Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

56 Kapitel 4. Konzept für eine Zertifizierungsstelle (“plan”)
oder Nachweise wie der Studentenausweis den Status des Inhabers zu einem bestimmten Zeitpunkt
wiedergeben.)
Das UNI-Immatrikulationsbüro übermittelt schon jetzt jeweils zu Beginn des Semesters die zurückgemeldeten
bzw. neu-immatrikulierten Studierenden an das Rechenzentrum, so daß die Benutzerbereiche
ausgeschiedener Studenten gesperrt werden können. Anhand dieser Informationen wäre
es zusätzlich möglich, noch nicht abgelaufene Medium-Level-Zertifikate zu sperren, falls der Betreffende
seinen Status als Studierender verloren hat. (Wenn derjenige Mitarbeiter der Universität
geworden sein sollte, kann er seinen Schlüssel neu zertifizieren lassen.) Auf diese Weise ist zwar
noch keine hohe zeitliche Auflösung möglich, aber zu Beginn eines neuen Semesters wären dann
nur noch die alten Zertifikate derjenigen Studierenden weiter gültig, die nach wie vor an der UNI
eingeschrieben sind. Diese Sperrung ist auch deswegen erforderlich, weil der Benutzername einige
Monate nach der Sperrung bzw. Löschung wieder neu vergeben werden kann. Im Extremfall würde
dann ein Namensvetter des vorherigen Inhabers dieselbe Mailadresse innerhalb der UNI bekommen
können wie dieser. Damit es dann nicht zu der unerwünschten Situation kommt, daß die UNI-CA
womöglich für dieselbe Benutzerkennung in einem Schlüssel zwei unterschiedliche Schlüssel für
zwei Personen zertifiziert hätte und beide Zertifikate gleichzeitig gültig wären, sollte mit der Sperrung
bzw. Löschung eines Benutzerbereiches auch ein eventuell für die zugehörige Mailadresse
ausgestelltes Zertifikat der UNI-Zertifizierungsstelle widerrufen werden.
Ähnlich sieht der Ablauf bei den Benutzerbereichen der Universitätsmitarbeiter aus: Dort übermittelt
die Personalstelle die Daten aller Mitarbeiter an das Rechenzentrum, so daß deren Benutzerbereiche
verlängert (und die der ausgeschiedenen Mitarbeiter entsprechend gesperrt) werden können.
4.8.9 Re-Zertifizierung
Eine Re-Zertifizierung oder auch Nachzertifizierung ist nur für die Medium-Level-Zertifizierung
vorgesehen. Nur dort sind die Sicherheitsprüfungen bei der Erst-Zertifizierung so gründlich, daß eine
Re-Zertifizierung aufgrund eines digital signierten Antrages vertretbar erscheint. Außerdem soll
für die Zertifikatnehmer ein Anreiz geschaffen werden, sich nach der Medium-Level Policy zertifizieren
zu lassen. Die Möglichkeit, dort sein Zertifikat verlängern zu lassen und nicht jedes Semester
wieder persönlich vorstellig werden zu müssen, dient diesem Ziel ebenso wie die grundsätzlich
längere Gültigkeitsdauer der Medium-Level Zertifikate.
Die Re-Zertifizierung findet nur auf Antrag des Benutzers statt, wenn der Signierschlüssel, mit
dem das Zertifikat für seinen Key unterschrieben wurde, abläuft. Bei einem Schlüsselwechsel auf
Seiten des Benutzers steht es dem Betreffenden frei, eine Zertifizierung des neuen Schlüssels zu
beantragen, indem er persönlich bei der CA vorstellig wird. Ein Zertifizierungsantrag für einen
neuen Schlüssel kann nicht auf elektronischem Wege gestellt werden; auf diese Weise ist nur die
Re-Zertifizierung eines bereits zertifizierten Schlüssels (also eine „Verlängerung“ von dessen Zertifikat)
möglich. Es bleibt dem Nutzer überlassen, ob er nach Erhalt des Zertifikates für seinen neuen
Schlüssel die Sperrung des alten Zertifikates veranlaßt (oder selbst einen Schlüssel-Widerruf generiert)
oder ob sein alter und neuer Schlüssel beide weiter gültig sein sollen.
Eine Re-Zertifizierung kann bei Bedarf zusätzlich auch davon abhängig gemacht werden, daß der
Schlüsselinhaber weiterhin Universitätsangehöriger ist, also nicht inzwischen seinen Mitarbeiter-