IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

96 Peter Leidinger: Zertifizieren und Signieren mittels UNIKA-CA
Ist die Sicherheit aus Sicht der Behörde gewährleistet, so kann die CA sich als ” akkreditierter
Zertifizierungsanbieter“ bezeichnen. Als solche kann Sie Zertifikate nach dem SigG erstellen.
Die Sicherheit der nun akkreditierten CA wird allerdings in periodischen Abständen immer
wieder von der zuständigen Behörde geprüft.
4 DFN-PCA
Die ” Deutsche Forschungsnetz - Policy Certification Authority (DFN-PCA) existiert seit dem
01. Januar 2001 unter dem Dach der ” DFN-CERT Services GmbH“ (bis 31. Dezember 2003:
DFN-CERT: ” Zentrum für Netzsicherheit“) [DFN-05]. Aufgabe der DFN-PCA ist der Aufbau
einer DFN-weiten PKI 2.2. Hierzu hat sie eine eine CA für CAs sowie User aufgebaut. Im
folgenden wird die Policy der DFN-PCA, welche für alle CAs innerhalb des DFN, sowie für
CAs innerhalb der Zertifizierungskette der DFN-PCA liegen, definiert.
4.1 Policies
Grundsätzlich lassen sich CA-Policies (Richtlinien) in Low-Level“-, Medium-Level“- und
” ”
” High-Level“-Security-Policy. Da eine High-Level“-Security-Policy, oder gar eine nach SigG
”
” akkreditierte“ Policy, für die Lebensdauer der DFN-PCA nicht erforderlich ist, verwendet
man lediglich die Low-Level“- und Medium-Level“ Variante. Es sei angemerkt, dass die
” ”
DFN-PCA sowohl PGP als auch X.509 unterstützt. Dieses Dokument befasst sich lediglich
mit X.509-Zertifikaten.
4.1.1 Low-Level-CA Policy Version 1.6
Die DFN-PCA Low-Level-Policy ist für das DFN und seine Mitglieder maßgebend [DFN-05].
Sie stellt grundsätzlich nur Zertifikate für CAs aus; bietet jedoch Sub-CAs für Nutzer-Zertifikate
an. Die Zertifikate genügen dem X.509v3-Standard. Weitere gebräuchliche Standards
werden nach Ermessen unterstützt. Die dieser Policy zugrundeliegenden Anforderungen an
technische Komponenten und Verfahren zur Zertifizierung genügen derzeit nur den Kriterien
der ëinfachen digitalen Signaturnnach § 2 Nr. 1 SigG 2001 [DFN-05]. Die Policy erlaubt
die Zertifizierung von CAs, Registrierungsinstanzen (RAs) und Benutzern. Die Root-CA für
Low-Level-CAs ist die DFN-PCA. Diese ist (zur Zeit) in keine anderen Hierarchien eingebunden.
Sub-CAs können sich allerdings mittels Cross-Zertifizierung (gegenseitige Zertifizierung
mehrerer CAs) an andere CAs anbinden. Die CAs können eigene RAs zertifizieren. Diese
können die Identitätsprüfungen der Antragssteller übernehmen. Es ist weder CAs noch RAs
erlaubt Benutzer-Schlüsselpaare zu erzeugen. Hierdurch wird verhindert, dass die CA (oder
RA) in Besitz des geheimen Nutzer-Schlüssels gelangt. Wird eine Zertifizierung an einer RA
beantragt, so übermittelt diese den Antrag elektronisch an die CA weiter. Diese führt nun
die Zertifizierung durch. Die Policy beinhaltet weiterhin Maßgaben zu den Sicherheitsanforderungen,
denen eine CA genügen muss.
1. Anforderungen an eine DFN-PCA-Low-Level-CA
• Zertifizierungsrechner off-line ohne Netzwerkanschluss
• jeglicher Datenaustausch vom CA-Rechner zu anderen ausschließlich per Diskette
oder Magnetband; automatische Datenbearbeitung ist untersagt; schlüsseltragende
Datenträger sind unter sicherem Verschluss zu halten
Seminar – IT-Management in der Praxis