Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

38 Kapitel 4. Konzept für eine Zertifizierungsstelle (“plan”)
DFN-Policy aber auch X.509v3-Zertifikate für den Einsatz mit HTTPS-Servern und in WWW-
Browsern von der DFN-PCA ausgestellt, was eine Betrachtung zur Zeit etwas schwierig macht.
Mit nur geringen Anpassungen bzw. geringem Mehraufwand sollte aber auch die X.509-
Zertifizierung von der UNI-CA angeboten werden können, wenn Bedarf dafür besteht. Die Vorschläge
dieses Konzeptes sind so angelegt, daß die UNI-CA damit alle technisch-organisatorischen
Voraussetzungen auch für eine X.509-Zertifizierung durch die DFN-PCA erfüllt und sie sich eventuell
auch schon „X.509-zertifizieren“ lassen könnte. Teil II dieses Handbuches befaßt sich allgemein
(nicht speziell auf die UNI-CA bezogen) mit der X.509-Zertifizierung unter Verwendung der Software
OpenSSL; an diesen Ausführungen könnte sich bei Bedarf auch die UNI-CA orientieren.
Die DFN-PCA hat zwei separate Gruppen von Zertifizierungsrichtlinien, nach denen sie arbeitet,
eine Low- und eine Medium-Level Policy, die sich in den unterstützten Formaten und in den Sicherheitsanforderungen
unterscheiden. Daneben wird seit Ende 1998 auch noch eine „World Wide
Web-Policy“ für die Zertifizierung von Web-Browsern und -Servern angewendet. Eine PGP-
Zertifizierung ist nur in der DFN-Low-Level-Policy vorgesehen. Diese ist gleichzeitig aber an vielen
Stellen auslegungsfähig formuliert, enthält viele „Kann“-Bestimmungen und Empfehlungen anstelle
konkreter Anforderungen oder Vorgaben und ermöglicht es, mit wenig Sicherheitsaufwand,
aber eben auch mit einem begrenzten Sicherheitsniveau eine Zertifizierungsstelle zu betreiben. Die
DFN-Medium-Level-Policy hingegen stellt höhere Sicherheitsanforderungen an Betreiber und Zertifizierungswillige,
sieht aber keine PGP-Zertifizierung vor. Die technische Ausstattung und die
Arbeitsabläufe der UNI-CA sollten daher grundsätzlich (auch hinsichtlich der PGP-Zertifizierung)
so ausgelegt werden, daß eine Zertifizierung nach der DFN-Medium-Level-Policy möglich ist.
Die UNI-CA soll nach diesem Konzept die Zertifizierung nach zwei unterschiedlich strengen Policies
anbieten:
einer „Low-Level Security“ Policy, nach der ausschließlich PGP-zertifiziert wird und
einer „Medium-Level Security“ Policy, nach der sowohl PGP- als auch X.509-
Zertifizierungen vorgenommen werden (können)
Als Zertifizierungsrechner wird ein unvernetzter, tragbarer Computer vorgeschlagen, der mit zwei
austauschbaren Festplatten ausgestattet wird, von denen eine die Low-Level- und eine die Medium-
Level-CA „beherbergt“ (jeweils Software und Zertifizierungsdaten). Dieser Rechner sollte in einem
abschließbaren Schrank, über dessen Schlüssel nur die autorisierten CA-Mitarbeiter verfügen, im
Serverraum des Rechenzentrums aufbewahrt werden, wenn er nicht benutzt wird. Nur zur Zertifizierung
darf der Rechner nebst der entsprechenden Festplatte für die CA entnommen werden; er ist
nach Gebrauch umgehend wieder in diesem Schrank einzuschließen.
4.4 Begründung für den vorgeschlagenen Ansatz
4.4.1 Warum zwei Policies?
Eine Universitäts-Zertifizierungsstelle wird sich in besonderem Maße dem Spagat zwischen zwei
relativ gegensätzlichen Anforderungen stellen müssen: Sie muß auf der einen Seite Zertifizierungs-