Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

42 Kapitel 4. Konzept für eine Zertifizierungsstelle (“plan”)
Bei der Medium-Level CA wird der geheime Signierschlüssel verschlüsselt und Paßsatz- bzw.
PIN-geschützt auf einem Wechselmedium (Diskette, ZIP-Disk, PCMCIA-Steckkarte, ggf. auch
Chipkarte) gespeichert, das unter Verschluß gehalten wird, solange es nicht benutzt wird. Sowohl
dieses Wechselmedium als auch die Festplatte, auf der sich die Daten und die Software für die
Medium-Level-CA befinden, darf das schützende Rechenzentrum nicht verlassen; die Medium-
Level-Zertifizierung findet nur dort statt. (Die Registrierung der Zertifizierungswilligen ist ggf. auch
an anderen Standorten zulässig.)
Der Zugriff auf den Signierschlüssel der Medium-Level-CA kann nur von zwei befugten CA-
Mitarbeitern zusammen erfolgen, so daß hier also das Vier-Augen-Prinzip durchgesetzt wird, um
Fehlern oder Betrug durch „Insider“ vorzubeugen.
Das Schlüsselpaar für eine Medium-Level-Zertifizierung muß vom Schlüsselinhaber erzeugt worden
sein; die Medium-Level CA generiert keine Nutzerschlüssel.
Für eine Medium-Level-Zertifizierung müssen die folgenden Bedingungen erfüllt sein:
Der Zertifizierungswillige ist bei einem persönlichen Kontakt mit den CA-Mitarbeitern unter
Vorlage eines gültigen amtlichen Personaldokumentes identifiziert worden
der Betreffende ist Angehöriger (Student/Mitarbeiter) oder Projektpartner der UNI und kann
dies durch geeignete Unterlagen nachweisen (z.B. Studentenausweis, Deckblatt des Gehaltsbogens,
Kooperationsvertrag)
die ggf. zu zertifizierende Mailadresse ist eine Mailadresse einer Einrichtung der UNI oder
eines ihrer Projektpartner
der Betreffende konnte von der UNI-CA unter dieser Mailadresse erreicht werden
der Zertifizierungswillige hat gegenüber der UNI-CA nachgewiesen, daß er im Besitz des
Private-Key ist, der zu dem zu zertifizierenden Public-Key gehört (sog. proof of possession,
PoP – das kann z.B. dadurch geschehen, daß der Betreffende eine challenge genannte Zufallszahl
mit dem geheimen Schlüssel signiert und das Ergebnis an die UNI-CA übermittelt,
die dann unter Verwendung des Public-Keys prüft, ob die Signatur wirklich mit dem korrespondierenden
geheimen Schlüssel geleistet wurde)
Die Zertifikate der Medium-Level-CA haben eine längere Gültigkeitsdauer als die der Low-Level-
CA (nahe an der Obergrenze, die die DFN-Policy noch zuläßt). Eine Re-Zertifizierung kann auf
eine entsprechende digitale signierte Nachricht hin erfolgen (u.U. mit erneutem Nachweis, daß der
Schlüsselinhaber weiterhin im Besitz des passenden Private-Keys ist).
Die Medium-Level UNI-CA darf, wenn sie es für angebracht hält, Registrierungsstellen (RAs)
einrichten und bei Bedarf auch nachgeordnete CAs aus anderen Einrichtungen der UNI zertifizieren.
Es ist allerdings maximal eine CA-Ebene unterhalb der UNI-CA zulässig; die Sub-CAs
dürfen also ihrerseits keine ihnen nachgeordneten CAs betreiben oder zertifizieren (wohl aber eigene
Registrierungsstellen, falls der Bedarf dafür vorhanden ist). Darüber hinaus darf die Medium-
Level- CA Cross-Zertifizierungen mit anderen Zertifizierungsstellen inner- und außerhalb der DFN-
Zertifizierungshierachie eingehen, wenn ihre Verantwortlichen dies für sinnvoll und vorteilhaft halten.