten zu uns zu übertragen. der preis wäre vielleicht auch ganz interessant. es wird sicher niemand mehrere hundert euronen für ein lesegerät ausgeben wollen.

[BeyondTheTruth]

Oje.. ^^

Ich weiß es nicht. Wir sind in dieser Thematik genauso Noob wie die meisten hier.
Aber ich finde es gut, dass hier endlich mal Vorschläge gepostet werden anstatt rumzunerven.

Ich bin prinzipiell für alle Vorschläge bereit. Mach mal nen neuen Thread auf, wo du die Infos und Vorteile der Elektronischen Signatur postest. Wir schauen uns das Ganze dann an und bewerten die Methode und nehmen es eventuell als zusätzliche Methode in unserem Zulassungsverfahren-Portfolio auf.

...

Da hab ich mir was angefangen - also ich hoff mal, dass das was ich wiedergebe so einigermaßen stimmt. Wir haben uns vor einiger Zeit in der Firma mal am Rande damit beschäftigt und ich versuch einfach mal die Grundlegenden Dinge wieder hervorzukramen, aus meinem löchrigen Gedächtnis.

Bei digital signierten Dokumenten wird mit einem Privatekey und einer aus dem Dokument (z.B. einem Mail oder einem PDF) erzeugten EINDEUTIGEN "Checksumme" ein Hashwert erzeugt.
Das heißt: aus dem Inhalt dieses Dokumentes wird mit einem bestimmten Verfahren in einen eindeutigen Wert errechnet. Würde das Dokument danach verändert, wäre dieser Wert bei einer späteren Überprüfung nicht mehr korrekt.
Zudem wird eben genau dieser Wert jetzt verschlüsselt. Mit einem INDIVIDUELLEN eindeutigen privaten Schlüssel, den man bei Beantragung einer digitalen Signatur bei einer sogenannten qualifizierten Zertifizierungsstelle erhält.
Den kann man entweder als einfache Datei erhalten (dann muss man aufpassen, dass diese Datei nie jemand anders in die Hand bekommt) oder in Form einer Smartcard, bzw. eines USB-Tokens -diese Methoden verlangen beim Einsatz zuerst ein Passwort bevor sie das tun, was man letztendlich auch mit dieser Datei machen kann -
Mit dem privaten Schlüssel (ob auf Datei, Smartcard oder USB- Token) wird eben letztendlich die, aus dem jeweiligen Dokument eindeutig generierte Checksumme verschlüsselt.
Was hat man davon?
Die Entschlüsselung kann JEDER vornehmen.
Mit einem ÖFFENTLICHEN SCHLÜSSEL, den man bei Bentragung der digitalen Signatur ebenfalls erhält.
Heißt: Es gibt zu jedem PRIVATEN SCHLÜSSEL (den nur der jeweilige Antragsteller erhält) einen ÖFFENTLICHEN SCHLÜSSEL, der eben jedem zugänglich ist.
Mit letzterem kann man eben alle Daten die mit dem zugehörigen privaten Schlüssel verschlüsselt wurden wieder entschlüsseln.
Klingt nun ziemlich blöd - also kann ja jeder, weil eben dieser öffentliche Schlüssel jedem zugänglich ist, ja wiederum diese Daten entschlüsseln.
JA! Es geht hier auch nicht darum, dass die Daten aus irgendwelchen Sicherheitsgründen verchlüsselt werden, sondern dass GENAU DIE PERSON, GENAU DAS DOKUMENT SIGNIERT hat (also die Checksumme mit SEINEM privaten Schlüssel verschlüsselt und auch nur mit SEINEM öffentlichen Schlüssel wieder entschlüsselbar macht).
Wir wissen also jetzt, dass ein Dokument dessen Checksumme mit einem bestimmten öffentlichen Schlüssel "entschlüsselbar" ist (wobei ja nur die Checksumme entschlüsselt wird) auch tatsächlich Verfasser DIESES Dokuments sein muss (wäre das Dokument nachher nochmal geändert worden, würde ja die entschlüsselte Checksumme nicht mehr dazu passen).
Der ÖFFENTLICHE Schlüssel jedes Signaturservers liegt auf den Servern der qualifizierten Zertifizierungsstelle, bei der der Antragsteller seine Signatur bestellt hat.
Diese ist bei Beauftragung dafür zuständig, anhand bestimmter Verfahren die Identität des Auftraggebers sicher zustellen - macht also das, was ihr hier braucht EINMALIG, bevor sie eine derartige Signatur ausstellt (und haben natürlich eben die entsprechenden Wege/Mittel das auch wirklich sicher zu stellen).
Dann wird der öffentliche Schlüssel eben auf den Servern bereitgestellt, damit jeder ihn einsehen kann. Dieser wird in Form eines Zertifikates (eine Datei) bereitgestellt - dieses Zertifikat enthält neben dem öffentlichen Schlüssel NATÜRLICH auch den Namen, desjenigen dem der Schlüssel gehört (sonst hätte das ja nicht viel Sinn) - damit kann Herr Franz Müller, wenn er ein Dokument -verschlüsselt mit seinem privaten Schlüssel- versendet, auch beweisen dass er Herr Franz Müller ist. Weil der Empfänger das Dokument anschließend mit dem dazugeörigen öffentlichen Schlüssel entschlüsselt und dabei im zugehörigen Zertifikat eben sieht, dass dieser öffentlicher Schlüssel eben Herrn Franz Müller gehört. Dass diese Angaben im Zertifikat stimmen, dafür bürgt die qualifizierte Zertifizierungsstelle...
UND NUN KOMMTS: In diesem Zertifikat steht auch das Geburtsdatum - ergo kann mit so einer Signatur das Alter des Ausstellers überprüft werden.

Ich versende also z.B. ein digital signiertes Mail an den RPG-Kingdom (die gängigen Mailclients unterstützen die sofortige Überprüfung so einer Signatur, ohne dass man das Zertifikat und den öffentlichen Schlüssel erst kompliziert downloaden muss) und schreib rein, dass ich ich bin und über 18 bin (22 *g*). Der Mailclient zeigt das Zertifikat des dazugehörigen öffentlichen Schlüssels an und darin steht, dass die Zertifizierungsstelle das bestätigt.

Ich hab keina Ahnung ob ich das jetzt halbwegs verständlich erklärt habe... hab mich bemüht.. wenn nicht - Sorry ^^... dann versuch ichs nochmal *g*

[blutfeuer]

Ich hab keina Ahnung ob ich das jetzt halbwegs verständlich erklärt habe... hab mich bemüht.. wenn nicht - Sorry ^^... dann versuch ichs nochmal *g*

...

ich hab kein wort davon verstanden.
versuchs mal nochmal. erklär ausserdem nochmal, wie man so das richtige alter der person rausbekommt.

[Dante]

ja, sieht wirklich gut aus. nur finde ich nichts darüber, woher man ein lesegerät bekommt oder anderweitig benutzen kann um die daten zu uns zu übertragen. der preis wäre vielleicht auch ganz interessant. es wird sicher niemand mehrere hundert euronen für ein lesegerät ausgeben wollen.

...

was ich da so rausgelesen habe, kostet so ein Chipkartenleser rund 50-60 Euro, ist natürlich ne Stange Geld und lohnt sich wahrscheinlcih auch nur für jemanden, der ihn auch anderweitig nutzen möchte o_O
wie und was der "Anbieter" tun muß, um an die Daten zu kommen, hab ich hier gefunden, wahrscheinlich müsstest du dich dann mit einem dieser Systemanbieter in Verbindung setzen.

(Themen zusammengeführt)

...

Das gilt übrigens für jedes Verfahren, der euch einfällt!
Macht aber bitte jeweils einen eigenen separaten Thread auf.

...

daher

[Chocwise]

ich hab kein wort davon verstanden. ...

...

Ich schon nur ist das Problem, dass BTT nicht darauf einging welche Zertifikataussteller nun andenkbar und für die Zugangsanwerter zumutbar wären (vom Preislichen Aspekt her).

Das Ganze lässt sich metaphorisch so erklären:

Man stelle sich vor das eine Kiste eine digital signierte Mail darstellt. Niemand hat Zugriff auf diese Kiste ohne Gewalt auszuüben (die Mail zu verändern).
Der Absender der Kiste kann Schlüssel ausstellen in die ein Siegel eingeprägt ist (Public Key). Somit kann nur der Absender der Kiste die Originalschlüssel herstellen weil nur er das Schlüsselmachgerät mit dem Prägestempel (Private Key) besitzt. Nachmachen des Schlüssels ist nicht möglich.

Nun kann sich jeder,der die Kiste geschickt bekam, sich den entspr. Schlüssel von einem Schlüsselmeister (Keyserver) abholen um die Kiste aufzuschließen.
Dadurch das der Schlüssel, der ja nicht nachgemacht werden kann, passt, weiß der Empfänger der Kiste, das sie nur vom Schlüsselmacher kommen kann, da ja kein anderer diese Schlüssel herstellen kann.

Der Schlüsselmeister stellt in diesem Fall hier eine Instanz dar, die in der Lage ist, uns Kistenempfängern außerdem noch das Alter des Schlüsselmachers mitzuteilen und zu garantieren weil ER dem Schlüsselmacher die Schlüsselmachmaschiene gestellt hat und als Gegenleistung die persönlichen Daten des Schlüsselmachers erhalten hat.

Das Ganze ist dann Digitale Signatur.

BTT hat nun leider nicht die wichtigste Frage beantwortet: Welcher Schlüsselmeister ist günstig und bietet die geforderten Konditionen.

EDIT: Ich hab vergessen zu erwähnen das man mit den Schlüsseln (Public Keys) die Kiste nicht wieder abschließen kann.
Gnha... die Metapher passt doch nicht so ganz, aber vom groben Verfahren her stimmts.
Wenn du nochmal drüber plaudern willst blutfeuer, erklär ichs dir nochmal im MSN.

EDIT²: Im Endeffekt bedeutet das für uns, das wir nichts mit der Überprüfung des Alters der Zugangsanwärter zu tun haben. Die persönlichen Daten werden vom Schlüsselmeister/Zertifikatausteller/Keyserver verifiziert und *zucktmitdenschultern* gespeichert (?).
Wir fragen nur den Schlüsselmeister nach dem Alter des Zugangsanwerters/Schlüsselmachers und schließen dann die Kiste des Zugangsanwerters auf um zu sehen ob der Zugangsanwerter auch tatsächlich der Schlüsselmacher ist.


"Bist du der Schlüsselmeister?""

[BeyondTheTruth]

Ich schon nur ist das Problem, dass BTT nicht darauf einging welche

"Bist du der Schlüsselmeister?""

...

lol.. während des Lesens musste ich genau DARAN denken ^^.
Leider weiß ich das auch nicht - zumindest nicht in Deutschland.
Hab ein Zertifikat von nem österreichischen Anbieter, das kostete 72 € für 2 Jahre (MwSt. bereits inklusive..). Wenn man sowas wirklich will, kann mans natürlich nicht nur fürs Forum verwenden. Wir haben die in der Firma geordert, weil wir in nächster Zeit beginnen Rechnungen elektronisch zu versenden.. ich versende zwar keine Rechnungen bei uns, hab aber trotzdem eins abbekommen ^^ (das nur nebenbei..)

Dieser Anbieter stellt aber auch voll gültige Test-Zertifikate kostenlos (!) aus, hab ich gerade gesehen.
Vielleicht gibts sowas auch in Deutschland? Ich kann ja mal ein bisschen nachforschen, bzw. Morgen bei jemand nachhaken, der relativ viel Ahnung von der Materie hat...


EDIT:
Das mit dem kostenlosen Zertifikaten vergesst erst mal.. die sind nur zur Demonstration und haben keine gesetzliche Gültigkeit, soweit ich das grade sehe

Hier gibts Zertifikate/Signaturen bereits ab 16€/Jahr
https://globalsign.wis.de/

[Dante]

was ich da so rausgelesen habe, kostet so ein Chipkartenleser rund 50-60 Euro,

...

*soeben seine Lagerbestände überprüft hat* ich könnte die Dinger eventuelle auch für 10-20 Euro anbieten ^^

wie hoch liegt denn der Kostenfaktor bei der Signatur?

[Lu Sonnengold]

Eine Idee:

Gemeinden beglaubigen doch Urkunden und Zeugnisse (gegen Gebühr, versteht sich)
Aber dem/den Forumsinhaber/-betreibern würde eine beglaubigte Kopie der Geburtsurkunde oder des Personalausweises gar nichts kosten (und für den, der nicht zu ner CT kann oder will, wärs im allgemeinen wesentlich billiger, als ne Anreise zu ner CT um sich begutachten zu lassen) und obendrein einen schriftlich verwahrbaren Nachweis haben, dass die Benutzer sich ausgewiesen haben.

Ausserdem ist der Aufwand mit zur Behörde gehen und Kosten so groß, dass vermutlich kaum ein großer Bruder einspringt um den kleinen ins Forum reinzulassen. Und es hat auch wohl kaum jemand beglaubigte Kopien zu Hause einfach so rumliegen, können also im Gegensatz zu nem Personalausweis oder Kreditkarte und deren Daten nicht mal eben ausgeliehen und online verwendet werden. Und es würden Kindern auch nicht der Personalausweis ihrer Eltern beglaubigt oder so..

Wen es einer schaft sich da trotzdem durchzumogeln, müßtet ihr eigentlich aus dem Schneider sein, weil ihr ja die beglaubigte Kopie habt.

Nebenbei, ist das meiner Meinung nach sicherer, als die Möglichkeit durch Bürgen(zumindest wenn der Betreffende in der selben Stadt wohnt, wo das CT statt findet, kann er einen Älteren bitten, sich auf die CT zu begeben und zusagen, ich bin der sowieso, mein Nick ist XYZ. Hey, Danke Dean, dasss du mein Spiel Lug und Trug gelobt hast.

herzlichst
Ena

[Dante]

Und es hat auch wohl kaum jemand beglaubigte Kopien zu Hause einfach so rumliegen, können also im Gegensatz zu nem Personalausweis oder Kreditkarte und deren Daten nicht mal eben ausgeliehen und online verwendet werden.

...

um es hier nochmal zu sagen, derjenige, der seine Kreditkarte nicht vor unbefugtem Zugriff schütz, wird im Falle eines Mißbrauchs haftbar gemacht, das bedeutet, egal was der Papa, dessen Kreditkarte in die falschen Hände fiel, oder der Freund, der zu blöde war, die zu verleihen, auch nachher sagen wollen, der Forumbetreiber ist dafür nicht haftbar zu machen, ebensowenig wäre es ein Kreditinstitut, wenn mit der Karte Geld tranferiert werden würde, wenn sie z.B. geklaut wäre.
Zudem würde der Betrag nebst Empfänger auf der Endabrechnung der Kreditkarte erscheinen und spätestens dann würde sich der Papa über die Transaktion wundern und nachforschen.
Ansonsten finde ich deine Idee auch sehr gut

[Callisto]

Mal ne Frage: wie sieht das denn von zertifiakten von Uni's aus. Wir brauchen solche um bei uns ins Netz reinzukommen und da steht im FAQ auch was mit Public-key blabla.
Könnten Studenten sich nicht damit ausweisen? Weil das wäre total kostenlos und bei dem "Hochsicherheitszeug" bei uns fast unfälschbar!

[Chocwise]

Mal ne Frage: wie sieht das denn von zertifiakten von Uni's aus. Wir brauchen solche um bei uns ins Netz reinzukommen und da steht im FAQ auch was mit Public-key blabla.
Könnten Studenten sich nicht damit ausweisen? Weil das wäre total kostenlos und bei dem "Hochsicherheitszeug" bei uns fast unfälschbar!

...

Solche Keys sind nur zum Login ins Uni-Netz gedacht nicht zur Verifizierung deines Alters.
Das Ding ist ja, das dieser Uni-Key von außen auch nur aussieht wie jeder andere RSA-, DSA-, PGP-, Whatever-Key auch. Und einen solchen Key kann ja jeder anfertigen.

Der Trick bei der Sache ist, dass wir einen Public-Key von einem Keyserver runterladen würden, welcher deine pers. Daten mit dem Public-Key verknüpft. Und anhand dieses Public-Keys überprüfen wir dann ob du im Besitz des Private-Keys bist. Also ob die auf dem Keyserver gespeicherten pers. Daten deine sind.

Hier ist es aber so, dass der Private-Key in der DVZ der Uni liegt und du nur den Public-Key besitzst.
Aber wenn du mir deinen Public-Key zukommen lassen möchtest, nur zu. Ich könnt noch einen Uni-Account gebrauchen. Mein FH-Account dürfte abgelaufen sein.

[Callisto]

Der Trick bei der Sache ist, dass wir einen Public-Key von einem Keyserver runterladen würden, welcher deine pers. Daten mit dem Public-Key verknüpft. Und anhand dieses Public-Keys überprüfen wir dann ob du im Besitz des Private-Keys bist. Also ob die auf dem Keyserver gespeicherten pers. Daten deine sind.

...

Ich hab ja nicht so die Ahnung davon aber das steht da auf der Page:

X.509(SSL) Zertifikat => Wozu?
.
.
.

Eindeutige Feststellung der Gültigkeit von Zertifikaten
* Die Gültigkeit eines Zertifikates kann weltweit durch die Zuordnung zu einem gültigen Root-Zertifikat und das Einsehen der dazugehörigen Wiederrufsliste (CRL) festgestellt werden.

Signieren und Verschlüsseln von eMails
* Durch den Import des *.p12 Files (enthält Private Key und Zertifikat) in ihr eMail Programm (z.B. Outlook, Netscape) können Sie eMails signieren oder verschlüsseln.
.
.
.

...

Nagut! Wenn's nicht geht ist's auch egal.

Aber wenn du mir deinen Public-Key zukommen lassen möchtest, nur zu. Ich könnt noch einen Uni-Account gebrauchen. Mein FH-Account dürfte abgelaufen sein.

...

Könntest eh nichts wirkliches damit anfangen

Edit:

Achso. Mit dem Zertifikat ist auch ne Mail Addi.. an der Uni verknüpft, aber sowas kann ja auch jeder nicht volljährige haben, oder

[Chocwise]

Ich hab ja nicht so die Ahnung davon aber das steht da auf der Page:

Nagut! Wenn's nicht geht ist's auch egal.

Könntest eh nichts wirkliches damit anfangen

Edit:

Achso. Mit dem Zertifikat ist auch ne Mail Addi.. an der Uni verknüpft, aber sowas kann ja auch jeder nicht volljährige haben, oder

...

Achsou, also doch scheinbar ein herkömmliches Zertifikat.
Hajo, ich weiß aber nu auch nicht inwiefern ein Uni-Zertifikat dazu geeignet wäre.
Ich weiß ja nichtmal wie wir anhand deines Zertifikats erkennen können ob das wirklich ein uni-Zertifikat ist.

[Sebastian]

Müsste es nicht reichen wenn Studenten mit ihrer Uni-Email-Adyy jemmanden eine Mail schicken?
An so ein Teil dürfte man doch erst kommen, wenn man studiert und damit ist man dann gewöhnlich über 18. ^^''

[BeyondTheTruth]

Müsste es nicht reichen wenn Studenten mit ihrer Uni-Email-Adyy jemmanden eine Mail schicken?
An so ein Teil dürfte man doch erst kommen, wenn man studiert und damit ist man dann gewöhnlich über 18. ^^''

...

Eine Mailadresse ist so ziemlich das unsicherste was es gibt - es gibt beinahe nichts, was sich einfacher fälschen lässt als der Absender einer Mail.
Dafür benötigt man nicht mal besonders viel Spezialwissen..

(deshalb wird die digitale Signatur gerade bei Mails IMHO in den nächsten Jahren zunehmend an Bedeutung gewinnen)

[Sebastian]

Naja, dann macht man es halt so das der der Zugang haben will seine Email-Addy irgendwo eingibt und dann ne Mail bekommt bei der er einen Bestätigungslink anklicken muss, jetzt kann jemmand überprüfen ob es sich hierbei um eine Uni-Email-Adyy handelt und fertig. ._.*