Ascertia

ADSS Server bündelt Dienste, die sonst auf mehrere Produkte verteilt wären: Der Signing Server erzeugt Signaturen und Siegel, der Verification Server prüft sie, der TSA Server liefert Zeitstempel, der Zertifizierungsdienst stellt Zertifikate aus, Web RA registriert Antragsteller, OCSP und SCVP beantworten Statusanfragen, und der LTANS Evidence Server bewahrt Beweise über lange Zeit.

Für Organisationen heißt das: Eine Plattform deckt den Lebenszyklus eines signierten Dokuments ab, von der Signatur über den Zeitstempel bis zur späteren Prüfung. Welche Dienste tatsächlich laufen, hängt vom Vorhaben ab. Eine Behörde mit eigenem Siegel braucht andere Bausteine als ein Unternehmen, das Zertifikate für Geräte ausstellt.

Mit Go>Sign signieren Anwender mit lokalen Schlüsseln auf Smartcard, USB-Token oder in Software; mit RAS und der SAM Appliance liegen die Schlüssel zentral, und die Signatur wird aus der Ferne ausgelöst. Beide Wege lassen sich in einer ADSS-Umgebung kombinieren.

Anwendungen sprechen ADSS über das Client SDK für Java und .NET, über Webdienste nach OASIS DSS und DSS-X oder über standardisierte Protokolle wie RFC 3161 für Zeitstempel, OCSP und EST an. Der Auto File Processor signiert Dateien in Verzeichnissen ohne Programmierung. Wir legen fest, welche Anwendung welchen Dienst über welchen Weg nutzt.

Schlüssel liegen im HSM. Ascertia nennt für den OCSP Server unter anderem Thales Luna und ProtectServer, Entrust nShield, Utimaco, Azure Key Vault und AWS CloudHSM; die SAM Appliance bringt ein HSM nach EN 419 221-5 mit oder nutzt ein externes. Container-Bereitstellungen gibt es seit ADSS 8.4, laut Release Notes noch ohne HSM-Anbindung; für Dienste mit HSM planen wir deshalb klassische Installationen.

Als Managed Service Provider übernimmt OTOKO den Betrieb der ADSS-Dienste. Dazu gehören die Überwachung von Diensten, Zertifikatslaufzeiten und Sperrlisten, das Einspielen neuer Versionen nach Test, die Pflege von Profilen und Richtlinien sowie die Aufbewahrung der Protokolle. Sie nutzen die Vertrauensdienste und behalten die fachliche Hoheit über Signaturen, Siegel und Zertifikate.

Den Betriebsort, die Servicezeiten und die Übergaben stimmen wir vorab ab. Wo OTOKO den Betrieb übernimmt, laufen die Lösungen in deutschen Rechenzentren. Kryptografie und Hardware-Sicherheitsmodule sind unsere Kernkompetenz; dasselbe Team, das HSM und Schlüsselzeremonien plant, betreut ADSS im Regelbetrieb.

Wenn sich Anforderungen ändern, etwa durch neue Anwendungen, zusätzliche Mandanten oder geänderte Algorithmen, setzen wir die Änderung nach einem abgestimmten Verfahren um. Der LTANS Evidence Server erneuert Evidence Records mit neuen Algorithmen und Zertifikaten; darauf baut die langfristige Beweiserhaltung auf, auch mit Blick auf Post-Quanten-Verfahren.

Ascertia nennt eIDAS-konforme einfache, fortgeschrittene und qualifizierte Signaturen und Siegel, eIDAS-qualifizierte Zeitstempel und Adobe AATL, für die SAM Appliance Common Criteria EAL4+ nach EN 419 241-2 als QSCD und für ADSS Server Common Criteria EAL 4 nach dem NIAP Protection Profile für Zertifizierungsstellen. Wir führen diese Angaben als Herstellerangaben mit Stand.

Ob ein Dienst qualifiziert betrieben werden darf, entscheidet nicht allein die Software, sondern die Konformitätsbewertung des Vertrauensdiensteanbieters. Wir stellen dafür Konfiguration, Protokolle und Zeremonienachweise bereit und klären vor Beginn, welche Nachweise Ihr Auditor erwartet.