Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

4.8. Die Zertifizierungsrichtlinien 55
über den PGP-Keyserver-Verbund. Dieses Konzept des Zertifikat-Widerrufs ist auch von anderer
Stelle unabhängig von PGP als Alternative zur Verwendung von Sperrlisten (CRLs) aufgegriffen
und verallgemeinert worden [Rue95].
Eine vierte, nicht wirklich sinnvolle Variante besteht in der Möglichkeit, daß der Zertifizierer seinen
Zertifizierungsschlüssel mit einem Key Revocation Certificate widerruft – dann aber sind alle jemals
mit diesem Schlüssel unterschriebenen Zertifikate ungültig und nicht nur das eine, das ursprünglich
gesperrt werden sollte. Diese Lösung verbietet sich daher in den meisten Fällen von selbst.
4.8.8.2 Sperrung auf Veranlassung des Schlüsselinhabers
Bevor die CA ein Zertifikat auf Veranlassung des Zertifikatnehmers sperrt, muß sie sich vergewissern,
daß die entsprechende Aufforderung tatsächlich vom Zertifikatnehmer stammt und nicht von
einer nicht-authorisierten anderen Person. Ohne Anspruch auf Vollständigkeit sind die folgenden
drei Möglichkeiten gegeben, wie sich der Betreffende eindeutig identifizieren kann:
durch persönliches Erscheinen bei der CA und Vorlage eines Personaldokumentes (wie bei
der Beantragung des Zertifikats)
durch eine signierte E-Mail an die CA mit dem Widerrufswunsch, die mit dem geheimen
Schlüssel signiert ist, dessen öffentliche Komponente gesperrt werden soll
durch Angabe eines geheimen Codewortes per Mail oder auch telefonisch, das vertraulich
zwischen dem Schlüsselinhaber und der Zertifizierungsstelle für genau diesen Fall vereinbart
wurde (kann z.B. als Teil einer verschlüsselten Challenge-Mail geschickt worden sein, mit
der die CA die Erreichbarkeit des Antragstellers unter der zu zertifizierenden Mailadresse
getestet hatte)
4.8.8.3 Sperrung auf Veranlassung der CA
Eine sinnvolle Nutzung der Zertifikate als digitaler Werks- oder Studentenausweis wäre nur dann
möglich, wenn ein Zertifikat für den Schlüssel eines ausscheidenden Universitätsangehörigen zeitnah
zu dessen Ausscheiden gesperrt würde. Das setzt wiederum voraus, daß die CA über Mitarbeiter
bzw. Studierende, die die UNI verlassen, umgehend informiert wird. Dies könnte zentral durch die
Immatrikulations- bzw. Personalstelle passieren, es wäre aber – zumindest bei den Mitarbeitern –
vorstellbar, daß sie sich selber in der Zertifizierungsstelle abmelden müssen, diese quasi auf einem
entsprechenden Laufzettel quittieren müßte, daß der Betreffende sein Ausscheiden angezeigt hat.
Beide Varianten dürften jedoch mit einigem Aufwand verbunden sein.
Ein Abgleich der Personal- oder Studierendenliste mit den Zertifikatnehmern der CA wäre eine
andere Alternative, die allerdings aus Datenschutzgründen problematisch erscheint und die, da der
Abgleich vermutlich nicht täglich stattfinden könnte, auch nur eine grobe zeitliche Auflösung erreichen
würde, z.B. ein quartalsweiser oder monatlicher Abgleich. Damit wäre aber an einen Einsatz
der Zertifikate als elektronischer Werks- oder Studentenausweis der UNI kaum zu denken, es sei
denn, maximal drei Monate bzw. vier Wochen mögliche Mißbrauchsfrist erschienen vertretbar. (Auf
der anderen Seite müßte man hier sicher auch berücksichtigen, wie genau herkömmliche Ausweise