Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

5.4. Betrieb der CA (“run”) 115
daß seine öffentliche Komponente nicht mehr benutzt werden sollte, und die geheime Komponente
wandert ins Archiv.
5.4.2.3 Lebenszyklus eines Zertifikates
Mitten im Semester wird ein Zertifikat für den Schlüssel des Studenten Mustermann erzeugt. Er war
persönlich bei der UNI-CA, hat seinen Studentenstatus belegt, woraufhin sein öffentlicher Schlüssel
mit dem geheimen Zertifizierungsschlüssel der Medium-Level UNI-CA unterzeichnet wurde,
der noch bis zum Ende des nächsten Semesters (also noch rund neun Monate) gilt. Drei Monate
später ereilt viele andere Zertifikate ihr planmäßiges oder vorfristiges Ende: Der Low-Level-
Zertifizierungsschlüssel der UNI-CA läuft kurz nach dem Ende des Semesters ab, und alle mit
ihm ausgestellten Zertifikate werden dadurch ungültig. Außerdem gibt es einige Medium-Level-
Zertifikate, die vorzeitig gesperrt werden, weil die Inhaber ihrer Schlüssel nicht mehr an der UNI
immatrikuliert oder beschäftigt sind. Kurz vor Ablauf des nächsten Semesters wird das Zertifikat
dann noch einmal von der UNI-CA selbst verwendet: Sie prüft damit die Unterschrift unter einer
E-Mail des Studenten Mustermann an die UNI-CA, in der er um eine Re-Zertifizierung seines
Schlüssels bittet. Da die Unterschrift sich erfolgreich mit dem öffentlichen Schlüssel Mustermanns
im Zertifikat verifizieren läßt, erstellt die UNI-CA mit ihrem neuen Zertifizierungsschlüssel für das
kommende Semester ein neues Zertifikat, das diesmal ein Jahr lang gilt (wenn es nicht widerrufen
wird ...). Das alte Zertifikat läuft dann mit dem Ende der Gültigkeitsdauer des alten Signierschlüssels
ab.
5.4.3 Terminsachen
Aus einer anderen Perspektive sind Zeiträume und Termine, an denen etwas geschieht oder geschehen
muß, wichtiger als die Objekte, mit denen etwas passiert. Diese Sichtweise für verschiedene regelmäßig
wiederkehrende oder einmalige Stichtags-Aktivitäten stellen die nachfolgenden Abschnitte
dar, indem sie die Tätigkeiten der CA nennen, die zum jeweiligen Termin oder im angegebenen
Rhythmus ausgeführt werden sollten oder müssen.
5.4.3.1 Wöchentlich zu erledigen
Korrektheit der Systemzeit auf dem CA-Rechner direkt beim Hochfahren prüfen – der Rechner
kann sich nicht über eine Netzwerkverbindung mit den NTP-Servern synchronisieren,
eventuell geht daher seine Uhr stärker falsch als die der übrigen, vernetzten UNI-Rechner
(nötigenfalls korrigieren)
kleiner Integritätscheck mit tripwire
anstehende Zertifizierungen und Zertifikatwiderrufe durchführen
inkrementelles Backup anfertigen
DFN-PCA-Mailingliste verfolgen
Mail für die CA beantworten/News lesen