Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

110 Kapitel 5. Praktische Umsetzung des CA-Konzeptes
um sie ihnen aushändigen zu können. Diese Informationen bilden die Grundlage für die spätere
Nutzung der von der CA ausgestellten Zertifikate. Ihre Authentizität ist daher von höchster Wichtigkeit;
es muß unter allen Umständen vermieden werden, daß hier ein Angreifer seinen Schlüssel
oder seine Schlüsselinformationen gegen die der UNI-CA austauscht!
Die Zettel oder Datenträger mit den Schlüsseln oder Schlüsselinformationen müssen daher vor unbefugtem
Zugriff sicher verwahrt werden. Andererseits müssen sie zugänglich sein, wenn ein Zertifizierungswilliger
erscheint und einen Zertifizierungsantrag stellt, damit sie ihm dann ausgehändigt
werden können.
5.2.12 Interne Probeläufe
Zur Einübung, zur Optimierung der Abläufe und damit eventuelle Fehler noch keine dramatischen
Folgen für das Ansehen der CA haben, sollten die Arbeitsabläufe bei allen Phasen der Zertifizierung
und der sonstigen CA-Arbeit realitätsnah durchgespielt werden.
Hierzu könnten die Schlüssel der RZ-Mitarbeiter bzw. die Schlüssel einiger PGP-Interessierter probezertifiziert
werden, mit einem ausdrücklich als „Test-Key“ gekennzeichneten CA-Schlüssel (oder
einem Schlüssel mit einem Decknamen) und einer kurzen Gültigkeitsdauer. Die Gültigkeitsdauer
sollte so bemessen sein, daß auch Aspekte wie ein Schlüsselwechsel der CA im Rahmen dieser
Tests simuliert werden können.
Erprobt werden muß auch die Vorgehensweise bei der Sperrung eines Zertifikates, damit hier später
im Ernstfall keine Fehler unterlaufen. Ebenfalls sollte auch die Re-Zertifizierung von Keys durchexerziert
werden.
Eventuell in dieser Phase zutage getretene Schwächen oder Fehler in der Policy können zu dieser
Zeit noch relativ leicht durch Korrektur derselben behoben werden.
5.2.13 Policy-Verabschiedung und -Bekanntgabe
Es ist eine eindeutige Regelung zu treffen, wer die UNI-CA-Policy letztlich abzusegnen hat oder zu
Änderungen befugt ist. Diese Regelung sollte, eventuell auch als Information in der Policy selbst,
bekanntgemacht werden.
Die Policy sollte vor ihrer Verabschiedung unbedingt auch mit der DFN-PCA abgestimmt sein,
damit es nicht im Nachhinein zu Problemen mit der Einbindung der UNI-CA in die DFN-
Zertifizierungshierarchie kommt! Auch bei Änderungen bzw. vor der Verabschiedung einer geänderten
Fassung der Policy sollte vorsorglich immer die DFN-PCA beteiligt werden.
Zu Beginn der Zertifizierungstätigkeit der UNI-CA könnte die Policy erst einmal als „vorläufig“
und in der Erprobung deklariert und relativ kurz befristet werden. Wenn sich dann nach den ersten
Wochen oder Monaten der Arbeit nach dieser Policy gezeigt hat, ob sie noch Schwachpunkte enthält,
die korrigiert werden müßten, oder ob sie so als endgültige Policy verwendet werden kann,
dann kann die endgültige Fassung in Kraft gesetzt werden.