Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

5.2. Vorgehen bei Einrichtung der CA (“build”) 105
5.2.3 Hardware-Vorbereitungen
Viele aktuelle Laptop-Rechner verfügen heute über eine Infrarot-Schnittstelle. Da der CA-Rechner
nicht auf diesem Weg vernetzt werden soll und mittels dieses Kanals nicht angreifbar sein darf, ist
die IR-Schnittstelle lichtundurchlässig, aber reversibel abzukleben (reversibel für den Fall, daß der
Rechner später einmal für andere Zwecke genutzt werden soll).
Die Empfehlungen z.B. des Berliner Datenschutzbeauftragten zum Einsatz von Laptops [DSB92]
sollten ebenfalls, soweit sinnvoll anwendbar, berücksichtigt werden, gleiches gilt für die entsprechenden
bzw. in 4.7 genannten Bausteine des BSI-Grundschutzhandbuches.
Insbesondere sollte
das BIOS-Paßwort gesetzt werden
ein eventuell vorhandener BIOS-Schutz von Master- und System-Bootsektor aktiviert werden
(so verfügbar)
ein Screen-Locker aktiviert werden (wenn vom BIOS unterstützt)
der Bootvorgang bzw. Single-user-Boot Paßwort-geschützt werden
das Booten vom Floppy-Laufwerk sollte abgeschaltet werden (ggf. auch erst direkt nach der
Installation, falls nicht von CD-ROM gebootet werden kann und eine Boot-Disk den Installationsvorgang
starten muß)
5.2.4 Installation des Betriebssystems
Bei der Installation von Linux wird eine Partitionierung der Festplatte erforderlich, dabei muß eingeplant
werden, daß Keyserver-Datenbank-Dateien mit mehr als 2 GB Größe auftreten können.
Netzwerkunterstützung muß deaktiviert werden (NFS ggf. aktiviert lassen, falls mit TCFS gearbeitet
werden soll – siehe 5.1.2), Treiber für Netzwerkkarten und Infrarot-Schnittstelle sind ganz
zu entfernen bzw. gar nicht erst einzubinden. Es sollte mit einem „minimalen System“ gearbeitet
werden. (Es werden allerdings die Entwickler-Tools wie gcc usw. benötigt, da die CA-Software –
pgp, openssl – im Quellcode vorliegt und erst auf dem CA-Rechner übersetzt werden muß. Diese
Übersetzung darf auf keinem anderen Rechner vorgenommen werden.)
Die erforderlichen Treiber für ZIP-Laufwerk, CD-ROM, SCSI-Adapter, Bandlaufwerke (Datensicherung)
dürfen nicht vergessen werden und sind mitzuinstallieren, darüber hinaus auch eventuell
existierende Jahr-2000-Patches.
Der Rechner sollte so konfiguriert werden, daß nach dem Hochfahren deutlich zu erkennen ist, ob
die Festplatte der Low-Level- oder die der Medium-Level UNI-CA eingebaut ist, der Rechner also
gerade der Low-Level- oder der Medium-Level-Zertifizierungsrechner ist.
5.2.5 Tests vor der Inbetriebnahme
Vor der richtigen Inbetriebnahme des Zertifizierungsrechners sind Datensicherungs-Tests durchführen: