Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

Anonyme oder pseudonyme Zertifikate werden von der UNI-CA nicht ausgestellt. Ebenso werden keine Zertifikate für
Gruppenschlüssel ausgestellt (einzige Ausnahme: der Kommunikationsschlüssel der UNI-CA selbst; er ist nicht an eine
einzige Person gebunden, sondern wird von allen UNI-CA-Mitarbeitern zum Lesen von verschlüsselt an die UNI-CA
geschickten Nachrichten verwendet).
In keinem Fall werden Zertifizierungswünsche automatisiert bearbeitet; es muß sichergestellt sein, daß die Zertifizierung
erst nach einer Interaktion durch einen der CA-Mitarbeiter erfolgt.
5.1 Unterstützte Schlüsselformate
Die Low-Level UNI-CA zertifiziert bis auf weiteres ausschließlich PGP-RSA-Schlüssel. DH/DSS-Schlüssel, wie sie z.B.
von PGP 5 erzeugt werden, werden von der UNI-CA nicht zertifiziert.
5.2 Schlüsselgenerierung
Ein Benutzer, der zertifiziert werden möchte, generiert zunächst (oder besitzt schon) ein persönliches asymmetrisches
Schlüsselpaar und übermittelt anschließend den selbst-signierten PGP-Public-Key) per E-Mail oder mittels eines Datenträgers
an die UNI-CA. Wenn der Nutzer dies wünscht und die CA dies anbietet, wird das asymmetrische Schlüsselpaar
des Benutzers auch von der CA erzeugt. Dabei sind von der UNI-CA die in Abschnitt 4.2 beschriebenen Sicherheitsanforderungen
einzuhalten.
5.3 Namenswahl (Benutzerkennung)
PGP-Benutzer werden durch eine Benutzer-ID identifiziert, die aus einer beliebigen Kombination von ASCII-Zeichen
bestehen kann. Bei der Benutzung von PGP kann zunächst jeder Teilnehmer die Benutzer-ID frei wählen. Um dennoch
ein sinnvolles und korrekt funktionierendes Zertifizierungsmodell zu erreichen, muß die Bindung eines PGP-Public-Keys
an einen Benutzer sichergestellt sein. Daher werden an zu zertifizierende PGP-Benutzer-IDs folgende Anforderungen
gestellt:
Benutzer-IDs müssen eine eindeutige Bindung zwischen dem Public-Key und der Identität des Benutzers herstellen.
Daher muß der Vor- und Zuname des Benutzers, wenn möglich auch eine E-Mail-Adresse, unter der er
erreichbar ist, innerhalb der Benutzer-ID vorhanden sein. Weitere Bestandteile der Benutzerkennung sind zulässig,
sofern sie nicht irreführend sind oder mit ihnen eine zusätzliche Eigenschaft oder Funktion des Schlüsselinhabers
charakterisiert wird, die die UNI-CA ansonsten vor einer Zertifizierung nachprüfen müßte. (Eine Benutzerkennung
wie Hans Schmidt , Diplom-Biologe, Ute Durchschnitt, UNI-
Praesidentin oder Prof. Dr. Y. Mustermensch wäre also nicht zertifizierbar.)
Ergänzungen in der Benutzer-ID, die eine Gültigkeitsdauer oder eine Anwendungsbeschränkung des Schlüssels andeuten
sollen (z.B. ‘SIGN’ für Schlüssel, die nur zur Unterschriftenprüfung, nicht aber zum Verschlüsseln benutzt werden sollen,
oder EXPIRE wie oben für den UNI-CA-Signierschlüssel beschrieben), sind ebenfalls zulässig. Ein Verfallsdatum in der
Benutzerkennung muß aber, wenn es verwendet wird und zugleich im PGP-Public-Key-Packet ein Verfallsdatum für den
Schlüssel angegeben ist, mit diesem übereinstimmen; andernfalls darf dieser Schlüssel von der UNI-CA nicht zertifiziert
werden.
Schlüssel mit abgelaufener Gültigkeitsdauer werden ebensowenig zertifiziert wie solche mit einem „Erstellungsdatum“,
das in der Zukunft liegt.
Beispiele für zertifizierbare PGP-Benutzer-IDs im Sinne dieser Policy sind:
Arnold J. Rimmer, Uni Hamburg
"Katharina Benutzer" (SIGN)
Joe Juhser, 21. Dezember 1967, Hamburg (EXPIRE:2000-01-18)
281