Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

114 Kapitel 5. Praktische Umsetzung des CA-Konzeptes
dingungen – d.h. es findet keine Kompromittierung während der Schlüssellebensdauer statt – sowie
eines prototypischen von der UNI-CA ausgestellten Zertifikates. Ausgangsbasis dieses Szenarios ist
die Annahme, daß die Gültigkeit eines Zertifikates mittels der Gültigkeitsdauer des Zertifizierungsschlüssels
implizit ausgedrückt und nicht direkt (wie mit der neuesten PGP-Version möglich) im
Zertifikat selber angegeben wird (vgl. dazu 4.8.7.2).
5.4.2.1 Lebenszyklus des CA-Zertifizierungsschlüssels
Zwei Wochen vor dem Ende des Wintersemesters wird der Zertifizierungsschlüssel der Medium-
Level UNI-CA für die kommenden zwölf Monate zusammen mit seinem zugehörigen öffentlichen
Schlüssel erzeugt. Mit ihm wird ein Zertifikat für den Public-Key ausgestellt. Der Public-Key wird
zusätzlich mit dem noch gültigen alten Zertfizierungsschlüssel signiert, während der geheime Zertifizierungsschlüssel
(Private-Key) auf eine grellbunte Diskette kopiert wird. Ein Widerruf seiner
selbst wird zusammen mit dem zugehörigen Public-Key an die DFN-PCA übermittelt, die den
Public-Key ebenfalls zertifiziert und den Schlüssel-Widerruf sicher verwahrt. Dann bekommt der
Signierschlüssel viel zu tun: Lauter andere Schlüssel, deren Zertifikat gerade abgelaufen ist, werden
mit ihm neu zertifiziert. Anschließend wird die Diskette mit dem Zertifizierungsschlüssel in einem
Schrank eingeschlossen, aus dem sie nur selten wieder herausgenommen wird. Wenn dies geschieht,
werden mit dem Private-Key andere Schlüssel, Schlüsselwiderrufe oder Sperrlisten signiert. Nach
rund sechs Monaten bekommt der Zertifizierungsschlüssel wieder mehr zu tun: Mit ihm werden
nun vor allem Schlüsselwiderrufe signiert, weil viele andere Zertifikatinhaber im laufenden Semester
aus der UNI ausgeschieden sind, was zum Semesterwechsel festgestellt wird. Da die Medium-
Level UNI-CA nur Zertifikate für Personen ausstellt, die der Universität angehören, werden die
Zertifikate für die Schlüssel aller anderen, die keine UNI-Angehörigen mehr sind, gelöscht. Danach
wird es wieder ruhiger. Kurz vor seinem ersten „Geburtstag“ wird mit dem Zertifizierungsschlüssel
dann die öffentliche Komponente seines Nachfolgers signiert. Ganz kurz nach dem Erreichen eines
Alters von zwölf Monaten wird der Zertifizierungsschlüssel dann gelöscht; der zugehörige Public-
Key hingegen existiert in hunderten von Kopien weiter, die weiterhin zum Prüfen der zuvor mit dem
Private-Key ausgestellten Signaturen und Zertifikate verwendet werden.
“A digital signature private key must be securely destroyed when its active lifetime terminates.
If its value is disclosed, even a long time after it is no longer actively used, it may still be used
to forge signatures on old documents.” [For94]
5.4.2.2 Lebenszyklus des CA-Kommunikationsschlüssels
Genau zum Beginn des Sommersemesters wird das Kommunikationsschlüsselpaar erzeugt. Es soll
sechs Monate lang benutzt werden. Als erstes wird sein öffentlicher Teil mit dem geheimen Signierschlüssel
signiert und anschließend in alle Welt verteilt. Der geheime Teil wird auf sicherem
Wege zusammen mit der Passphrase in Kopien an die Mitarbeiter der UNI-CA ausgehändigt. Sie
benutzen ihn anschließend, um eingehende verschlüsselte Mails für die UNI-CA zu entschlüsseln.
Mit Ablauf des Semesters wird mit dem geheimen Kommunikationsschlüssel ein Schlüsselwiderruf
erzeugt und in alle Welt verteilt (z.B. über die Keyserver). Damit ist nach außen hin deutlich,