- Sicherheitsniveau: Global -

Transkript

1 Erklärung zum Zertifizierungsbetrieb der DLR-CA in der DFN-PKI - Sicherheitsniveau: Global - Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) GmbH CPS der DLR-CA V CPS der DLR-CA Seite 1/6 V2.2

2 1 Einleitung Die DLR-CA ist eine Zertifizierungsstelle des DFN-Anwenders Deutsches Zentrum fuer Luftund Raumfahrt e.v. (DLR) GmbH innerhalb der DFN-PKI. In der DFN-PKI wird eine Zertifizierungshierarchie verwendet, bei der das Zertifikat der DLR-CA von der DFN-PCA ausgestellt wird. Für den Betrieb der DLR-CA gelten die folgenden Dokumente: CP der DFN-PKI: "Zertifizierungsrichtlinie der DFN-PKI Sicherheitsniveaus: Global, Classic und Basic -", Version 2.1, Dezember 2006, OID CPS der DFN-PCA: "Erklärung zum Zertifizierungsbetrieb der obersten Zertifizierungsstelle der DFN-PKI Sicherheitsniveaus: Global, Classic und Basic -", Version 2.1, Dezember 2006, OID Die vom CPS der DFN-PCA abweichenden Regelungen für die DLR-CA sind in Kapitel 3 dieses Dokuments beschrieben. Die DLR-CA stellt ausschließlich Zertifikate im Sicherheitsniveau "Global" aus. 2 Identifikation des Dokuments Titel: "Erklärung zum Zertifizierungsbetrieb der DLR-CA in der DFN-PKI" Version: Abweichungen vom CPS der DFN-PCA Nachfolgend sind die Abschnitte des CPS der DFN-PCA aufgeführt, in denen für die DLR-CA abweichende Regelungen getroffen werden. Zu CPS der DFN-PCA: "1.3.1 Zertifizierungsstellen" Die Anschrift der DLR-CA lautet: Deutsches Zentrum für Luftund Raumfahrt e.v. Telefon: IK-M Telefax: Linder Höhe D Köln ca@dlr.de WWW: Zu CPS der DFN-PCA: "1.3.2 Registrierungsstellen" Die ausgezeichneten Registrierungsstellen für die zuvor genannten Zertifizierungsstellen befinden sich in den Räumen der DLR CA sowie weiteren Standorten des Unternehmens Deutsches Zentrum für Luft- und Raumfahrt e.v. bzw. des Unternehmens T-Systems SfR GmbH. Köln, Linder Höhe, Köln, Tel.: (DLR) Köln, Linder Höhe, Köln, Tel.: (DLR) Berlin, Rutherfordstr. 2, Berlin, Tel (T-Systems SfR) Zu CPS der DFN-PCA: "1.5.1 Organisation" Die Verwaltung dieses CPS erfolgt durch die in Abschnitt genannte Einrichtung. Der Betrieb der DLR-CA erfolgt durch: DFN-Verein Telefon: Telefax: CPS der DLR-CA Seite 2/6 V2.2

3 Stresemannstr. 78 D Berlin pki@dfn.de WWW: Zu CPS der DFN-PCA: "1.5.2 Kontaktperson" Die verantwortliche Person für das CPS der DLR-CA ist: Deutsches Zentrum für Luftund Raumfahrt e.v. Uwe Gorschütz IK-M Telefon: Linder Höhe Telefax: D Köln uwe.gorschuetz@dlr.de Zu CPS der DFN-PCA: "2.2 Veröffentlichung von Informationen" Alle gemäß CP, Abschnitt 2.2, erforderlichen Informationen werden bereitgestellt unter: Zu CPS der DFN-PCA: "3.1.1 Namensform" Die DNs aller Zertifikatnehmer unterhalb der DLR-CA enthalten die Attribute "C=DE" und "O=Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR)". Das optionale Attribut "OU=<Organisationseinheit>" kann mehrfach angegeben werden. Wenn eine Adresse angegeben wird, so kann diese über das Attribut " =" in den Namen aufgenommen. Die Adresse sollte allerdings bevorzugt in der Zertifikaterweiterung "subjectalternativename" aufgenommen werden. Funktionale oder Rollenzertifikate werden im CN mit dem vorangestellten Kürzel GRP: gekennzeichnet. Damit entspricht der Name jedes Zertifikatnehmers dem folgenden Schema: C=DE, O=Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR), [OU=<Organisationseinheit>,] [CN=<Eindeutiger Name>,] [ address=< Adresse>] Zu CPS der DFN-PCA: "4.1.1 Wer kann ein Zertifikat beantragen" Die DLR-CA bietet ihre Dienstleistungen allen Angehörigen und Mitarbeitern des DFN- Anwenders Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) GmbH sowie im Auftrag der Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) GmbH handelnden Personen an. Zu CPS der DFN-PCA: "4.4.2 Veröffentlichung des Zertifikats" Die DLR-CA veröffentlicht die gemäß der Zertifizierungsrichtlinien der DFN-PKI geforderten Zertifikate über die oben angegebenen Informationssysteme. Zertifikate für natürliche und juristische Personen werden nur dann durch die DLR-CA veröffentlicht, wenn Sie für den Einsatzzweck Signatur und -Verschlüsselung verwendet werden sollen. Zertifikate für den Einsatzzweck Authentifizierung werden auf Grund der darin enthaltenen schutzwürdigen Daten nicht veröffentlicht. Zertifikate, die für mehrere Einsatzzwecke verwendet werden und dazu auch schutzwürdige Informationen beinhalten, werden nicht veröffentlicht. CPS der DLR-CA Seite 3/6 V2.2

4 Zu CPS der DFN-PCA: " Richtlinien und Praktiken zur Schlüsselhinterlegung und wiederherstellung" Die Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) CA bietet die Möglichkeit der Hinterlegung privater Schlüssel an. Im Rahmen der Zertifikatbeantragung in den Registrierungsstellen der Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) CA wird ein verschlüsseltes Backup der privaten Schlüssel auf einem externen Datenträger erzeugt. Die Verschlüsselung erfolgt mittels Keybackup-Rollenzertifikat. Der private Schlüssel des Rollenzertifikats wird auf einem USB-Krypto-Gerät gespeichert, welches mit einer PIN belegt wird, die jeweils hälftig und unabhängig voneinander von zwei Personen generiert wird. Der externe Datenträger darf nur für den Zeitraum der Zertifikatbeantragung bzw. Schlüsselwiederherstellung mit einem am Netz angeschlossenen DV-System verbunden werden. Die Übermittlung von privaten Schlüsseln an Zertifikatnehmer erfolgt auf USB-Krypto-Geräten, die mit einer PIN gesichert sind. Die Übermittlung der PIN erfolgt durch Versand bzw. Aushändigung eines PIN-Briefes. Der Empfang des Gerätes sowie des PIN-Briefes ist vom Zertifikatnehmer zu bestätigen. Es wird gewährleistet, dass Mitarbeiter der Registrierungsstellen keine Kenntnis der jeweiligen PIN erlangen. Ein Zugriff auf das verschlüsselte Backup durch eine einzelne Person ist ausgeschlossen. Die Herausgabe von hinterlegten privaten Schlüsseln erfolgt grundsätzlich nur an den jeweiligen Zertifikatnehmer und in jedem Fall auf USB-Krypto-Geräten. Folgende Regelungen gelten dabei: a) Im Falle des Defektes eines USB-Krypto-Gerätes wird der hinterlegte private Schlüssel des betroffenen Zertifikatnehmers von der Registrierungsstelle der Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) CA auf ein neues Gerät gespeichert, welches dem Zertifikatnehmer ausgehändigt wird. Das defekte Gerät wird danach durch die Registrierungsstelle unverzüglich vernichtet oder, falls ein Softwareproblem vorlag, neu initialisiert. b) Bei Verlust oder Diebstahl des privaten Schlüssels (des USB-Krypto-Gerätes) erfolgt eine befristete Herausgabe des privaten Schlüssels für maximal 5 Arbeitsage an den Zertifikatnehmer für den Fall der Wiederherstellung zuvor verschlüsselter Daten oder wenn andere schwerwiegende Gründe vorliegen. Spätestens nach Ablauf dieser Frist wird der hinterlegte bzw. erneut ausgehändigte Schlüssel auf allen Datenträgern und USB-Krypto-Geräten gelöscht. Das Zertifikat wird davon unabhängig unverzüglich gesperrt. c) Die Herausgabe hinterlegter Schlüssel auf einem Ersatz-USB-Krypto-Gerät an den jeweiligen Zertifikatnehmer ist möglich, wenn dies zur Gewährleistung der Arbeitsfähigkeit unabdingbar ist. Das Ersatz-Gerät muss spätestens am Folgetag wieder bei der ausstellenden Registrierungsstelle abgegeben werden. Im Falle des Ausscheidens eines Zertifikatnehmers aus dem Unternehmen, länger andauernder Krankheit oder Tod können Mitarbeiter der Registrierungsstellen nach Genehmigung durch den Geschäftsführer der Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) den privaten Schlüssel des betreffenden Mitarbeiters für einen Zeitraum von maximal 2 Arbeitstagen zur Sicherstellung verschlüsselter, unternehmenskritischer Daten verwenden. Die Wiederherstellung des hinterlegten privaten Schlüssels in diesem Fall kann nur unter Hinzuziehung eines weiteren Mitarbeiters (PIN-Geber RA) durchgeführt werden. Nach erfolgter Sicherstellung dieser Daten, spätestens jedoch nach Ablauf der Befristung, wird der private Schlüssel auf allen Datenträgern und USB-Krypto-Geräten gelöscht. Das Zertifikat wird davon unabhängig unverzüglich gesperrt. Zu CPS der DFN-PCA: "5 Infrastrukturelle, organisatorische und personelle Sicherheitsmaßnahmen" und "6 Technische Sicherheitsmaßnahmen" Die DLR-CA wird durch den DFN-Verein im Auftrag des DFN-Anwenders Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) GmbH bei der DFN-PCA betrieben. Daher sind für die DLR-CA dieselben infrastrukturellen, organisatorischen, personellen und technischen Si- CPS der DLR-CA Seite 4/6 V2.2

5 cherheitsmaßnahmen umgesetzt, wie für die DFN-PCA (siehe CPS der DFN-PCA). Ausnahmen betreffen die Kapitel 5.2.1, und 5.2.4, die im Folgenden aufgeführt sind. Zu CPS/CP der DFN-PCA: "5.2.1 Sicherheitsrelevante Rollen" Für die Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) CA gilt die folgende Ergänzung der Rollendefinition zum Thema Registrierungsdienst Rolle Funktion Kürzel Registrator (Ergänzung der Funktion für bereits existierende Rolle) PIN-Geber RA (neue Rolle) Geschäftsführer Backup inkl. Verschlüsselung privater Schlüssel mit Keybackup-Zertifikat Ausgabe und Wiederherstellung von USB- Krypto-Geräten PIN Vergabe für Key-Backup-Schlüssel Wiederherstellung von privaten Schlüsseln PIN Vergabe für Key-Backup-Schlüssel Wiederherstellung von privaten Schlüsseln Erteilung der Genehmigung zur Wiederherstellung von privaten Schlüsseln von ausgeschiedenen, kranken oder verstorbenen Zertifikatnehmern RA01 (statt RG) RA02 GF Zu CPS/CP der DFN-PCA: "5.2.2 Involvierte Mitarbeiter pro Arbeitsschritt" In der folgenden Tabelle sind die Tätigkeiten beschrieben, bei denen das Vier-Augen-Prinzip - realisiert durch jeweils einen Vertreter der angegebenen Rollen - eingehalten werden muss. Alle anderen Tätigkeiten können von einer Person durchgeführt werden. Tätigkeit Freigabe und Übermittlung von Zertifikat- und Sperranträgen für CA- Zertifikate Erzeugung von Schlüsselpaaren für CA-Zertifikate Starten von Prozessen zur Ausstellung von Zertifikaten und Sperrlisten Austausch von Hard- und Softwarekomponenten für die Zertifizierung PIN Vergabe für Key-Backup-Schlüssel Wiederherstellung von privaten Schlüsseln Rollen RG & TS CAO1 & CAO2 CAO1 & CAO2 SA & CAO1 RA01, RA02 RA01, RA02, GF Zu CPS/CP der DFN-PCA: "5.2.4 Trennung von Rollen" Für die Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) CA gelten folgende Ergänzungen bzw. Änderungen hinsichtlich der Unverträglichkeit von Rollen. Rolle Unverträglich mit TS RAO1 RAO2 CAO1 CAO2 SA SO R ISO TS Teilnehmerservice X X X X CPS der DLR-CA Seite 5/6 V2.2

6 Rolle Unverträglich mit TS RAO1 RAO2 CAO1 CAO2 SA SO R ISO RAO1 Registrator X X X X X RAO2 X X X X X CAO1 - CA Mitarbeiter X X X X X CAO2 - PIN Geber X X X SA Systemadministrator X X X X SO Systemoperator X X X X X X R - Revision X X X X X X X X X X X X X X Es wird folgende Aufteilung der Rollen auf Personengruppen gewählt: ISO Sicherheitsbeauftragter Personengruppe Rollen 1 R, ISO 2 TS, RG, RAO1 3 RAO2 4 CAO1 5 CAO2, SA, SO 6 GF Zu CPS der DFN-PCA: "6.1.2 Übermittlung des privaten Schlüssels an den Zertifikatnehmer" Die Übermittlung von privaten Schlüsseln an Zertifikatnehmer erfolgt auf USB-Krypto-Geräten, die mit einer PIN gesichert sind. Die Übermittlung der PIN erfolgt durch Versand bzw. Aushändigung eines PIN-Briefes. Der Empfang des Gerätes sowie des PIN-Briefes ist vom Zertifikatnehmer zu bestätigen. Bei postalischer Auslieferung von PIN-Brief und USB-Krypto- Gerät wird durch zeitlich versetzten Versand gewährleistet, dass ein Angreifer nicht gleichzeitig Zugriff auf USB-Krypto-Gerät und PIN-Brief hat. Zu CPS der DFN-PCA: "6.2.4 Backup der privaten Schlüssel" Die Deutsches Zentrum fuer Luft- und Raumfahrt e.v. (DLR) CA bietet die Möglichkeit zum Backup privater Schlüssel von Zertifikatnehmern bei der RA entsprechend Kapitel an. Zu CPS der DFN-PCA: "6.3.2 Gültigkeit von Zertifikaten und Schlüsselpaaren" Die durch die DLR-CA ausgestellten Serverzertifikate haben standardmäßig eine Laufzeit von fünf Jahren, die Nutzerzertifikate von drei Jahren. CPS der DLR-CA Seite 6/6 V2.2