Leitfaden zur Nutzung des neuen DFN-RWTH-PKI - Zertifizierungsdienstes

Transkript

1 Leitfaden zur Nutzung des neuen DFN-RWTH-PKI - Zertifizierungsdienstes Der neue Zertifizierungsdienst des DFN biet et dem Nutzer die Mög lichkeit, üb er einen Webdienst des DFN ne ue SSL / S/ MIME-Benutzerschlüssel zu generieren und diese durch die RWTH CA zertifizieren zu lassen. Die Nutz ung dieses W ebdienstes stellt dabei sicher, dass alle Minim alanforderungen an Schlüsse l und Zertifikat eingehalten werden und das Erzeugung des Schlüssels und das Stellen des Zertifikatantr ags weitgehend unabhängig von der lokal der eingesetzten Software möglich sind. Für den Nutzer ergibt sich insbesondere der Vorteil, dass alle Zertifikate unter einem Stammzertifikat der Telekom ausgestellt werden. So ist gewähr leistet, dass d ie Echthe it der ausges tellten Zertifikate au ch außerhalb des DFN- Umfeldes verifiziert werden kann. Der neue PKI-W ebdienst des DFN ist unter der URL erreichbar. Nach Ablauf des Zertifizierungsprozesses erhä lt der Benutzer ein SSL / S/MIME-Zertifikat zugeschickt, das die Echtheit seines Schlüssels digital b estätigt. Dieses Zertif ikat wird wiederum durch Stammzertifikate des DFN und der Telekom in seiner Echtheit bestätigt. Damit der Zertifizierungsprozes s sicher und erfolgreich abge schlossen werden kann, sind im Wesentlichen die folgenden Punkte zu beachten. 1. Erforderliche Rechnerumgebung 2. Stammzertifikate 2.1. Installation der Stammzertifikate für Internet Explorer und Outlook 2.2. Installation der Stammzertifikate für Firefox 2.3. Installation der Stammzertifikate für Thunderbird 2.4 Echtheit der Stammzertifikate 3. Automatisierte Antragstellung und Erzeugung Ihres SSL / S/MIME-Schlüssels 4. Import Ihres Zertifikats über den Webservice des DFN 5. Export Ihres Schlüssel und des Zertifikats 5.1. Export aus dem Internet Explorer 5.2. Export aus Firefox 6. Import 6.1. Import in den Internet Explorer und Outlook 6.2. Import in Firefox 6.3. Import in Thunderbird 6.4. P12/PFX Dateien 7. Aktivierung des Zertifikates in Ihrem Mailer 7.1. Aktivierung in Microsoft Outlook 7.2. Aktivierung in Thunderbird

2 1. Erforderliche Rechnerumgebung Da der Webdienst des DFN-Zertifizierungsservice nicht nur zur Beantragung des Zertifikates, sondern auch zur Erzeugung der privaten Schl üsselkomponenten genu tzt wird, sollte der Webdienst nur von vertrauenswürdigen R echnern aus geschehen. Die erzeugten Schlüsselkomponenten werden während der Antr agstellung lokal im Zertifikatsspeicher des Rechners abgelegt, deswegen stellt die Verwendung von öffentlichen Rechnern oder Rechnern m it m ehreren unterschiedlichen B enutzerkonten ein Sicherheitsrisiko für den eigenen Schlüssel dar. Des Weiteren ist zu beachten, da ss während der Zertifikatsantra gsstellung ein Ausdruck der Teilnehmererklärung notwendig ist. Deswegen ist die Möglichkeit des Zugriffs a uf einen Drucker eine notwendige Voraussetzung für die Nutzung des Webdienstes. 2. Stammzertifikate Die Zertifizierungskette des DF N besteht aus dem Root-Zerti fikat der Telekom ( Deutsche Telekom Root CA 2), dem DFN-PCA Zertifikat (DFN-Verein PCA Global G01) sowie dem RWTH CA Zertifikat (RWTH A achen CA). Da z. Z. noch ni cht alle Browser und Mailer m it dem Root-Zertifikat der Telekom ausgelie fert werden, ist der m anuelle Import der Zertifizierungskette notwendig, um einen sinnvollen U mgang m it den Zertif ikaten zu ermöglichen. Dieser Schritt ist jedoch nur einmal notwendig. Alle notwendigen Zertifikate sind innerhal b des PKI-Webdienstes des DFN unter de m Menüpunkt CA Zertifikate verfügbar Installation der Stammzertifikate für Internet Explorer und Outlook Der Microsoft Internet Explorer und Micr osoft Outlook verwenden gem einsam den Zertifikatsspeicher des lokalen Rechne rs. Deshalb genügt es, die notwendigen Stammzertifikate über den Internet Explorer zu im portieren, um diese ebenfalls in Outlook nutzen zu können. Zur Installation öffnen Sie bitte m it de m Inte rnet Explorer die Webseite des DFN PKI- Webdienstes (URL: Anschließend wählen Sie den Menüpunkt CA Zertifikate. Über diesen Menüpunkt ist die Insta llation aller drei notwendigen Stammzertifikate möglich. Zur Installation aller drei Stammzertifikate folgen Sie den folgenden Schritten: 1. Stammzertifikat der Telekom: Klicken Sie zunächst auf die Schaltfläche W folgenden Optionen aus: urzelzertifikat. Anschließend wählen Sie die Öffnen > Zertifikat installieren > Weiter > Weiter > Fertigstellen > OK > OK

3 2. Stammzertifikat des DFN: Klicken Sie zunächst auf die Schaltfläche DFN PCA Zertifikat. Anschließend wählen Sie die folgenden Optionen aus: Öffnen > Zertifikat installieren > Weiter > Weiter > Fertigstellen > OK > OK 3. Stammzertifikat der RWTH CA: Klicken Sie erst auf die Scha ltfläche RWTH CA Zertifikat. Anschließend wählen Sie die folgenden Optionen aus: Öffnen > Zertifikat installieren > Weiter > Weiter > Fertigstellen > OK > OK Nach diesen Schritten sind alle notwendigen Stammzertifikate innerhalb des Internet Explorer und innerhalb Microsoft Outlook verfügbar Installation der Stammzertifikate für Firefox Da Firefox einen eigenen internen Zertif ikatspeicher nutzt, re icht der Im port der Stammzertifikate üb er den Internet Explorer nicht, um diese auch in nerhalb vo m Firefox nutzen zu können. Zur Installation der Stammzertifikate öffnen Sie m it Firefox die W ebseite des DFN PKI- Webdienstes (URL: Anschließend wählen Sie den Menüpunkt CA Zertifikate. Über diesen Menüpunkt ist die Insta llation aller drei notwendigen Stammzertifikate möglich. Zur Installation aller drei Stammzertifikate folgen Sie den folgenden Schritten: 1. Wurzelzertifikat > Alle 3 Checkboxen auswählen > OK 2. DFN PCA Zertifikat > Alle 3 Checkboxen auswählen > OK 3. RWTH CA Zertifikat > Alle 3 Checkboxen auswählen > OK 2.3. Installation der Stammzertifikate für Thunderbird Genau wie Firefox nutzt Thunderbird einen intern en Zertifikatspeicher, deswegen reicht der Import der Stamm zertifikate über de n Internet Explorer oder Fi refox n icht, um diese auch innerhalb des Thunderbird nutzen zu können. Zur Ins tallation d er S tammzertifikate öf fnen Sie b itte m it einem beliebigen Bro wser die Webseite des DFN PKI-W ebdienstes (URL: Anschließend wählen Sie den Menüpunkt CA Zertifikate. Sie müssen nun zunächst alle 3 Stammzertifikat e lokal auf Ihrem Rechner speichern. Wählen Sie hierzu jeweils mit der rechten Maustaste eines der Stammzertifikate aus und speichern es über Ziel speichern unter lokal auf Ihrer Festplatte. Anschließend öffnen Sie Ihren Thunderbird. Öffnen Sie den Menüpunkt Extras > Konten > S/MIME Sicherheit > Zertifikate > Zertifizierungsstellen

4 Für den Import der Stammzertifikate wiederholen Sie für jed es der drei Stammzertifikate die Sie lokal gespeichert haben, die folgenden Schritte: Importieren > Auswahl der lokalen Datei unter dem das jeweilige Stammzertifikat gespeichert wurde > Öffnen > Alle drei Checkboxen auswählen > OK Anschließend können Sie die offenen Fenster über OK > OK schließen. 2.4 Echtheit der Stammzertifikate Da die Sicherheit der Zertif izierungsketten im W esentlichen von den verwendeten Stammzertifikaten abhängig ist, ist es sinnvoll, deren Echtheit während des Imports zu prüfen. Dazu besitz t jedes Zer tifikat ein en eindeut igen Fingerabdruck. Dieser Fingerabdruck wird Ihnen beim Im port der Zertifikate angezeig t. Für die drei v om DFN verwendeten Stammbzw. Zwischenzertifikate gelten die folgenden Fingerabdrücke: CN: Deutsche Telekom Root CA 2 Fingerabdruck: 85:a4:08:c0:9c:19:3e:5d:51:58:7d:cd:d6:13.30:fd:8c:de:37:bf CN: DFN-Verein PCA Global - G01 Fingerabdruck: f0:28:8f:da:c6:3a:f7:9a:31:9a:e9:72:f3:95:09:0e:a3:ef:e9:45 CN: RWTH Aachen CA Fingerabdruck: 74:de:cd:f2:78:75:36:5d:e5:c3:57:8c:80:25:71:c8:53:61.bc:6f 3. Automatisierte Antragstellung und Erzeugung Ihres SSL / S/MIME-Schlüssels Die Erzeugung Ihres SSL / S/MIME-Schlüssel s und die Antragstellung auf erteilen eines Zertifikates durch den DFN erf olgt in e inem Schritt über den PKI-Webservice des DFN. Hierbei ist zu beachten, dass der während de r Antragstellung erzeugte Schlüssel v on Ihrem verwendeten Browser erzeugt und in dessen lokalen Zertifikatsspeicher abgelegt wird. Zur Antragstellung Ihres Zertifikats und Erzeu gung Ihres S SL / S/MIME-Schlüssels öffnen Sie mit Ihrem Browser die W ebseite des DFN unter der A dresse Dort wählen Sie den Punkt Nutzerzertifikat. Bitte füllen Sie das Formular volls tändig aus. Beachten Sie, dass für alle Angehö rigen des Rechnen- u nd Kommunikationszen trums nur di e Bezeich nungen RZ oder Rechen- und Kommunikationszentrum als Abteilung zulässig ist. Anschließend wählen Sie die Schaltfläche Weiter. Danach werden Sie gebeten, die von Ihnen gem achten Angaben zu bestätigen. Kontrollieren Sie die Angaben und wählen Sie die Schaltfläche Bestätigen. Sollten Sie Firefox verwendet h aben, ersc heint nun eine Eingab emaske m it einem Passworteingebefeld. Firefox schüt zt Ihren lokalen Zertifikatssp eicher mit diesem Passwort. Dabei sind grundsätzlich zwei Fälle zu unterscheiden:

5 1. Sie haben bisher noch kein Passwort vergeben, dann können Sie jetzt ein Passwort frei wählen. 2. Sie haben bereits ein Passw ort festgelegt, dann m üssen Sie dies es Passwort jetzt angeben. Sollten Sie den Intern et Explorer verwende n, werden Sie led iglich von Ihrem Browser gefragt, ob Sie der Erzeugung Ihre s Schlüssels zustimmen möchten. Bestätigen Sie dies über die Schaltfläche Ok. Abschließend ist de r Ausdruck e ines Zertif ikatsantrags notwendig. W ählen Sie hierzu bitte die Schaltfläche Zertif ikatantrag anzeigen. Ihr Browser wird dann ein PDF-Dokum ent öffnen, welches Ihren persönlichen Zertifikatantrag darstellt. Bitte drucken Sie den Antrag aus und füllen Sie anschließend die fehlenden Angaben zu Ihrer P erson vollständig aus (Telefonnr. und Anschrift). Für Alle ist zu beachten, dass die Angabe der letzten 5 Ziffern der Pers onalausweisnummer verpflichtend ist. Die P ersonalausweisnummer befindet sich oben rechts auf der Vorderseite Ihres Personalausweises. Anschließend füllen Sie bitte noch Ort und Datu m handschriftlich aus und unterschreiben den Zertifikatsantrag. Dieser Zertifikatantrag muss am Helpdesk des Rechen und Kommunikationszentrums oder am SuperC abgegeben werden. Bitte beachten Sie, dass bei der Abgabe Ihres Antrags Ihr Personalausweis mit den von Ihnen gemachten Angaben verglichen werden muss. 4. Import Ihres Zertifikats über den Webservice des DFN Nach Prüfung Ihres Zertifikatsantrags durch di e RWTH RA wird dieser zusammen mit ihrem öffentlichen Schlüsselteil an den Zertifizier ungsservice des DFN weitergeleitet. Als E rgebnis erhalten Sie eine Mail mit Ihrem Zertifikat im sogenannten PEM-Format. Außerdem befindet sich in dies er Mail ein z weiter Link, de r e inen direk ten Im port Ihres Zertifikates in Ihren Browser erm öglicht. B itte beachten S ie dabei, da ss ein Im port Ihres Zertifikates nur in denselben Browser möglich ist, über den auch der Zertifikatsantrag gestellt wurde. Nach dem Im port Ihres Zertif ikates ist dessen Verwe ndung innerhalb des von Ihnen verwendetet Browsers möglich. So llten Sie den Internet E xplorer zur Antragstellung genutzt haben, so ist auch bereits jetzt die Verwendung Ihres Zertifikates in Outlook möglich. 5. Export Ihres Schlüssel und des Zertifikats Nach erfolgtem Import Ihres Zertifikats befindet sich im Zertifikatspeicher Ihres Browsers Ihr vollständiger Schlüssel, bestehend aus Ihrem pr ivaten Schlüsselteil un d Ihrem öffentlichen

6 Zertifikat. Ein Export Ihres Schlüssels au f einen externen Datenträger ist zwecks Datensicherheit empfehlenswert, genauso die Aufbewahrung an einem sicheren Ort. Wollen Sie außerdem Ihren SSL / S/MIME-Schlüssel in anderen Anwendungen nutzen, so ist ein Export notwendig, um Ihren Schlüssel in andere Anwendungen importieren zu können. Bitte beachten Sie jedo ch, dass bei einem Export, so wie im Folgenden b eschrieben, sowohl Ihr privater Schlüsselteil, als auch ih r öffentliches Zertifikat exportiert werden. Desh alb darf die exportierte Datei nicht weite rgebenen werden, da sonst die Sicherheit Ihres privaten Schlüsselteils nicht mehr gewährleistet wäre Export aus dem Internet Explorer Um Ihren Schlüssel aus de m Microsoft Internet Explorer exportieren zu können, öffnen Sie zunächst den Internet Explorer. Anschließend wählen Sie: Extras > Internet Optionen > Inhalt > Zertifikate Dort wählen Sie Ihr Zertifikat aus und betätigen anschließend die Schaltfläche exportieren. Danach wählen Sie die Option Ja, privaten Schlüsselteil exportieren. Bestätigen Sie Ihre Auswahl m it der Schaltfl äche W eiter. Ihr im Folgenden exportierter Schlüssel w ird m it einem Passwort gesicher t. Ein Im port dieses Schlüssels in andere Anwendungen ist nur unter Angabe dieses Pass wortes möglich. Geben Sie ein Passwort an und bestätigen Sie Ihre Eingabe über die Schaltfläche Weiter. Abschließend m uss noch der Speicherort der Date i f estgelegt werden, in d er Ihr Schlüssel exportiert werden soll. Wählen Sie diesen und schließen Sie den Vorgang über die f olgenden Schaltflächen ab. Weiter > Fertig stellen > Ok > Schließen Ihr Schlüssel wurde nun zusammen mit Ihrem Zertifikat exportiert und als Datei gespeichert Export aus Firefox Um Ihren Schlüssel aus Firefox exportieren Anschließend wählen Sie: zu können, öffnen Sie zunächst Ihren Firefox. Extras > Einstellungen > Erweitert > Verschlüsselung > Zertifikate anzeigen Dort wählen Sie Ihr Z ertifikat aus und betä tigen anschließend die Schaltfläche Backup. Wählen Sie einen passenden Dateinam en und einen sinnvollen Speicherort und betätigen Sie die Schaltfläche Speichern. Firefox schützt Ihren lokalen Zertifikatsspeicher m it e inem Passwort. B evor ein Export m öglich ist, ist es notwendig, dieses Passwort anzugeben. Sie haben dieses Passwort bereits im dritten Schritt dieses Leitfadens verwendet. Bitte geben Sie dasselbe Passwort hier erneut wieder ein.

7 Anschließend fragt Firefox in einem Dialog ein weiteres Passwort ab, mit dem Ihr exportierter Schlüssel gesichert wird. Ohne dieses Passwort ist ein Import Ihres S chlüssels in andere Anwendungen nicht möglich. W ählen Sie ei n Passwort und füllen das Dialogfenster entsprechend aus. Abschließend bestätigen Sie den Dialog über die Schaltfläche OK. Ihr Schlüssel wurde nun zusammen mit Ihrem Zertifikat exportiert und als Datei gespeichert. 6. Import Der durch den PKI- Webdienst des D FN angelegte SSL / S/MIME-Schlüssel kann nach de m erfolgten E xport aus Ihrem Browser in a ndere Anwendungen oder auf andere Rechner importiert werden. Auf diese Weise kann derselbe Schlüssel von mehreren Anwendungen und von verschiedenen Rechnern aus genutzt werd en. Bitte beachten Sie jedoch, dass ein Im port Ihres Schlü ssels in an dere Rechn er oder Be nutzerkonten die Sicherheit Ihres Schlüssels gefährden kann Import in den Internet Explorer und Outlook Da der Internet Explorer und Microsoft Outlook denselben Zertifikatspeicher nutzen, ist ein Export / Import zwis chen diesen Anwendungen nicht notwe ndig. Sollte Ihr Schlüssel also bereits im Internet Explorer verwendbar sein, so ist dieser auch in Outlook verfügbar. Um einen SSL / S/MIME-Schlüssel in den In ternet Explorer oder Microsoft Outlook zu importieren, öffnen Sie zunächst den Internet Explorer. Wählen Sie dort die Menüpunkte: Extras > Internet Optionen > Inhalte Zertifikate > Importieren > Weiter Wählen Sie dort Ihren Schlüssel aus. Der e xportierte Schlüssel m uss dazu entweder die Endung P12 oder PFX aufweisen. Anschließe nd betätigen Sie die Schaltfläche Weiter. Der Zertifikatsimport-Assistent erwartet nun di e Eingabe des Passwortes, m it der exportierte Schlüssel gesichert wurde. Sie haben dieses Pa sswort während des Exports festgelegt, geben Sie dieses hier nun erneut an. Anschließend kann der Import über die folgenden Schaltflächen abgeschlossen werden: Weiter > Weiter > Fertigstellen > Ok Ihr Schlüsselpaar, bestehend aus Ihrem priv aten Schlüssel und Ihrem Zertifikat, kann nun sowohl im Internet Explorer als auch in Microsoft Outlook verwendet werden Import in Firefox Um Ihren Schlüssel in Firefox zu importieren, starten Sie zunäch st den Firefox. Dort wählen Sie die folgenden Menüpunkte: Extras > Einstellungen > Erweitert > Verschlüsselung > Zertifikate anzeigen > Importieren Im folgenden Dialog müssen Sie die Datei auswäh len, in die Ihr Schlüssel exportiert wurde. Bestätigen Sie Ihre Auswahl mit Öffnen. Anschließend werden Sie nach Ihrem Firefox Master Passwort gefragt. Firefox sichert seinen Zertifikatspeicher mit diesem Passwort.

8 Dabei sind grundsätzlich zwei Fälle zu unterscheiden. 1. Sie haben bisher noch kein Passwort vergeben, dann können Sie jetzt ein Passwort frei wählen. 2. Sie haben bereits ein Passw ort festgelegt, dann m üssen Sie dies es Passwort jetzt angeben. Abschließend m üssen Sie noch das Passwort ei ngeben m it de m der e xportierte Schlüssel gesichert wurde. Ohne dieses Passwort kann Ihr Schlüssel nicht importiert werden. Bitte schließen Sie den Vorgang über folgende Schaltflächen ab. Ok > Ok > Ok > Ok Ihr SSL / S/MIME-Schlüssel ist nun in Firefox verwendbar Import in Thunderbird Um Ihren Schlüssel in Thunderbird zu i mportieren, starten Sie zunächst den Thunderbird. Dort wählen Sie die folgenden Menüpunkte: Extras > Konten > S/MIME Sicherheit > Zertifikate > Importieren Im folgenden Dialog müssen Sie die Datei auswäh len, in die Ihr Schlüssel exportiert wurde. Bestätigen Sie Ihre Auswahl m it Öffnen. Anschließend werden Sie nach Ihrem Thunderbird Master Passwort gefragt. Thunderbird sichert seinen Zertifikatspeicher mit diesem Passwort. Dabei sind grundsätzlich zwei Fälle zu unterscheiden. 1. Sie haben bisher noch kein Passwort vergeben, dann können Sie jetzt ein Passwort frei wählen. 2. Sie haben bereits ein Passw ort festgelegt, dann m üssen Sie dies es Passwort jetzt angeben. Abschließend m üssen Sie noch das Passwort ei ngeben m it de m der e xportierte Schlüssel gesichert wurde. Ohne dieses Passwort kann Ihr Schlüssel nicht importiert werden. Bitte schließen Sie den Vorgang über folgende Schaltflächen ab. Ok > Ok > Ok Ihr SSL / S/MIME-Schlüssel ist nun in Thunderbird verwendbar P12/PFX Dateien Ein Schlüsselaustausch zw ischen verschiedenen Anwendungen, bei dem der private Schlüsselteil exportiert oder im portiert wird, findet üblicherweise im P12 bzw. PFX-Form at

9 statt. Dabei handelt es sich um Dateien mit der Endung.p12 bzw..pfx. In beiden Fällen handelt es sich jedoch um dasselbe Schlüsselaustauschformat. Sollte eine Ihrer Anwendungen eine dieser beiden Dateiendungen nicht kennen, so können Sie gefahrlos die Endung entsprechend abändern um ein Import zu ermöglichen. 7. Aktivierung des Zertifikates in Ihrem Mailer Damit Ihre ausgehenden Em ails digital signiert werden k önnen, m uss Ihr Zertifikat noch innerhalb Ihres Mailers aktiviert werden. Mit den im Folgenden beschriebenen Einstellungen wird Ihr E mailprogramm so konfiguriert das jede versendete Mail automatisch digital unterschrieben wird Aktivierung in Microsoft Outlook Um Ihr Zer tifikat in Microsoft Outlook zu ak tivieren, starten Sie zunächst Outlook. Dort wählen Sie in den Optionen die folgenden Menüpunkte: Extras > Optionen > Sicherheit > Einstellungen In diesem Dialogfeld befinden sich zwei Auswahlschaltflächen. W ählen Sie d ie Auswahlschaltfläche für ein Signaturzertifikat. In de m nun folgenden Dialog werden Ihre verfügbaren Zertifikate gelistet. Wählen Sie Ihr eigene s Zertifikat und bestätigen Sie die den Dialog m it der Schaltfläche Ok. Sch ließen Sie anschließend den Dialog Sicherheitseinstellungen ändern mit Ok. In dem noch offenen Dialogf eld Optionen > Sicherh eit aktivieren Sie no ch das Kontrollkästchen vor dem Menüpunkt Nachri chten digitale Signatur hinzufügen. Abschließend speichern Sie Ihre Einstell ungen m it der Schaltfläch e Übernehm en und schließen den Dialog über die Schaltfläche Ok. Alle ausgehenden s werden nun automatisch mit Ihrem Zertifikat digital unterschrieben Aktivierung in Thunderbird Um Ihr Zertifikat in Thunderb ird zu aktivieren, starten Si e zunächst Thunderbird. Dort wählen Sie in den Optionen die folgenden Menüpunkte: Extras > Konten > S/MIME Sicherheit Wählen Sie nun die Schaltfläche Auswählen im Bereich Digitale Unterschrift. In den sich nun öffnenden Dialogfenster sollte Ihr eigenes Zertifikat gelistet sein. Bestätigen Sie die Auswahl mit Ok. In folgenden sich öffnende n Dialog wird zusätzlich nachgefragt, ob Ihr Zertifikat auch zum Verschlüsseln verwendet werden darf. Bestätigen Sie dies ebenfalls mit Ok. Abschließend aktivieren Sie noch da s Kontrollkästchen Nachricht digital unterschreiben (als Standart) im noch offenen Fenster Konten S/MIME Sicherheit. Alle ausgehenden s werden nun automatisch mit Ihrem Zertifikat digital unterschrieben.