Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

58 Kapitel 4. Konzept für eine Zertifizierungsstelle (“plan”)
Da die DFN-PCA selbst bislang noch keine Erfahrung mit entsprechenden anonymen oder pseudonymen
Zertifizierungen gesammelt hat, können an dieser Stelle noch keine Hinweise oder Empfehlungen
ausgesprochen werden.
4.8.13 Einbindung in die DFN-Zertifizierungshierarchie
4.8.13.1 Registrierungsstellen
Die DFN-Zertifizierungshierarchie sieht vor, daß von den Zertifizierungsstellen in den einzelnen
DFN-Mitgliedseinrichtungen mehrere Registrierungsstellen (RAs) betrieben werden können, um
für die Nutzer den Weg zur Zertifizierungsstelle zu verkürzen. Zertifizierungswillige können ihren
Zertifizierungsantrag statt bei der CA bei einer der RAs stellen, die dann auch gleich die Identitätsprüfung
vornimmt.
Bei der Entscheidung für oder gegen Registrierungsstellen sollte abgewogen werden zwischen den
Vorteilen durch die Nähe zum Benutzer und die leichtere Erreichbarkeit dieser „Außenstellen“ der
CA und den Nachteilen, die sich durch eine zu starke Aufsplitterung ergeben (Mehrfacharbeit,
Hardware-Ressourcen in der RA). Die (ggf. erst erwartete) Nachfrage sollte ausreichend groß sein,
so daß sich der organisatorische Mehraufwand einer zusätzlichen Registrierungsstelle lohnt.
Potentielle RA-Standorte sind zum einen Teile der Universität, die sehr weit vom Campus entfernt
liegen, so daß es den dort Beschäftigten oder Studierenden nicht zugemutet werden soll, für eine
Zertifizierung einen längeren Anfahrtsweg oder eine längere Abwesenheit vom Arbeitsplatz in Kauf
nehmen zu müssen.
Registrierungsstellen sind für die Zertifizierung nach der Low-Level Policy nicht erforderlich, da ja
die Low-Level CA selber mobil ist und bei Bedarf vor Ort zertifizieren kann.
4.8.14 Nachgeordnete Zertifizierungsstellen
Wenn die Nachfrage nach Zertifizierungsdiensten so stark zunimmt, daß sie selbst mit Registrierungsstellen
an den Orten mit besonders großer Nachfrage kaum zu befriedigen ist, oder wenn aus
anderen Gründen eine eigene Zertifizierungsstelle in einer Einrichtung der UNI betrieben werden
soll, dann dürfen nach der Low-Level- und der Medium-Level DFN-Policy auch nachgeordnete
Zertifizierungsstellen (Sub-CAs) innerhalb einer DFN-Mitgliedseinrichtung etabliert werden. Diese
können dann eigenverantwortlich die Schlüssel ihrer Nutzer (z.B. der jeweiligen Fachbereichsangehörigen)
zertifizieren, stehen aber unter der Aufsicht der Zertifizierungsstelle der gesamten
Mitgliedseinrichtung und müssen sich an deren Richtlinien (und die des DFN) halten.
RAs und Sub-CAs stellen eine Möglichkeit der „Lastverteilung“ bzw. -entzerrung dar, erfordern
aber auch einigen zusätzlichen Betreuungs-, Prüf- und Koordinationsaufwand von seiten der CA.
4.8.15 Abweichungen von den DFN-Policies?
CAs, die nach einer der DFN-Policies zertifiziert werden wollen, müssen die entsprechende Policy
erfüllen/einhalten. Das muß aber nicht bedeuten, daß eine Abweichung von der betreffenden Policy