Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

52 Kapitel 4. Konzept für eine Zertifizierungsstelle (“plan”)
derungen oder eine Neufassung oder Verlängerung der Zertifizierungsrichtlinien der betreffenden
CA zu befinden hat.
4.8.7.2 Gültigkeitsdauer der Zertifikate
Die Gültigkeitsdauer der Zertifikate und eine eventuelle Verlängerungsmöglichkeit sollten sich an
der Handhabung der Benutzerbereiche orientieren. Für die Low-Level-Policy könnte beispielsweise
eine Gültigkeitsdauer von sechs Monaten sinnvoll sein, wenn die Benutzerbereiche der Studierenden
an der UNI jedes Semester verlängert werden müssen.
Bei PGP-Zertifikaten kann eine Gültigkeitsdauer lediglich implizit durch die Gültigkeitsdauer des
Unterschriftenschlüssels angegeben werden (vgl. [USC99]), insofern ergibt sich hier kein über das
Jahr hinweg „gleitendes“ Gültigkeitsfenster, sondern es existieren Stichtage (Verfallsdatum des Signierschlüssels),
an denen damit auch eine große Zahl von Zertifikate ungültig wird. 9 Bei X.509-
Zertifikaten gibt es dieses Phänomen nicht, da jedes Zertifikat einen individuellen Gültigkeitsbeginn
und ein individuelles Verfallsdatum aufweisen kann, das jeweils vom Zertifizierer bestimmt wird.
Die DFN-Policies legen für Nutzer-Zertifikate eine maximale Gültigkeitsdauer von einem Jahr fest.
(Diese Aussage wird allerdings nur für X.509-Zertifikate gemacht, da ja bei den PGP-Zertifikaten
nicht direkt eine Gültigkeitsdauer angegeben werden kann.) Dieser Punkt ist sicherlich diskussionswürdig,
da bei strenger Prüfung insbesondere nach den Medium-Level Richtlinien eine längere
Gültigkeitsdauer vertretbar sein müßte – selbst das Signaturgesetz sieht mit maximal fünf Jahren
bzw. dem Ablauf der Eignung eines kryptographischen Verfahrens eine sehr viel höhere maximale
Gültigkeitsdauer vor – und bei einer größeren Zahl ausgestellter Zertifikate ansonsten auch
der Arbeitsaufwand durch ständige (Re-)Zertifizierungsanträge erhebliche Ausmaße annimmt. Da
für PGP-Zertifikate in der DFN-Low-Level-Policy keine maximale Gültigkeitsdauer vorgeschrieben
ist, bestünde hier nach den Buchstaben der Policy die Möglichkeit, einen beliebigen Gültigkeitszeitraum
zu wählen. Geht man jedoch nach dem Geist der Policy, also der Absicht, die bei
ihrer Abfassung zu Grunde lag, so muß man auch für PGP-Zertifikate dieselbe Obergrenze wie bei
X.509-Zertifikaten von einem Jahr für die Gültigkeitsdauer ansetzen.
Für die UNI-CA Low-Level Policy wird daher eine maximale Gültigkeitsdauer der Nutzerzertifikate
von 6 Monaten vorgeschlagen, für die Medium-Level Policy eine solche von 12 Monaten.
Für PGP, bei dem die Gültigkeitsdauer des Zertifizierungsschlüssels implizit über die Gültigkeitsdauer
der Zertifikate mit entscheidet, wird vorgeschlagen, sich an den Anfangsterminen der Hochschulsemester
zu orientieren. Da zum jeweiligen Semester- und dann auch CA-Schlüsselwechsel
einige Arbeit anfällt und außerdem viele Studierende erst zum Vorlesungsbeginn wieder an ihrem
Studienort sind, sollte der Gültigkeitszeitraum von altem und neuem Signierschlüssel sich leicht
überlappen, damit es nicht zu Problemen an einem Übergangstag oder mit eventuell erforderlichen
Nach-Zertifizierungen kommt (siehe 4.8.10). Der betreffende Schlüssel für ein neues Semester
könnte dann schon einige Tage vor dessen Beginn generiert und z.B. auch schon von der DFN-PCA
zertifiziert werden (der Beginn der Gültigkeitsdauer eines PGP-Keys ergibt sich implizit aus seinem
Erstellungsdatum) und würde dann ab dem ersten Tag des neuen Semesters für die Zertifizierung
eingesetzt.
9 Eine Ausnahme stellt in dieser Hinsicht die aktuelle PGP-Version 6.5.1i dar: Sie ermöglicht es dem Nutzer erstmals
(bei PGP), eine Gültigkeitsdauer für Zertifikate anzugeben.