Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

158 Kapitel 10. Erzeugen von Requests und Zertifikaten
gleiche Beschränkung. Die Schlüssellänge kann aber bis auf 2048 Bit erhöht werden, indem das
Zertifikat extern (z.B. mit openssl) erzeugt und anschließend als .p12-Datei (siehe HENSONS
PKCS#12-Seite 1 ) in den NSC importiert wird (siehe PFX (13.1) bzw. PKCS12 (12.2)). Da die USA
die Export-Beschränken für Kryptosoftware gelockert haben, sollten demnächst Browser-Versionen
zur Verfügung stehen, die diese Beschränkung der Schlüssellänge nicht mehr haben. (Siehe dazu
Abschnitt 4.15.1.)
Die Schlüsselerzeugung hätte bei dem folgenden Request-Kommando gleichzeitig mit der Request-
Erzeugung durch die Option -newkey veranlaßt werden können; diese Variante bietet aber keine
Möglichkeit, zusätzliche Zufallsdaten anzugeben.
Die Erzeugung des Requests erfolgt durch folgenden Befehl:
openssl req -new -key MyKey.pem -out MyReq.pem
Nach Eingabe des Befehls müssen folgende Angaben gemacht werden (beispielhafte Eingaben sind
in doppelten Anführungsstrichen):
Using configuration from /usr/local/etc/ssl/openssl.cnf
Enter PEM pass phrase: "passphrase"
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter ’.’, the field will be left blank.
-----
Country Name (2 letter code) [AU]: "DE"
State or Province Name (full name) [Some-State]: "Schleswig-Holstein"
Locality Name (eg, city) []: "Kiel"
Organization Name (eg, company) [Internet Widgits Pty Ltd]: "Universitaet Kiel"
Organizational Unit Name (eg, section) []: "Studis"
Common Name (eg, YOUR name) []: "Fred Neumann"
Email Address []: "neumann@inf.uni-kiel.de"
Please enter the following ’extra’ attributes
to be sent with your certificate request
A challenge password []: "passphrase vergessen"
An optional company name []: "Informatik Uni Kiel"
(Für den genauen Inhalt muß die zertifizierende CA bzw. deren Policy konsultiert werden.)
Die beiden letzten Angaben tauchen als Klartext im Attribut-Bereich des Requests auf. Soll später
ein Zertifikat zurückgerufen werden, kann sich der Inhaber gegenüber der CA, auch bei Verlust des
Private Keys, durch Angabe dieser Felder als Inhaber „ausweisen“. Die Verwaltung dieser Angaben
kann von der CA durchgeführt werden.
Je nach Verwendungszweck des späteren Zertifikats muß bei den Angaben folgendes beachtet werden:
1 http://www.rsa.com/rsalabs/pubs/PKCS/html/pkcs-12.html