Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

280 Anhang K. Low-Level-Policy (Mustertext)
Für die Dienste der UNI-CA wird ein Rechner eingesetzt, der in geeigneter Weise vor mißbräuchlicher Benutzung
geschützt ist. Der unbefugte Zugriff auf den CA-Rechner und eventuell gespeicherte Schlüsseldaten wird durch
den Einsatz geeigneter Hard- und Software unterbunden. Es wird ein Rechner ohne jeglichen Netzwerkanschluß
eingesetzt; dieser Rechner wird physikalisch geschützt aufbewahrt (Zugangs- / Zugriffskontrolle).
Die UNI-CAs verwendet getrennte asymmetrische Schlüsselpaare zum Signieren und zum Entschlüsseln.
Geheime Schlüssel der UNI-CA zum Erzeugen digitaler Signaturen müssen vor Mißbrauch durch Unbefugte
geschützt werden und dürfen nicht weitergegeben werden. Die Verantwortung hierfür liegt bei den Administratoren
der CA, die daher angehalten sind, vom CA-Rechner getrennte Speichermedien (z.B. SmartCard, Wechsel-
Festplatte, Diskette) zur Speicherung der geheimen Schlüssel einzusetzen, soweit dies technisch möglich ist. Der
Zugriff auf diese geheimen CA-Schlüssel wird in jedem Fall durch Paßworte bzw. PINs geschützt, die nur den
CA-Administratoren bekannt sind und niemals im Klartext abgelegt oder notiert werden.
Mit dem geheimen Signatur-Schlüssel der UNI-CA werden ausschließlich Benutzer-Schlüssel, Zertifikat-
Widerrufe oder die Policy der UNI-CA unterschrieben. Der geheime Signatur-Schlüssel wird nicht für Kommunikationszwecke
verwendet.
Asymmetrische Schlüsselpaare der UNI-CA zur Erzeugung von Signaturen weisen eine Mindestlänge von
1024 Bits auf. Aus Kompatibilitätsgründen dürfen sie zugleich nicht länger als 2047 Bits sein
In solchen Fällen, in denen die Low-Level UNI-CA asymmetrische Schlüsselpaare für die Nutzer erzeugt, müssen
nach der Erzeugung und Schlüsselübergabe an den Nutzer auf Seiten der UNI-CA alle Kopien des geheimen
Schlüssels des Nutzers oder Bestandteile oder Zwischenergebnisse aus der Schlüsselgenerierung, aus denen der
geheime Nutzer-Schlüssel ermittelt werden könnte, endgültig gelöscht werden.
Sämtliche persönlichen Daten der Zertifikatnehmer, die den UNI-CA-Mitarbeitern bei der Zertifizierung über
die Schlüssel- und Zertifikatdaten hinaus bekannt werden (z.B. die Personalausweisnummer), werden von den
UNI-CA-Mitarbeitern vertraulich behandelt und ausschließlich zu internen Dokumentationszwecken erhoben; sie
werden nicht veröffentlicht.
4.3 Sicherheitsanforderungen an Benutzer
Benutzer im Sinne dieser Policy sind natürliche Personen, die die Zertifizierungsdienste der UNI-CA in Anspruch nehmen
(Zertifikatnehmer). Folgende Anforderungen werden an die Zertifikatnehmer der UNI-CA gestellt:
Der geheime Schlüssel des Benutzers muß ausreichend vor Mißbrauch durch Unbefugte geschützt und darf nicht
weitergegeben werden; hierfür ist jeder Benutzer selbst verantwortlich. Werden keine SmartCards zum Speichern
des geheimen Schlüssels eingesetzt, ist der Zugriff auf den geheimen Schlüssel des Benutzers durch ein Paßwort
bzw. eine PIN zu schützen. Weder die optionale SmartCard noch das Paßwort bzw. die PIN dürfen an andere
Benutzer oder CA-Administratoren weitergegeben werden. Der Benutzer wird hierauf bei der Zertifizierung
ausdrücklich hingewiesen.
Der zu zertifizierende Schlüssel des Benutzers muß eine Mindestlänge von 1024 Bits aufweisen. Abweichend
davon dürfen auch Schlüssel zertifiziert werden, die kürzer als 1024 Bits, jedoch mindestens 768 Bits lang sind,
sofern sie ausweislich des entsprechenden Zeitstempels im PGP-Public-Key bereits vor [ dem Inkrafttreten dieser
Policy | dem ... ] erzeugt wurden. Ab dem 1.1.2001 werden keine Schlüssel mehr zertifiziert, die kürzer als 1024
Bits sind.
5 Zertifizierungsregeln
Die Low-level UNI-CA führt keine Cross-Zertifizierungen mit anderen Zertifizierungsstellen durch. Sie zertifiziert keine
nachgeordneten CAs und auch keine Registrierungsstellen (RAs), sondern ausschließlich Nutzer, genauer: deren öffentliche
Schlüssel. Die einzige Ausnahme von dieser Regel bilden der Zertifizierungs- und der Kommunikationsschlüssel der
Low-Level UNI-CA selbst: Sie werden mit einem Selbst-Zertifikat versehen.
Dieser Abschnitt beschreibt technische und organisatorische Richtlinien und Prozeduren, die bei einer Zertifizierung von
Benutzern zu beachten sind.