Einsatzmöglichkeiten kryptographischer Methoden zur Signatur und ...

8.2. Auswahl der CA-Software
Im Folgenden werden mehrere CAs zur Erstellung von Zertifikaten benötigt. Leider
sind diese CAs untereinander nicht kompatibel, sodass es notwendig sein wird, dass
ein Anwender (eine Person oder auch ein Institut) teilweise mehrere Schlüssel erhält,
die von verschiedenen CAs zertifiziert wurden. Weiterführende Hinweise zum Aufbau
von CAs im Allgemeinen finden sich in [CKLW2000] und speziell für eine
X.509 CA mit OpenSSL in [DFN2000].
Benötigt werden die folgenden CAs:
PGP CA
Als CA-Software kann direkt PGP in einer der verschiedenen Versionen eingesetzt
werden. Es empfiehlt sich eine Variante einzusetzen, die für den Betrieb als CA
optimiert wurde, damit beispielsweise zwischen Signatur und Verschlüsselungsschlüsseln
unterschieden werden kann. Da die Bedienung des zentralen Zertifikats-
Servers nur durch speziell geschultes Personal erfolgt, ist es auch möglich Software
einzusetzen, die ohne graphische Benutzeroberfläche auskommt, dafür aber die notwendigen
Funktionen bietet.
Als Ergänzung der CA-Software wäre es auch möglich den PGP Certificate Server
Freeware (http://web.mit.edu/network/pgp.html) einzusetzen, der dann bei dem
Anwender als Zertifikats-Server eingetragen werden kann.
Es sind ebenfalls Programme erhältlich, welche eine Schnittstelle zwischen dem
Anwender und der CA bilden und es so ermöglichen, Zugriff auf die Zertifikate und
zurückgerufenen Schlüssel zu erlangen. Die Abfrage kann dabei sowohl per Webbrowser,
Mail-Server als auch aus einem entsprechenden Client heraus erfolgen.
Die PGP-Zertifikate können für alle Anwendungen von PGP verwendet werden, also
sowohl für die Mailverschlüsselung als auch für die Übertragung von PGP-verschlüsselten
Dateien. Es ist jedoch darauf zu achten, dass möglichst alle Programme
mit den verschiedenen asymmetrischen und symmetrischen Algorithmen zurechtkommen,
die bei PGP verwendet werden.
X.509 CA
Für die X.509 CA kann beispielsweise OpenSSL verwendet werden, das diverse
Tools zur Verwaltung von X.509-Schlüsseln und Zertifikaten zur Verfügung stellt.
Leider gibt es nur sehr wenige GUI-basierte Tools (beispielsweise die unter der GPL
stehende IDX-PKI, http://idx-pki.idealx.org/). Da die Zertifikate bei X.509 deutlich
komplexer als die von PGP sind, wäre ein GUI vorteilhaft. Da die Bedienung - ebenfalls
wie bei der PGP CA – durch geschultes Personal erfolgt, ist dieser Nachteil zu
verschmerzen.
Es sollte ein Web-Server mit einer Liste der zurückgerufenen Zertifikate existieren
und diese Adresse in jedem Zertifikat gespeichert werden, damit ein Client online
überprüfen kann, ob ein Zertifikat möglicherweise zurückgerufen wurde. Dieser Ser-
71