Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

282 Anhang K. Low-Level-Policy (Mustertext)
5.4 Identitätsprüfung
Um unerlaubte Zertifizierungswünsche zu erkennen, hat sich die UNI-CA vor jeder Zertifizierung in geeigneter Weise
von der Identität desjenigen Schlüsselinhabers zu überzeugen, welcher eine Zertifizierung wünscht. Dieser Vorgang kann
nur durch persönlichen Kontakt vor der Zertifizierung erfolgen.
Der Benutzer muß sich persönlich vorstellen, um der CA die Prüfung seiner Identität zu ermöglichen. Für den Prozeß
der Verifikation ist die Vorlage eines gültigen Personalausweises oder Reisepasses bzw. eines entsprechenden amtlichen
Dokumentes mit Lichtbild erforderlich.
5.5 Anforderungen an den Schlüssel
Zertifikate werden ausschließlich dann erteilt, wenn der zu zertifizierende Public-Key über die in Abschnitt 4 festgelegten
Mindest- und Höchstlängen verfügt, die zu zertifizierende Benutzerkennung die Anforderungen in Abschnitt 8 erfüllt und
sich die UNI-CA in geeigneter Weise von der Identität des Schlüsselinhabers überzeugt hat. Schlüssel, die ein Verfallsdatum
enthalten, werden von der UNI-CA nur vor diesem Datum zertifiziert; abgelaufene Schlüssel oder abgelaufene
Benutzerkennungen werden nicht von der UNI-CA zertifiziert.
Im Zertifizierungsantrag sind die kryptographische Prüfsumme (der sog. „Fingerprint") des öffentlichen Schlüssels, der
zertifiziert werden soll, sowie dessen Schlüssellänge und sein Erstellungsdatum anzugeben. Die UNI-CA hat sich vor
der Zertifizierung anhand dieser Angaben zu vergewissern, daß der richtige Public-Key vorliegt. Der Public-Key muß
in jedem Fall eine Selbst-Signatur des Inhabers aufweisen; solange diese nicht vorhanden ist, darf er nicht zertifiziert
werden. (Eine fehlende Selbst-Signatur kann vom Schlüsselinhaber nachgereicht werden.)
Die Low-Level UNI-CA führt vor der Zertifizierung eines Schlüssels keine Prüfung durch, ob der Schlüsselinhaber auch
über den Private-Key verfügt, der mit dem zu zertifizierenden Public-Key korrespondiert (sog. proof of possession, PoP).
Ebenso prüft die Low-Level UNI-CA vor einer Zertifizierung nicht, ob der Schlüsselinhaber tatsächlich unter der Mailadresse
erreichbar ist, die eventuell in der zu zertifizierenden Benutzerkennung enthalten ist. Das Zertifikat der Low-Level
UNI-CA bezieht sich also ausschließlich auf den Namen des Schlüsselinhabers.
5.6 Gültigkeitsdauer
Ein PGP-Zertifikat enthält grundsätzlich den Public-Key sowie die Benutzer-ID. Da eine Gültigkeitsdauer digitaler Signaturen
von vielen gebräuchlichen PGP-Versionen nicht unterstützt wird, begrenzt alleine die Gültigkeit des Zertifizierungsschlüssels
(implizit) die Gültigkeitsdauer eines PGP-Zertifikats. Neben den für eine Gültigkeitsdauer vorgesehenen
Datenstrukturen im PGP-Public-Key-Packet wird auch in der Benutzerkennung des Low-Level UNI-CA-Schlüssels durch
Angabe der Zeichenfolge ‘EXPIRE:jjjj-mm-tt’ das entsprechende Verfallsdatum des betreffenden Signierchlüssels angegeben.
(jjjj ist dabei durch die entsprechende vierstellige Jahreszahl, mm durch die zweistellige numerische Darstellung
des Monats, ggf. mit führender Null, und tt entsprechend durch die Nummer des Tages im Monat, ggf. ebenfalls mit
führender ‘0’, zu ersetzen.) Dadurch wird erreicht, daß auch PGP-Anwender, deren PGP-Version die Gültigkeitsdauer
von PGP-Schlüsseln oder -Zertifikaten nicht automatisch auswertet, erkennen können, bis wann ein UNI-CA-Schlüssel
gültig ist und bis wann folglich auch die damit ausgestellten Zertifikate höchstens gültig sind.
Die Zertifikate der Low-Level UNI-CA haben eine Gültigkeitsdauer von sieben Monaten. Sie werden 15 Tage vor Beginn
jedes Hochschulsemesters erzeugt und gelten jeweils bis zum 15. Tag des folgenden Semsters.
5.7 Verlängerung von Zertifikaten
Zertifikate werden nicht automatisch durch die UNI-CA erneuert oder verlängert. Eine Re-Zertifizierung erfolgt nicht,
es ist stattdessen ein neuer normaler Zertifizierungsantrag (wie bei der erstmaligen Zertifizierung) bei der Low-Level
UNI-CA zu stellen.