Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

292 Anhang L. Standard-CA-Mails
Du hast die Re-Zertifizierung dieses Schlüssels durch die UNI-CA beantragt]
Die Re-Zertifizierung kann nach einfacherer Überprüfung als bei der
Erst-Zertifizierung und diesmal *ohne* persönlichen Kontakt zwischen Dir
und der UNI-CA erfolgen.
Diese Mail dient dazu, zweierlei zu prüfen:
1. Bist Du nach wie vor im Besitz des Private Keys, der zum o.g.
Public-Key gehört?
2. Bist Du noch immer unter der oben in Deiner Key-UserID
genannten Mailadresse erreichbar?
Wenn Du diese Nachricht erhalten hast und sie entschlüsseln kannst,
dann sind die beiden Bedingungen oben erfüllt. Und nur dann ist eine
Re-Zertifizierung Deines PGP-Keys möglich.
Bitte sende als Nachweis, daß Du diese Mail erhalten und entschlüsselt
hast und daß Du eine Re-Zertifizierung Deines o.g. PGP-Schlüssels durch
die UNI-CA wünschst, die folgende ’Challenge’ (eine "Herausforderung",
die ein potentieller Angreifer nicht durch Raten herausbekommen kann)
in einer MIT DEINEM o.g. SCHLÜSSEL PGP-SIGNIERTEN und an die UNI-CA
VERSCHLÜSSELTEN Mail an die Mailadresse ’ca@UNI.DE’.
(Der UNI-CA Verschlüsselungs-Key ist unten angefügt.)
[.........] {Zufallszahl}
Mit Deiner entsprechenden Antwort-Mail erhält die UNI-CA einen
Beleg dafür, daß Du offenbar unter der betreffenden Mailadresse erreichbar
bist. (Adernfalls könntest Du die "Challenge" nicht kennen,
da diese zufällig gewählt wurde und somit nach menschlichem Ermessen
nicht erraten werden oder aus der verschlüsselten Mail von einem
Angreifer ersehen werden kann.)
Wenn Deine Antwort-Mail außerdem wie verlangt von Dir PGP-signiert ist,
dann kann die UNI-CA daran sehen, daß Du wirklich im Besitz des
privaten Schlüssels zum obigen öffentlichen Schlüssel bist. (Nur
dann kannst Du nämlich eine PGP-Signatur erzeugt haben, die sich mit
Deinem öffentlichen Schlüssel erfolgreich verifizieren läßt!)
Diese Challenge dient zugleich auch als sog. "gemeinsames Geheimnis"
("shared secret"), das nur Dir und der UNI-CA bekannt ist. Es ist
Dein "Berechtigungsnachweis", falls Du per E-Mail den WIDERRUF der
UNI-CA-Signatur unter diesem Key bzw. dieser Benutzerkennung Deines Keys
beantragen möchtest und z.B. wegen des Verlustes Deines Secret Keys oder
wegen einer vergessenen Passphrase für diesen Key nicht mehr in der
Lage bist, selber eine Key Revocation oder zumindest eine PGP-signierte
Widerrufs-Anforderung zu erzeugen und an die UNI-CA zu senden.
Du solltest die o.g. Challenge also unbedingt vor unbefugtem Zugriff
sicher verwahren - wer sie kennt, kann veranlassen, daß die UNI-CA