Zertifikate Swiss Government SSL CA 01

Transkript

1 Eidgenössisches Finanzdepartement EFD Bundesamt für Informatik und Telekommunikation BIT Kommunikation BIT Daniel Stich, 01. Mai 2014 Zertifikate Swiss Government SSL CA 01 Antrag erstellen Projektname: Swiss Government PKI Projektnummer: Version: V1.0 Status in Arbeit in Prüfung genehmigt zur Nutzung Beteiligter Personenkreis Autoren: Genehmigung: Benützer/Anwender: zur Information/Kenntnis: Daniel Stich Michael von Niederhäusern Server Administratoren Änderungskontrolle, Prüfung, Genehmigung Wann Version Wer Beschreibung Daniel Stich Initialversion Daniel Stich Version zur Freigabe. Produktiver Link Daniel Stich Freigegebene Version

2 Inhaltsverzeichnis 1 Einleitung Voraussetzungen Klasse B Zertifikat Administrator des jeweiligen Servers Domain-Berechtigung Erstellung Antrag Anmeldung an Web-Applikation Antrag ausfüllen Antrag abschicken Erstellung Zertifikat /8

3 1 Einleitung Mit der Einführung der neuen CA «Swiss Government SSL CA01» werden ebenfalls die Prozesse zur Ausstellung von Web SSL-Zertifikaten neu gestaltet und den veränderten Anforderungen der Sicherheit und der Verwaltung angepasst. Ziel dieser Anpassung ist insbesondere, dass vom System gesteuert werden kann, wer für welche Domänen Anträge für Zertifikate freigeben darf. Der Antrag selbst kann durch jeden Server Administrator, der ein Klasse B Zertifikat besitzt, eingereicht werden. Die Bestell- und Ausgabeprozesse werden so geplant, dass unsere Kunden innerhalb der gesetzten Berechtigungen ihre Serverzertifikate weitestgehend selbstständig, ohne Intervention von Swiss Government PKI, beziehen können. Die Realisierung des gesamten Systems erfolgt in mehreren Phasen. Die erste Phase erlaubt die Beantragung eines neuen Serverzertifikats durch berechtigte Administratoren über eine Web-Applikation. Die Ausstellung und Lieferung des Zertifikats an den Besteller ist in dieser ersten Stufe noch ein manueller Prozess bei Swiss Government PKI. Das vorliegende Dokument beschreibt die einzelnen Schritte, die vom Server Administrator durchgeführt werden müssen, damit der Antrag erfolgreich an die Swiss Government PKI gesendet werden kann. 2 Voraussetzungen Damit ein Server Administrator einen Antrag für ein Maschinen-/SSL-Zertifikat erfolgreich absetzen kann, müssen zuerst die nachfolgenden Voraussetzungen erfüllt sein: 2.1 Klasse B Zertifikat Der Administrator muss im Besitz eines Klasse B Zertifikats der Swiss Government PKI sein. Mit der Umsetzung des Bundesratsbeschlusses Sicherheit ist diese Voraussetzung ab 2014 für alle Bundesangestellten erfüllt. Die übrigen Administratoren müssen sich das benötigte Klasse B Zertifikat auf den üblichen Wegen ausstellen lassen. 2.2 Administrator des jeweiligen Servers Der Antrag wird mittels eines Certificate Signing Requests gestellt. Dieser muss auf dem jeweiligen Server mit einem neuen Schlüsselpaar generiert werden. Der Antragsteller muss die nötigen Kenntnisse für die Erstellung eines solchen CSR und Administrationsberechtigungen auf dem jeweiligen Server besitzen. 2.3 Domain-Berechtigung Der Antragsteller muss berechtigt sein, Zertifikate für die jeweilige Domäne zu erstellen. D.h. er muss bei der Swiss Government PKI für diese Funktion registriert sein. Diese Berechtigung wird in der ersten, manuellen Phase der Einführung durch die Swiss Government PKI noch manuell geprüft. Neue Antragsteller für Maschinenzertifikate müssen sich mit dem entsprechenden Formular (abrufbar auf der SwissGov-PKI Seite) bei der Swiss Government PKI registrieren lassen. 3/8

4 3 Erstellung Antrag 3.1 Anmeldung an Web-Applikation Die Anmeldung wird im Internet Explorer unter folgendem Link eingeleitet: Für die Anmeldung muss das Klasse B Zertifikat für das System zugänglich sein (Karte im Reader oder USB Token eingesteckt). Die Seite wird nach der Freischaltung des Zertifikats mit dem persönlichen PIN angezeigt. 4/8

5 3.2 Antrag ausfüllen Als Vorbereitung für die Beantragung des Maschinenzertifikats muss auf dem betreffenden Server ein Certificate Service Request erstellt werden. Die Erzeugung des CSR muss mit einem neuen Schlüssel erfolgen die Wiederverwendung eines bestehenden Schlüssels würde bei der zentralen Verarbeitung des Requests einen Fehler produzieren. Falls noch Unklarheiten über die Erstellung eines korrekten CSR bestehen, kann unter dem aufgeführten Link eine detaillierte Beschreibung des Vorgehens nachgelesen werden. Der Link kann auch direkt aus einem beliebigen Web-Browser angewählt werden: Auf der ersten Seite wird nun dieser neu erstellte Certificate Request mittels Copy/Paste in das entsprechende Feld eingefügt. 5/8

6 3.3 Antrag abschicken Der Antrag wird mit dem Button Submit abgeschlossen. Als erstes überprüft das System, ob das Format des CSR korrekt ist. Wenn nicht, wird der Vorgang mit einer Fehlermeldung abgebrochen. Der Fehler wird mit einer entsprechenden Meldung unterhalb des CSR identifiziert. Im obigen Beispiel ist der einkopierte CSR syntaktisch nicht korrekt. Ist der CSR syntaktisch korrekt, wird die erfolgreiche Entgegennahme vom System quittiert. 6/8

7 Zusätzlich erhält der Antragsteller eine Bestätigung per . Der Request selbst wird als an die Swiss Government PKI geschickt. Nebst den Informationen für das eigentliche beantragte Maschinen-/SSL-Zertifikat wird auch das Klasse B Zertifikat des Antragstellers mit übermittelt. Für die oben erwähnte Bestätigung sowie für die spätere Zustellung des Maschinenzertifikats wird die im Zertifikat des Antragstellers enthaltene Adresse verwendet: Sollte bei der Übermittlung des Antrags ein Problem auftreten, wird dies ebenfalls mit einer Fehlermeldung angezeigt: 7/8

8 3.4 Ausstellung Zertifikat Der Antrag wird durch Swiss Government PKI geprüft. Insbesondere wird überwacht, dass das Zertifikat für einen Server in einer Domäne der öffentlichen Verwaltung beantragt wird und der Antragsteller berechtigt ist, für diese Domäne Zertifikate auszustellen. Diese Überprüfung geschieht anhand einer Datenbank, die durch das Order Management des Swiss Government PKI gepflegt wird. Nach positiver Prüfung wird das Zertifikat erstellt und mit einer signierten Mail an die Adresse des Antragstellers geschickt. Die Mailadresse wird dem Klasse B Zertifikat des Antragstellers entnommen. Das erstellte Zertifikat kann dann durch den Administrator auf dem Server installiert werden. 8/8