wip(encryption): add an image for Man-in-the-middle attacks

docs/Detailinformationen/Encryption.md

@@ -33,21 +33,27 @@ Jedes fitconenct-System verfügt über einen Endpunkt, an den Anträge gesendet
 
 Es ist nicht vorgesehen, das Antragsdaten unverschlüsselt von einem Endgerät einer Nutzer*in an ein Backend weitergeleitet werden, um dann von dort verschlüsselt per fitconnect an die Empfangsbehörde gesendet zu werden.
 
-2. Die für die Verschlüsselung verwendeten JSON Web Keys müssen signiert werden und über eine Verwaltungs-PKI verifizierbar sein und auch durch den verschlüsselnden Client verfiziert werden.
+2. Die für die Verschlüsselung verwendeten JSON Web Keys müssen signiert werden, über eine Verwaltungs-PKI verifizierbar sein und auch durch den verschlüsselnden Client verfiziert werden.
+<img src="../../assets/images/encryption/pki-check.png" alt="PKI-um Man-in-the-Middle zu verhindern" width="400" height="320">
 Es ist nicht vorgesehen nicht vertrauenswürdige Schlüssel für die Verschlüsselung von Anträgen zu verwenden. Das soll Angriffe wie Man-in-the-middle-Attacken erschweren.
 
 3. Der Json Web Key muss immer die komplette Zertifikatskette bis zur Root-CA enthalten, um clientseitig korrekt validierbar zu sein.
 
-### Anforderungen an die JSON Web Keys
+### Anforderungen an die JSON Web Keys und JSON Web Encryption
 
-#### Algorithmen
+#### Algorithmen zur Verschlüsselung mit JSON Web Encryption
 Unter Berücksichtigung der Vorgaben des BSI in der Richtlinie [TR-02102-1](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102.html) wurden die [Liste der möglichen Algorithmen](https://www.iana.org/assignments/jose/jose.xhtml#web-signature-encryption-algorithms) eingeschränkt.
 
 - Asymmetrisches Verschlüsselungsverfahren, um den "Content Encryption Key" zu verschlüsseln ("alg"): "RSA-OAEP-256"
 - Symmetrisches Verschlüsselungsverfahren zur Verschlüsselung des Payloads ("enc"): "A128GCM" oder "A256GCM"
 
 
-#### Erstellung des JSON Web Keys
+
+
+
+## Konzept
+
+### Erstellung eines fitconnect-kompatiblen JSON Web Keys
 Im folgenden eine beispielhafte Schritt-für-Schritt-Anleitung um einen JWK zu generieren:
 1. Lokale Generierung eines x509 Keys. `openssl genrsa -out fachverfahren1.meineverwaltung.de.key 4096`
 2. Generierung des Zertifikatsrequests `openssl req -new -sha256 -key fachverfahren1.meineverwaltung.de.key -out fachverfahren1.meineverwaltung.de.csr`
@@ -55,8 +61,6 @@ Im folgenden eine beispielhafte Schritt-für-Schritt-Anleitung um einen JWK zu g
 4. Das von der Verwaltungs-PKI signierte Zertifikat muss nun in einen JWK umgewandelt werden: … **TODO(Lilith): einfügen nachdem wir das einmal gemacht haben**
 
 
-## Konzept
-
 ### Aufbau der Übertragung
 
 Eine Übertragung über FIT-Connect besteht aus einem Metadatensatz, optionalen Fachdaten und beliebig vielen (0-∞) Dokumenten (Anlagen). Da die Metadaten transportrelevante Informationen enthalten, werden diese immer unverschlüsselt übertragen. Bei aktivierter Verschlüsselung werden nur die Fachdaten und Anlagen verschlüsselt.