IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

DFN-PCA 97
• Signierschlüssel werden ausschließlich durch dezidierte Mitarbeiter am CA-Rechner
generiert; Speicherung der Signierschlüssel nur auf externen Datenträgern (PINgeschützt),
die ausschließlich durch den CA-Rechner verwendet werden dürfen
• Signaturschlüssel dient lediglich für CA-Schlüssel, CRLs und Cross-
Zertifizierungen
• Schlüsselpaare haben Mindestlänge von 2048 Bit
• Integrität der Daten und Programme der DFN-PCA wird ständig geprüft; Mitarbeiter
gehen vertraulich mit Daten um
• Regelmäßige Datensicherung aller DFN-PCA-Daten.
2. Anforderungen an die von der DFN-PCA zertifizierten CAs
• CA-Rechner muss vor unbefugtem Zugang geschützt sein
• Schutz der geheimen Schlüssel wie bei DFN-PCA selbst
• Signaturschlüssel dient für Generierung von Benutzer-Schlüsseln (!), CA-Schlüssel,
CRLs und Cross-Zertifizierungen; CAs müssen ihre Schlüssel jedoch autark generieren
• Empfohlene Schlüssellänge: 2048 Bit (1024 Bit in Ausnahmefällen auch möglich)
• Erzeugt die CA Nutzer-Schlüssel, so ist sicherzustellen, dass der geheime Nutzer-
Schlüssel nach Versenden an den Nutzer innerhalb der CA nicht mehr verfügbar
ist
• Getrennte Schlüssel zum Signieren und Verschlüsseln empfohlen
• Mitarbeiter gehen vertraulich mit Daten um
3. Anforderungen an die von einer CA eingesetzten RAs
• Sicherer RA-Rechner
• Schlüssel der RA sind vor Mißbrauch zu schützen
• Mindestlänge der Schlüsselpaaren von 2048 Bit (1024 Bit in Ausnahmefällen auch
möglich) RSA bzw. 1024 Bit DSA/DSS
• CA kann weitere Sicherheitsanforderungen an die RA stellen.
4. Anforderungen an Benutzer
Der potentielle Nutzer muss folgenden Anforderungen genügen: Zum einen hat er
die Geheimhaltung seines geheimen Schlüssels sicherzustellen; zum anderen muss er
Schlüsselpaare mit einer Mindestlänge von 2048 Bit (1024 Bit in Ausnahmefällen auch
möglich) RSA bzw. 1024 Bit DSA/DSS generieren.
Beantragt eine CA ein Zertifikat, so hat sie die hier genannte Richtlinien einzuhalten. Die
Identitätsprüfung erfolgt durch persönlichen Kontakt eines ausgewählten, für den Betrieb
der CA zuständigen, Mitarbeiters. Die maximale Gültigkeitsdauer solcher Zertifikate liegt bei
drei Jahren. Die Zertifizierungsregeln für RAs sowie für Benutzer unterscheiden sich nicht.
Die maximal Gültigkeit solcher Zertifikate erstreckt sich über zwei Jahre. Die Namensgebung
muss strikt unterscheidbar sein (distinguish names, DN). DNs von CAs müssen dem Schema
(C=DE, [L=DFN,] O= [,OU=]) folgen. Für Benutzer gilt
das Schema (C=DE, [L=DFN,] O=, [OU=,] CN=).
Seminar – IT-Management in der Praxis