der DFN-CERT Services CA in der

Transkript

1 Erklärung zum Zertifizierungsbetrieb der DFN-CERT Services CA in der DFN-PKI - Sicherheitsniveau: Global - DFN-CERT Services GmbH CPS der DFN-CERT Services CA V CPS der DFN-CERT Services CA Seite 1/6 V2.1

2 1 Einleitung Die DFN-CERT Services CA ist eine Zertifizierungsstelle des DFN-Anwenders DFN-CERT Services GmbH innerhalb der DFN-PKI. In der DFN-PKI wird eine Zertifizierungshierarchie verwendet, bei der das Zertifikat der DFN-CERT Services CA von der DFN-PCA ausgestellt wird. Für den Betrieb der DFN-CERT Services CA gelten die folgenden Dokumente: CP der DFN-PKI: "Zertifizierungsrichtlinie der DFN-PKI Sicherheitsniveaus: Global, Classic und Basic -", Version 2.1, Dezember 2006, OID CPS der DFN-PCA: "Erklärung zum Zertifizierungsbetrieb der obersten Zertifizierungsstelle der DFN-PKI Sicherheitsniveaus: Global, Classic und Basic -", Version 2.1, Dezember 2006, OID Die vom CPS der DFN-PCA abweichenden Regelungen für die DFN-CERT Services CA sind in Kapitel 3 dieses Dokuments beschrieben. Die DFN-CERT Services CA stellt ausschließlich Zertifikate im Sicherheitsniveau "Global" aus. 2 Identifikation des Dokuments Titel: "Erklärung zum Zertifizierungsbetrieb der DFN-CERT Services CA in der DFN-PKI" Version: Abweichungen vom CPS der DFN-PCA Nachfolgend sind die Abschnitte des CPS der DFN-PCA aufgeführt, in denen für die DFN- CERT Services CA abweichende Regelungen getroffen werden. Zu CPS der DFN-PCA: "1.3.1 Zertifizierungsstellen" Die Anschrift der DFN-CERT Services CA lautet: DFN-CERT Services GmbH Telefon: Heidenkampsweg 41 Telefax: dfnpca@dfn-cert.de D Hamburg WWW: Zu CPS der DFN-PCA: "1.3.2 Registrierungsstellen" Die ausgezeichneten Registrierungsstellen für die zuvor genannten Zertifizierungsstellen befinden sich in den Räumen der DFN-CERT Services GmbH. Darüber hinaus sind keine weiteren Registrierungsstellen verfügbar. Zu CPS der DFN-PCA: "1.5.1 Organisation" Die Verwaltung dieses CPS erfolgt durch die in Abschnitt genannte Einrichtung. Der Betrieb der DFN-CERT Services CA erfolgt durch: DFN-Verein Telefon: Stresemannstr. 78 D Berlin Telefax: pki@dfn.de Zu CPS der DFN-PCA: "1.5.2 Kontaktperson" WWW: CPS der DFN-CERT Services CA Seite 2/6 V2.1

3 Die verantwortliche Person für das CPS der DFN-CERT Services CA ist: DFN-CERT Services GmbH Dr. Klaus-Peter Kossakowski Telefon: Heidenkampsweg 41 Telefax: D Hamburg dfnpca@dfn-cert.de Zu CPS der DFN-PCA: "2.2 Veröffentlichung von Informationen" Alle gemäß CP, Abschnitt 2.2, erforderlichen Informationen werden bereitgestellt unter: Zu CPS der DFN-PCA: "3.1.1 Namensform" Die DNs aller Zertifikatnehmer unterhalb der DFN-CERT Services CA enthalten die Attribute "C=DE" und "O=DFN-CERT Services GmbH". Das optionale Attribut "OU=<Organisationseinheit>" kann mehrfach angegeben werden. Optional können die beiden Attribute "ST=Hamburg" bzw. "L=Hamburg" aufgenommen werden. Wenn eine Adresse angegeben wird, so kann diese über das Attribut " =" in den Namen aufgenommen werden. Die Adresse sollte allerdings bevorzugt in der Zertifikaterweiterung "subjectalternativename" aufgenommen werden. Funktionale oder Rollenzertifikate werden im CN mit dem vorangestellten Kürzel GRP: gekennzeichnet. Damit entspricht der Name jedes Zertifikatnehmers dem folgenden Schema: C=DE, [ST=Hamburg, L=Hamburg,] O=DFN-CERT Services GmbH, [OU=<Organisationseinheit>,] [CN=<Eindeutiger Name>,] [ address=< Adresse>] Zu CPS der DFN-PCA: "4.1.1 Wer kann ein Zertifikat beantragen" Die DFN-CERT Services CA bietet ihre Dienstleistungen allen Angehörigen und Mitarbeitern des DFN-Anwenders DFN-CERT Services GmbH sowie im Auftrag der DFN-CERT Services GmbH handelnden Personen an. Zu CPS der DFN-PCA: "4.4.2 Veröffentlichung des Zertifikats" Die DFN-CERT Services CA veröffentlicht die gemäß der Zertifizierungsrichtlinien der DFN- PKI geforderten Zertifikate über die oben angegebenen Informationssysteme. Zu CPS der DFN-PCA: " Richtlinien und Praktiken zur Schlüsselhinterlegung und wiederherstellung" Die DFN-CERT Services CA erfordert für Zertifikate für Nutzer die Hinterlegung des privaten Schlüssels. Im Rahmen der Zertifikatbeantragung in den Registrierungsstellen der DFN-CERT Services CA wird ein verschlüsseltes Backup der privaten Schlüssel erzeugt. Die Verschlüsselung erfolgt mittels Keybackup-Rollenzertifikat. Der private Schlüssel des Rollenzertifikats wird auf einem USB-Krypto-Gerät gespeichert, welches mit einer PIN belegt wird, die nur der Geschäftsführung bekannt ist. CPS der DFN-CERT Services CA Seite 3/6 V2.1

4 Die Übermittlung von privaten Schlüsseln an Zertifikatnehmer erfolgt als mit PIN gesicherter PKCS#12-Dateien über USB-Speichersticks. Die Übermittlung der PIN erfolgt durch Versand bzw. Aushändigung eines PIN-Briefes. Es wird gewährleistet, dass Mitarbeiter der Registrierungsstelle keine Kenntnis der jeweiligen PIN erlangen. Im Falle des Ausscheidens eines Zertifikatnehmers aus dem Unternehmen, länger andauernder Krankheit oder Tod können Mitarbeiter der Registrierungsstellen in Zusammenarbeit mit dem Geschäftsführer der DFN-CERT Services den privaten Schlüssel des betreffenden Mitarbeiters zur Sicherstellung verschlüsselter, unternehmenskritischer Daten verwenden. Die Wiederherstellung des hinterlegten privaten Schlüssels in diesem Fall kann nur unter Hinzuziehung der Geschäftsführung durchgeführt werden. Das Zertifikat wird in diesem Fall unverzüglich gesperrt. Zu CPS der DFN-PCA: "5 Infrastrukturelle, organisatorische und personelle Sicherheitsmaßnahmen" und "6 Technische Sicherheitsmaßnahmen" Die DFN-CERT Services CA wird durch den DFN-Verein im Auftrag des DFN-Anwenders DFN- CERT Services GmbH bei der DFN-PCA betrieben. Daher sind für die DFN-CERT Services CA dieselben infrastrukturellen, organisatorischen, personellen und technischen Sicherheitsmaßnahmen umgesetzt, wie für die DFN-PCA (siehe CPS der DFN-PCA). Ausnahmen betreffen die Kapitel 5.2.1, und 5.2.4, die im Folgenden aufgeführt sind. Zu CPS/CP der DFN-PCA: "5.2.1 Sicherheitsrelevante Rollen" Für die DFN-CERT Services CA gilt die folgende Ergänzung der Rollendefinition zum Thema Registrierungsdienst Rolle Funktion Kürzel Registrator (Ergänzung der Funktion für bereits existierende Rolle) Geschäftsführer Backup inkl. Verschlüsselung privater Schlüssel mit Keybackup-Zertifikat Wiederherstellung von privaten Schlüsseln Erteilung der Genehmigung zur Wiederherstellung von privaten Schlüsseln von ausgeschiedenen, kranken oder verstorbenen Zertifikatnehmern Kenntnis der PIN für Key-Backup-Schlüssel RG GF Zu CPS/CP der DFN-PCA: "5.2.2 Involvierte Mitarbeiter pro Arbeitsschritt" In der folgenden Tabelle sind die Tätigkeiten beschrieben, bei denen das Vier-Augen-Prinzip - realisiert durch jeweils einen Vertreter der angegebenen Rollen - eingehalten werden muss. Alle anderen Tätigkeiten können von einer Person durchgeführt werden. Tätigkeit Freigabe und Übermittlung von Zertifikat- und Sperranträgen für CA- Zertifikate Erzeugung von Schlüsselpaaren für CA-Zertifikate Starten von Prozessen zur Ausstellung von Zertifikaten und Sperrlisten Austausch von Hard- und Softwarekomponenten für die Zertifizierung Kenntnis der PIN für Key-Backup-Schlüssel Wiederherstellung von privaten Schlüsseln Rollen RG & TS CAO1 & CAO2 CAO1 & CAO2 SA & CAO1 GF RG, GF CPS der DFN-CERT Services CA Seite 4/6 V2.1

5 Zu CPS/CP der DFN-PCA: "5.2.4 Trennung von Rollen" Für die DFN-CERT Services CA gelten folgende Ergänzungen bzw. Änderungen hinsichtlich der Unverträglichkeit von Rollen. Rolle Unverträglich mit TS RG GF CAO1 CAO2 SA SO R ISO TS Teilnehmerservice X X X X X RG Registrator X X X X X GF X X X X X X CAO1 - CA Mitarbeiter X X X X X X CAO2 - PIN Geber X X X X SA Systemadministrator X X X X X SO Systemoperator X X X X X X R - Revision X X X X X X X X X X X X Es wird folgende Aufteilung der Rollen auf Personengruppen gewählt: ISO Sicherheitsbeauftragter Personengruppe Rollen 1 R, ISO, GF 2 TS, RG, CAO1 3 CAO2, SA, SO Zu CPS der DFN-PCA: "6.1.2 Übermittlung des privaten Schlüssels an den Zertifikatnehmer" Die Übermittlung von privaten Schlüsseln an Zertifikatnehmer erfolgt in Form von PIN gesicherten PKCS#12-Dateien über USB-Speichersticks. Die Übermittlung der PIN erfolgt durch Versand bzw. Aushändigung eines PIN-Briefes. Bei postalischer Auslieferung von PIN-Brief und USB-Speichersticks wird durch zeitlich versetzten Versand gewährleistet, dass ein Angreifer nicht gleichzeitig Zugriff auf USB-Krypto-Gerät und PIN-Brief hat. Zu CPS der DFN-PCA: "6.2.4 Backup der privaten Schlüssel" Die DFN-CERT Services CA erfordert für Nutzerzertifikate ein Backup privater Schlüssel entsprechend Kapitel Zu CPS der DFN-PCA: "6.3.2 Gültigkeit von Zertifikaten und Schlüsselpaaren" Die durch die DFN-CERT Services CA ausgestellten Serverzertifikate haben standardmäßig eine Laufzeit von fünf Jahren, die Nutzerzertifikate von drei Jahren. CPS der DFN-CERT Services CA Seite 5/6 V2.1