Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

4.16. Außendarstellung der CA 77
Die Mails, die in der Funktion als CA-Mitarbeiter verschickt werden, sollten alle ein ‘Cc:’ sowie ein
‘Reply-to:’ auf die Mailadresse der UNI-CA enthalten. Darüber hinaus sollte die CA nach außen hin
auch in ihren E-Mails ein einheitliches Erscheinungsbild wahren, insbesondere was das PGP-Format
der Mails angeht. Hier muß eine Entscheidung zwischen zwei Varianten getroffen und dann in der
Praxis auf ihre Tauglichkeit erprobt werden, die dann auch von den CA-Mitarbeitern eingehalten
werden sollte – auch wenn dies für sie u.U. heißen kann, daß sie für die CA-Tätigkeit ein anderes
als ihr individuell bevorzugtes Mail-Programm benutzen müßten (siehe dazu auch Abschnitt 5.2.9).
4.16.5 Verteilung des authentischen CA-Signierschlüssels
Zertifizierungsstellen reduzieren zwar das Problem der Verteilung authentischer Schlüssel (vgl. 2.3),
schaffen es aber nicht völlig aus der Welt: Zumindest der Schlüssel, mit dem die Signaturen der
jeweiligen Zertifizierungsstelle überprüft werden können, muß noch in authentischer Form zu den
Zertifikat-Nutzern transportiert werden.
Üblicherweise bedient man sich dazu nicht-elektronischer Kommunikationswege wie Kuriere
oder Drucksachen. So muß nach § 8 (2) SigV die „zuständige Behörde“, die Wurzel-
Zertifizierungsinstanz nach dem Signaturgesetz, ihre Schlüssel im Bundesanzeiger veröffentlichen
18 , die pgpCA der c’t nutzt das Impressum der eigenen Zeitschrift (alle Ausgaben seit Start
der Krypto-Kampagne zur CeBIT 1997), die DFN-PCA verfügen mit den DFN-Mitteilungen über
ein geeignetes Verbreitungsmedium, und die IN-Root-CA ist mit dem Fingerprint ihres Schlüssels
beim Linux Magazin [LIN] untergekommen. 19
Zwei Möglichkeiten zur Schlüsselverteilung für die UNI-CA und zugleich eine gute Gelegenheit,
sich mittels eines Artikels einem breiteren Publikum bekannt zu machen, wären die regelmäßigen
UNI-Publikationen und das gedruckte Vorlesungsverzeichnis der UNI.
Eine andere Gelegenheit, den öffentlichen UNI-CA-Schlüssel zur Prüfung von CA-Signaturen unter
den RZ-Nutzern zu verteilen und sich selbst bekannt zu machen, böte eine CD-ROM der Zertifizierungsstelle
– oder aber es wird die nächste Gelegenheit genutzt, die Schlüsseldaten der öffentlichen
CA-Schlüssel und einige Zusatzinformationen auf der „Dialup“-Software-CD-ROM mit unterzubringen,
die das UNI-Rechenzentrum seinen Nutzern anbietet. Hier wäre bei der Produktion des
Masters bzw. der Abnahme der fertiggepreßten CD-ROMs vom Hersteller besonders zu kontrollieren,
daß auch die authentischen CA-Schlüssel und keine Fälschungen auf den Medien gespeichert
sind. Ein Nachteil besteht bei den nicht überschreibbaren CD-ROMs: Ein eventueller Schlüsselwechsel
könnte nicht nachvollzogen werden, falls die CD-ROM in einer hohen Auflage gepreßt
würde und sie nicht schnell genug verteilt wird. Oder, noch ungünstiger: eine Kompromittierung
des UNI-CA-Schlüssels führte, falls sie denn einträte, dazu, daß sich ein solcher kompromittierter,
nicht mehr verwendbarer Schlüssel auf den noch vorhandenen CD-ROMs befände. Bei Disketten
wäre es hingegen möglich, entsprechende neue Schlüssel auf die Datenträger zu kopieren. Insofern
ist die Lösung mit Disketten, die auch der Schleswig-Holsteinische Datenschutzbeauftragte für
seinen PGP-Key gewählt hat, eventuell günstiger.
18 so erstmalig im Bundesanzeiger Nr. 186 vom 6. Oktober 1998
19 Die im März 2000 gültigen Schlüsselinformationen der DFN-PCA sind auch ganz am Ende dieses Handbuches
abgedruckt.