Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

106 Kapitel 5. Praktische Umsetzung des CA-Konzeptes
Läßt sich der Streamer ansprechen?
Lassen sich Dateien aus Backups wiederherstellen?
Wie kann/muß gegebenenfalls nach einem Totalausfall der Festplatte das komplette System
aus den Backups neu installiert werden?
5.2.6 Einrichten der Benutzerbereiche
Es sollten separate Benutzerbereiche für die PGP- und die X.509-Zertifizierung vorgesehen werden,
damit diese Aufgaben ggf. von verschiedenen Mitarbeitern wahrgenommen werden können
und ihre jeweiligen Zugriffsmöglichkeiten dann auf den ihnen zugewiesenen Aufgabenbereich beschränkt
sind. Für alle Benutzerbereiche sollten ein Auto-Logout bei Leerlauf (idled oder ein entsprechendes
Feature der jeweiligen Shell) und ein ebenfalls zeitgesteuerter Bildschirmschoner und
Screen-Locker konfiguriert werden.
5.2.7 Installation der CA-Tools
Als erstes der drei oben unter 5.2.2 genannten Programme sollte Tripwire auf dem Laptop installiert
werden – vor PGP und SSLeay, damit eventuelle Veränderungen an der Ausgangsinstallation, die
durch diese Programme hervorgerufen werden könnten, bereits detektiert werden. Vor der Installation
von PGP und SSLeay/OpenSSL auf dem CA-Rechner sollte also nicht nur die Installation,
sondern auch die Konfiguration von tripwire und die Initialisierung von dessen Datenbank abgeschlossen
sein. Die Installation von OpenSSL selbst ist ausführlich in Teil II dieses Handbuches
ab S. 133 beschrieben, die von PGP kann z.B. dem DFN-CERT Informations-Bulletin DIB-94:05 5
entnommen werden (einschließlich eines wichtigen Hinweises zur Installation von PGP 6.5.1i).
5.2.8 Schlüsselerzeugung für die CA
Bereits vor der Erzeugung des oder der geheimen CA-Schlüssel sollte der dafür vorgesehene Datenträger
(ZIP-Disk, Floppy) mit einem langen, signalfarbenen Papierstreifen, ähnlich einem Anhänger
an einem Werkstattschlüssel, markiert worden sein, damit dieses Speichermedium überall sofort erkannt
wird und auffällt, falls es doch einmal versehentlich unbenutzt herumliegen sollte und nicht
ordnungsgemäß weggeschlossen verwahrt wird.
Bei der Schlüsselerzeugung muß die Mailadresse der CA als Teil der Benutzerkennung (bzw. des
Distinguished Names bei X.509-Zertifikaten) angegeben werden, d.h. sie muß zu diesem Zeitpunkt
feststehen und sollte auch schon benutzt werden können. An diese Benutzerkennung werden in der
Low-Level DFN-Policy einige Anforderungen gestellt, die von der gewählten Kennung für die CA-
Schlüssel erfüllt werden müssen. Hinweise dazu gibt der PGP: Leitfaden zur CA-Zertifizierung 6 der
DFN-PCA; im Zweifelsfalle sollte vor einer Schlüsselerzeugung Rücksprache mit der DFN-PCA
gehalten werden, da diese letztendlich die CA und ihre Schlüssel „absegnen“ muß.
5 http://www.cert.dfn.de/infoserv/dib/dib-9405.html
6 http://www.pca.dfn.de/dfnpca/certify/pgp/instca.html