Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

104 Kapitel 5. Praktische Umsetzung des CA-Konzeptes
SCSI-Adapter, so daß auf diese Weise die Datensicherung einfacher durchgeführt werden könnte
bzw. keine zusätzliche SCSI-Controller-Karte mehr benötigt würde.
Von einigen Herstellern werden inzwischen besonders robuste, stoß- und spritzwasserunempfindliche
Laptops angeboten (siehe Anhang B.2) – wenn also ein Gerät, das die übrigen Anforderungen
erfüllt, zusätzlich auch noch besonders stabil ist, so daß es den harten Einsatz an einem von
Menschen umlagerten CA-Stand und den Transport zwischen Veranstaltungsort und Rechenzentrum
sowie im Rechenzentrum selbst besser überstehen kann, wäre das ein zusätzlicher Pluspunkt.
Zuzusichernde Eigenschaften
Beim Kauf sollte der Verkäufer die Linux-Tauglichkeit des Laptops und des Zubehörs schriftlich
garantieren oder ein Rückgaberecht für den Fall der Nicht-Tauglichkeit einräumen.
5.2.2 Beschaffung der Software
Das Betriebssystem wird auf einer CD-ROM oder ZIP-Disk als Installationsmedium benötigt. Da
der CA-Rechner nicht (auch nicht bei der Erst-Installation) vernetzt betrieben werden darf, müssen
alle erforderlichen Programme und Daten per Wechselmedium oder CD-ROM auf den Laptop gebracht
werden. 4 Es wird also bei der Installation zusätzlich ein zweiter Rechner mit Internet-Zugang
und ZIP-Laufwerk (LS-120-/HiFD-Laufwerk) benötigt, sofern nicht alle benötigte Software bereits
auf CD-ROM(s) vorliegt. Dieser Rechner muß ZIP-Medien in dem Dateisystem-Format beschreiben
können, das der CA-Rechner bzw. dessen Betriebssystem lesen kann.
Es werden zusätzlich mindestens folgende Programme benötigt (die eventuell nicht auf der
Installations-CD-ROM oder darauf nicht in der betreffenden Version enthalten sind):
Tripwire zur Integritätskontrolle für den CA-Rechner
PGP PGP2.6.3in für die PGP-Zertifizierung
OpenSSL für die Ausstellung von X.509-Zertifikaten (Nachfolger von SSLeay, siehe Teil II dieses
Handbuches)
Bezugsquellen für alle drei Pakete finden sich im Anhang B.1.
Alle drei Programme sind von ihren Autoren PGP-signiert worden (bei Tripwire versteckt sich die
PGP-Signatur in dem .tar-Archiv). Auf dem vernetzten Rechner sollte als erstes geprüft werden,
ob diese Signaturen sich verifizieren lassen, d.h. ob die Software-Archive in unverfälschter Form
vorliegen. Dies geschieht durch Aufruf von ‘pgp FILENAME.asc’. (Diese Prüfung ist sinnvoll nur
möglich, wenn der öffentliche Schlüssel des jeweiligen Autors bereits in authentischer Form vorliegt.)
4 Das mag im ersten Moment sehr streng erscheinen, dient aber letztlich dazu, eine genau definierte, reproduzierbare
Software-Umgebung auf dem CA-Rechner zu schaffen. Bei einer Installation über eine Netzwerkverbindung könnte man
nie sicher sein, was letztlich genau an Daten auf den CA-Rechner gelangt.