Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

6 Management von Zertifikaten
Die PGP-Zertifikate, die die UNI-CA ausstellt, werden von ihr auf den PGP-Keyservern des internationalen PGP-
Keyserver-Verbundes (http://www.pgp.net/) veröffentlicht.
Alle Zertifikatnehmer der UNI-CA erklären sich mit der Veröffentlichung ihres Zertifikates einverstanden. Sie werden
auf die Publikation der Daten auf den Zertifizierungsanträgen ausdrücklich hingewiesen. Ohne diese Einwilligung kann
keine Zertifizierung erfolgen.
7 Widerruf von Zertifikaten
Die UNI-CA behält sich vor, von ihr erteilte Zertifikate jederzeit vor Ablauf der Gültigkeitsdauer ohne öffentliche Nennung
expliziter Gründe zu widerrufen. Dem Schlüsselinhaber wird die UNI-CA über den Widerruf informieren und ihm
auf Anfrage die Gründe mitteilen, die sie dazu veranlaßt haben.
Jeder Zertifikatnehmer der UNI-CA kann von ihr ohne Angabe von Gründen verlangen, daß sie das entsprechende Zertifikat
für seinen Schlüssel widerruft. Die UNI-CA hat diesem Verlangen nachzukommen, sobald sie sich durch geeignete
Schritte davon überzeugt hat, daß der Antrag vom Zertifikatnehmer selbst stammt bzw. von ihm autorisiert ist.
Wird der eigene geheime Schlüssel Dritten bekannt, so hat der betroffene Nutzer unverzüglich die UNI-CA zu benachrichtigen
und den Widerruf des eigenen Zertifikates veranlassen, sobald er Kenntnis von diesem Umstand hat.
Die Low-Level DFN-Policy macht für den Widerruf von PGP-Zertifikaten keine konkreten Vorgaben für die CA; die
dort gemachte Aussage, eine CA könne ein PGP-Zertifikat nicht widerrufen, ist technisch dank neuer PGP-Versionen
nicht mehr zutreffend. Daneben wird in der DFN-Policy lediglich die Möglichkeit eines Schlüsselwiderrufs durch den
Schlüsselinhaber selbst erwähnt und darauf hingewiesen, daß an der Verteilung solcher Widerrufe mittels eines X.500-
Verzeichnisdienstes geforscht wird.
Die UNI-CA wird daher eigene Zertifikate auf folgende Weise widerrufen:
Viele PGP-Versionen (PGP2.6.3in, PGP 5.x, PGP 6.x) unterstützen inzwischen die Möglichkeit eines Zertifikat-
Widerrufs. Da die bislang praktizierte Vorgehensweise zum Widerruf eines PGP-Zertifikates durch eine CA, die Veröffentlichung
des betreffenden Zertifikates auf einer Sperr- oder Widerrufsliste (engl. certificate revocation list, CRL),
für PGP in keiner Weise standardisiert war und daher auch von keiner der PGP-Versionen unterstützt wurde, wird die
UNI-CA nicht mit derartigen Sperrlisten arbeiten. Stattdessen wird sie Zertifikat-Widerrufe einsetzen und diese über die
PGP-Keyserver allen PGP-Anwendern zugänglich machen.
Es besteht darüber hinaus für alle Benutzer die Möglichkeit, einen Schlüsselwiderruf, ein sog. key revocation certificate,
zu erzeugen und dieses Zertifikat im Falle des Widerrufs über die PGP-Keyserver zu verteilen, um die Ungültigkeit des
eigenen Public-Keys bekanntzumachen.
Wichtiger Hinweis für relying parties:
Eine Person, die sich auf das Zertifikat der UNI-CA für den PGP-Schlüssel einer anderen Person verlassen will, muß
zweierlei tun, um sichergehen zu können, daß ein eventuell existierendes Zertifikat der UNI-CA für den betreffenden
Schlüssel nicht mittlerweile von der UNI-CA widerrufen wurde:
Es muß eine PGP-Version benutzt werden, die PGP-Zertifikatwiderrufe verarbeiten kann und sie anzeigt
Es muß der betreffende PGP-Schlüssel einschließlich aller anhängigen Zertifikate von einem der Server des PGP-
Keyserver-Verbundes www.pgp.net heruntergeladen und anschließend geprüft werden, ob nicht ein Widerruf des
UNI-CA-Zertifikates vorliegt.
(Da die Server des PGP-Keyserver-Verbundes jeweils untereinander ihre Schlüssel- und Zertifikatdaten synchronisieren,
kann es dabei zu einem „Unsicherheitszeitraum“ von in der Regel maximal einem Tag kommen, in dem zwar die Zertifizierungsstelle
eventuell ihr Zertifikat für einen Schlüssel widerrufen hat, dieser Widerruf aber noch nicht alle Server des
Verbundes erreicht hat.)
283