Der Cryptographic Service Provider (CSP) ist ein Konzept zur Verringerung von Sicherheitsrisiken durch Kapselung von kryptographischen Assets, wie z.B. Schlüsselmaterial, von der Laufzeitumgebung einer Anwendung. Damit kann Zeitaufwand und Kosten für die Sicherheitszertifizierung einer Software-Anwendung nach Common Criteria deutlich reduziert werden. Ziel ist eine Zertifizierung der Anwendung losgelöst von Betriebssystem und Hardware um eine aufwändige Composite-Zertifizierung zu vermieden.

Bei Verwendung eines CSP werden sicherheitsrelevante Funktionen durch die Anwendung ausgelöst, aber die konkreten kryptographischen Arbeitsschritte werden in einer isolierten Umgebung ausgeführt. Dabei stehen sensible Assets zu keinem Zeitpunkt unverschlüsselt außerhalb der isolierten Umgebung zur Verfügung. Dafür stellt der CSP gebräuchliche kryptographische Operationen und Protokolle zur Verfügung, um regelmäßig vorkommende Anwendungsfälle bei sicherheitsrelevanten Funktionen zu unterstützen. Allerdings ist der CSP nicht nur eine Kryptobibliothek. Vielmehr ist der CSP ein Werkzeug, um bei der Entwicklung von Anwendungen mit sicherheitskritischen Komponenten sauber zwischen funktionellen Aspekten und Sicherheitsfunktionen trennen zu können. Der CSP ist grundsätzlich technologieoffen. Die bereitgestellte kryptographische API harmonisiert Sicherheitslösungen für verschiedene Plattformen, wie z.B. Hardwaresicherheitschips oder Cloudservices.

Das BSI bietet folgende Dokumente zum CSP:

• CSP Whitepaper v1.0
• BSI TR-03181 Technical Guideline for Cryptographic Service Provider 2 (CSP2)
• Common Criteria Protection Profile Cryptographic Service Provider (CSP)
• Protection Profile Cryptographic Service Provider Light (CSPL)

Über unseren Newsletter informieren wir regelmäßig über Änderungen bezüglich der CSP-Spezifikationsdokumente. Um sich anzumelden, senden Sie bitte eine formlose E-Mail an csp@bsi.bund.de.