Handbuch für Nutzer von Zertifikaten der Zertifizierungsstellen (CAs) des Bayerischen Behördennetzes (BYBN) zur Sicherung von s

Transkript

1 IT-Dienstleistungszentrum des Freistaats Bayern Handbuch für Nutzer von Zertifikaten der Zertifizierungsstellen (CAs) des Bayerischen Behördennetzes (BYBN) zur Sicherung von s Konfiguration der Arbeitsumgebung in Thunderbird ( ) Seite 1 von 13

2 1 Auswahl von Signatur- und Verschlüsselungszertifikat LDAP Verzeichnisdienst einrichten Sperrlisten einrichten Seite 2 von 13

3 1 Auswahl von Signatur- und Verschlüsselungszertifikat Nach dem Import der Zertifikate müssen Sie diese in Thunderbird noch zuweisen. Dies geschieht unter Extras Konten Seite 3 von 13

4 Unter dem Punkt S/MIME-Sicherheit können Sie die Zertifikate für Digitale Unterschrift und Verschlüsselung auswählen und mit OK bestätigen.. Details können angezeigt werden: Seite 4 von 13

5 Zur Ansicht wählen Sie Extras Einstellungen Seite 5 von 13

6 Es öffnet sich folgendes Fenster: Dort können Sie den Reiter Zertifikate auswählen. Seite 6 von 13

7 Im Zertifikat Manager sehen Sie die Zertifikate für die Zwecke Verschlüsseln und Unterschrift Es ist wichtig, dass die übergeordneten Zertifikate ebenfalls eingebunden sind. Dieses ist unter dem Reiter Zertifizierungsstellen ersichtlich: In diesem Fall heißen die übergeordneten Zertifikate 2008-ROOT-CA und ISSUING-CA Zu beachten ist auch, dass die Vertrauenseinstellungen korrekt gesetzt sind. Seite 7 von 13

8 Seite 8 von 13

9 2 LDAP Verzeichnisdienst einrichten Die Zertifikate der Mitarbeiter in der öffentlichen Verwaltung werden zentral in einem LDAP Verzeichnisdienst des Behördennetzes veröffentlicht. Um einen LDAP Verzeichnisdienst einzurichten klicken Sie auf LDAP-Verzeichnis unter Datei Neu. Der folgende Abschnitt beschreibt eine Beispielkonfiguration. Eine Übersicht über alle möglichen LDAP Abfragen finden Sie unter Allgemeine Informationen Infrastruktur Zertifikatsabruf. Name: frei wählbarer Name des Verzeichnisdienstes Server-Adresse: Server DNS - Name des bereitstellenden Verzeichnisdienstes Basis-DN: Entspricht der Suchbasis Port: 389 Bind-DN: Dieses Feld bleibt i.a. leer. Verschlüsselte Verbindung (SSL) kann verwendet werden, dann ist allerdings der Port 636 einzustellen. Seite 9 von 13

10 Seite 10 von 13

11 3 Sperrlisten einrichten Sperrlisten können in Mozilla Thunderbird importiert und automatisch aktualisiert werden. Sie können unter Thunderbird-Einstellungen den Punkt CRLs (Certificate Revocation List / Sperrliste) auswählen. Seite 11 von 13

12 Der Punkt Importieren bietet die Möglichkeit die Sperrliste einer CA einzubinden In Sperrlisten sind Zertifikate verzeichnet, die vor Ablauf ihrer allgemeinen Gültigkeit von drei Jahren gesperrt wurden, z.b. weil der private Schlüssel bekannt geworden ist. Zertifikate bleiben nur so lange auf einer Sperrliste bis sie ohnehin ungültig würden, weil der Gültigkeitszeitraum abgelaufen ist. Auch Sperrlisten haben eine bestimmte Gültigkeitsdauer. Die meisten CAs im Behördennetz erstellen täglich neue Sperrlisten mit einer Gültigkeitsdauer von 1 Tag. Im Rahmen der Deutschen Verwaltungs-PKI werden derzeit zwei Arten von Sperrlisten verwendet, Sperrlisten die per LDAP-Protokoll und Sperrlisten, die per HTTP-Protokoll geholt werden. Allerdings werden im Bayerischen Teil der Verwaltungs-PKI derzeit nur Sperrlisten verwendet, die per LDAP-Protokoll abgerufen werden können. Nach derzeitigem Kenntnisstand können von Mozilla aber nur HTTP-Sperrlisten verarbeitet werden. Es ist bereits geplant, die Sperrlisten auch per OCSP (Online Certificate Status Protocol) zur Verfügung zu stellen. Diese Sperrlisten können dann auch von Thunderbird genutzt werden. Wenn eine Sperrliste fehlt, erfolgt durch Mozilla keine Fehlermeldung. Wenn sie jedoch vorhanden ist, wird sie auch für die Prüfung der Zertifikate verwendet. Dabei kann Mozilla so eingestellt werden, dass die aktuelle (HTTP-)Sperrliste automatisch vom Server geholt wird, beispielsweise jeden Tag. Um die vorhandenen und möglichen Sperrlisten einzurichten, öffnen Sie mit dem Mozilla Navigator die Webseite des BSI. In der Navigationsleiste oben finden Sie einen Link Service-Zertifikate, den Sie bitte anklicken. Auf der nächsten Seite finden Seite 12 von 13

13 Sie die Zertifikate der Root-CA s und die dazu gehörenden Sperrlisten. Sie benötigen den Link in der Zeile PCA-1-Verwaltung-05 in der letzten Spalte (unter CA-Sperrliste (CRL) ), den Sie bitte anklicken. Mozilla importiert dann die Sperrliste automatisch und bietet Ihnen danach die Möglichkeit an, ein automatisches Update einzurichten. Setzen Sie bitte das Häkchen vor Automatisches Update für diese CRL aktivieren und lassen Sie das Update jeden Tag durchführen (aktivieren der Option Führe Update alle 1 Tag(e) durch ). Die 2 Teile der Sperrliste Bayerische VPKI Class3 Issuing CA-2006 können derzeit nur über LDAP abgefragt werden. Der Zugriff auf LDAP-Sperrlisten von Thunderbird aus konnte aber bisher nicht erfolgreich getestet werden. Seite 13 von 13