Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

62 Kapitel 4. Konzept für eine Zertifizierungsstelle (“plan”)
Die PEM-Namensunterordnung (Namensbestandteile des CA-Distinguished Names müssen
unverändert im Nutzernamen enthalten sein) verhindert eine Zertifizierung für Externe. Das
heißt, daß die X.509-CAs als reine organizational CAs fungieren, ohne daß dies ausdrücklich
in der DFN-Policy gesagt wird. Wenn diese Beschränkung beabsichtigt ist, sollte sie auch
offen genannt werden; wenn nicht, müßte die Policy an dieser Stelle weniger strikt formuliert
werden.
Die Sperrung von Zertifikaten erfolgt mittels Widerrufslisten (CRLs). Einzelheiten zu deren
Veröffentlichung müßten genannt werden.
Die Abschnitte zur Gültigkeitsdauer könnten kürzer gefaßt werden und die Gültigkeitsdauer
der Zertifikate unabhängig von der der CA-Schlüssel oder von Stichtagen regeln.
Der Verweis auf die Medium-Level-Policy müßte durch einen entsprechenden auf die Low-
Level-Policy ersetzt werden.
Eine ausdrückliche Prüfung mittels Challenge-Response-Verfahren, ob der Nutzer auch über
den Private-Key verfügt (PoP), der zu dem zu zertifizierenden Public-Key gehört, könnte entfallen,
wenn der elektronisch übermittelte X.509-Zertifizierungsantrag (Certificate Request)
bereits signiert ist. Die entsprechenden Passagen zur PoP-Challenge könnten entfallen oder
allgemeiner formuliert werden.
X.509-Zertifikate werden nicht auf PGP-Keyservern, sondern mittels anderer Dienste zugänglich
gemacht, z.B. im X.500-Verzeichnisdienst veröffentlicht. Der betreffende Abschnitt wäre
entsprechend umzuformulieren.
Besonderheiten, die bei speziellen Formen der X.509-Zertifizierung (Zertifizierung von
WWW-Servern, Software-Publisher-Zertifikaten oder Zertifizierung von WWW-Clients) vorzusehen
sind, könnten aus der WWW-Policy der DFN-PCA [KL99] übernommen werden.
Gleiches gilt für die Zertifikat-Erweiterungen.
Selbstverständlich wäre es ebenso möglich, die entsprechende DFN-PCA-Policy zur X.509-
Zertifizierung als Grundlage zu verwenden und dann anhand der in den vorigen Abschnitten beschriebenen
Änderungsvorschläge und Besonderheiten der UNI-CA daraus auf diesem Wege eine
eigene (Medium-Level) UNI-CA X.509-Policy zu erstellen.
4.11 Datensicherung
Eine regelmäßige Datensicherung ist auch bei der UNI-CA geboten, liefe diese doch sonst Gefahr,
bei einem Hardware-Defekt, einem Brand o.ä. erst ihre Arbeitsmittel, dann ihr Kapital – das Vertrauen
der Nutzer – und dann schließlich ihre Arbeitsgrundlage zu verlieren. Der Software- und
Datenbestand des Zertifizierungsrechners sollte daher in kurzen Abständen (wöchentlich) komplett
auf Magnetband gesichert werden. Eine Datensicherung über eine Netzwerkverbindung zu einem
anderen Rechner darf nicht erfolgen; der Zertifizierungsrechner muß ausschließlich “standalone”
betrieben werden.