IT-Management in der Praxis Seminar ? WS 2004/05 - am ...

Praktische Umsetzung UNIKA-CA 99
5.1 UNIKA-CA Policy
Die Policy einer CA enthält bindende Vorschriften, die innerhalb der CA eingehalten werden
um Zertifikate auszustellen. Sie unterliegen einer strengen Prüfung durch die PCA der CA.
Für die UNIKA-CA ist dies die PCA des DFN. Die aktuelle Policy in Version 2.2 der
UNIKA-CA wird im folgenden erläutert.
Die Policy definiert des weiteren die Sicherheitsanforderungen denen die UNIKA-CA genügen
muss. Hierbei ist vorgeschrieben, dass der Zertifizierungsrechner ” sicher“ sein muss. Die
Sicherheit ist dann gewährleistet, wenn der Rechner vor unbefugtem Zugriff gesichert ist. Er
darf sich ausschließlich innerhalb des RZ befinden und keineswegs über Netzwerkanschlüsse
verfügen. Somit wird gewährleistet, dass nur derjenige Zertifikate ausstellen kann, der auch
Zugriff zum Zertifizierungsrechner besitzt. Diese administrative Person ist einziger Inhaber
des ” private-keys“, welcher zur Erstellung eines Zertifikates notwendig ist. Dieser ” privatekey“
hat sich auf einem Passwortgeschützten Wechseldatenträger zu befinden (Smartcard,
Disk, CD-Rom). Dieser Schlüssel darf auf keinen Fall das RZ verlassen. Hierbei sei angemerkt,
dass sich der ” private-key“ der UNIKA-CA in einem Tonnenschweren und mindestens
48-Stunden-Brandschutzsicheren Tresor befindet. Der Tresorschlüssel befindet sich in Besitz
des Administrators der UNIKA-CA. Weiterhin hat der Signatur-Schlüssel ausschließlich der
Signierung von CA-Schlüsseln zu dienen. Für Benutzerschlüssel und Widerrufslisten werden
Sub-CA-Schlüssel verwendet. Die UNIKA-CA stellt grundsätzlich keine Benutzerschlüssel
aus. Dies ist alleinige Aufgabe der Antragssteller. Der Signatur-Schlüssel besitzt eine
Mindestlänge von 2048 Bit. Somit genügt er bei weitem den Sicherheitsanforderungen von
heute und kommender Jahre. Des weiteren unterliegt jeder Mitarbeiter sowie Angestellte der
UNIKA-CA der Einhaltung des Datenschutzes. Vertrauliche Daten der Zertifizierungsnehmer
sind vertraulich zu behandeln. Diese Sicherheitsanforderungen gelten zum großen Teil auch
für RAs.
Weiter schreibt die Policy vor, dass ein Zertifizierungsnehmer seine Schlüssel autark zu
generieren hat. Hierbei ist ein asymmetrisches Verschlüsselungsverfahren zu wählen. Eine
mindestlänge der Schlüssel von 1024 Bit ist hierbei penibel einzuhalten. Des weiteren ist ein
Zerftifizierungsnehmer dazu verpflichtet, seinen ” private-key“ geheim zu halten. Keineswegs
darf er seinen ” private-key“ an Dritte weitergeben. Bei Missachtung erlicht die Gültigkeit
des Zertifikats. Der Zertifikats-Antragssteller muss sich einer Identitätsprüfung unterziehen.
Hierzu genügt in den meisten Fällen der persönliche Personalausweiß. An dieser Stelle sei
wiederum erwähnt, dass die CA nicht verpflichtet ist Zertifikate auszustellen. Sie kann ohne
Angaben von Gründen die Vergabe von Zertifikaten verwähren. Die Namenswahl ist nach
dem X.500-Standard zu generieren. Somit wird die unterscheidbarkeit der Namen sichergestellt.
Zertifikate haben eine maximale Gültigkeitsdauer von einem Jahr und dürfen nicht
verlängert werden. Der Antragssteller hat weiterhin ein schriftliche Teilnahmeerklärung zu
unterzeichnen.
Die User-CA-Policy verwendet, wie alle anderen Policies der UNIKA-CA, die X.509v3-
Policy. User-Zertifikate richten sich an Mitglieder der TH Karlsruhe und Fallen in den
Zuständigkeitsbereich der UNIKA-U-CA. Dies ist die zweite Sub-Ca der UNIKA-CA.
Um ein solches Zertifikat zu erhalten muss ein Zertifikats-Antragssteller über eine auf
uni-karlsruhe.de oder uka.de endende email-Adresse verfügen (name@rz.uni-karlsruhe.de,
name@stud.uni-karlsruhe.de, ...). Dies hat er durch die Beantwortung einer vom Administator
der UNIKA-U-CA initialisierten Testnachricht nachzuweisen. Die Zertifizierung findet
ausschließlich mittels der am RZ eingerichteten Online-Schnittstelle statt (Abbildung 5).
Seminar – IT-Management in der Praxis