QSCD | LuxTrust S.A. | LuxTrust Crypto Box device

Zertifizierungsbericht SRC.00065.QSCD.03.2025

Typ der Zertifizierung	QSCD \| Zertifizierung von qualifizierten Signatur- und Siegelerstellungs-Einheiten
SRC Zertifikatsregistrierungsnummer	SRC.00065.QSCD.03.2025
Gültig ab	11. März 2025
Gültig bis	10. März 2030
Zertifikatsinhaber	LuxTrust S.A.
Zertifiziertes Produkt	Qualified Signature / Seal Creation Device LuxTrust Crypto Box device
Prüfmethode	Entsprechend der Vorgaben des Artikel 30 (3) b) der Verordnung (EU) Nr. 910 / 2014 wurde ein alternatives Verfahren für den Zertifizierungsprozess durch die Konformitätsbewertungsstelle der SRC angewendet. Eine Beschreibung des Verfahrens findet sich unter folgendem Link: https://src-zert.de/wp-content/uploads/2020/11/SRC-Notification-of-a-QSCD-security-evaluation-process-server-signing-v1.0.pdf
Die Prüfung umfasst	Die Evaluierung des genutzten Hardware Security Module CryptoServer CP5 nach dem Protection Profile CEN EN 419 221-5, die Evaluierung des Signature Activation Module LuxTrust Crypto-Box SAM nach dem Protection Profile CEN EN 419 241-2 und die Zertifizierung des Gesamtproduktes nach Vorgaben des Artikel 30 (3) b) der Verordnung (EU) Nr. 910 / 2014.
Beschreibung	Das Produkt „LuxTrust Crypto Box device“ ist eine qualifizierte Signatur- bzw. Siegelerstellungseinheit (QSCD), bestehend aus dem Signature Activation Module (SAM) „LuxTrust Crypto-Box SAM“, welches als Firmware-Modul in das Hardware Security Module „CryptoServer CP5 version 5.1“ der Firma Utimaco integriert ist. Ein Vertrauensdiensteanbieter, der einen Dienst zur Erstellung von qualifizierten Fernsignaturen und Fernsiegeln konform zur Verordnung (EU) Nr. 910 / 2014 anbieten möchte, muss technisch gewährleisten, dass der kryptographische Schlüssel, der von einem Unterzeichner zum Unterzeichnen eines digitalen Dokumentes genutzt wird, nur unter seiner alleinigen Kontrolle verwendet werden kann. Dies wird durch die Verwendung des Signature Activation Modules LuxTrust Crypto-Box SAM folgendermaßen gewährleistet:: Der Unterzeichner befindet sich in seiner lokalen Umgebung und interagiert mit Hilfe eines Endnutzergerätes (z.B. Laptop oder Smartphone) mit der Server Signing Application (SSA) in der Remote-Umgebung, welche die Funktionen des LuxTrust Crypto-Box SAM aufruft. Die Signatur oder das Siegel wird mit Hilfe des Signature Activation Protocol (SAP) erzeugt, welches die Bereitstellung der Signature Activation Data (SAD) durch den Nutzer in seiner lokalen Umgebung erfordert. Die SAD besteht aus der digitalen Bestätigung der erfolgten Authentisierung des Unterzeichners inkl. einer Referenz auf seinen zugehörigen Signierschlüssel und einer Repräsentation der zu unterzeichnenden Daten (DTBS/R). Um sicherzustellen, dass der Unterzeichner die alleinige Kontrolle über seinen Signierschlüssel besitzt, muss die Signaturanfrage autorisiert werden. Dazu verifiziert das LuxTrust Crypto-Box SAM die durch das SAP abgefragte SAD und aktiviert bei erfolgreicher Authentifizierung des Unterzeichners seinen zugehörigen Signierschlüssel, welcher im oben erwähnten Hardware Security Module CryptoServer CP5 hinterlegt ist. Das verbundene Hardware Security Module wird ausschließlich zur Generierung der Signatur- und Siegelschlüssel und zur Erzeugung der qualifizierten elektronischen Signaturen und qualifizierten elektronischen Siegel genutzt. SRC bescheinigt, dass das Produkt „LuxTrust Crypto Box device“ der LuxTrust S.A. die Anforderungen des Artikels 29 (1a) und des Anhangs II der Verordnung (EU) Nr. 910 / 2014 (eIDAS-Verordnung) an eine qualifizierte Signatur- und Siegelerstellungseinheit erfüllt.