Erklärung zum Zertifizierungsbetrieb der UHH CA in der DFN-PKI. - Sicherheitsniveau: Global -

Transkript

1 Erklärung zum Zertifizierungsbetrieb der UHH CA in der DFN-PKI - Sicherheitsniveau: Global - Universität Hamburg CPS der UHH CA V

2 1 Einleitung Die UHH CA ist eine Zertifizierungsstelle des DFN-Anwenders Universität Hamburg innerhalb der DFN-PKI. In der DFN-PKI wird eine Zertifizierungshierarchie verwendet, bei der das Zertifikat der UHH CA von der DFN-PCA ausgestellt wird. Für den Betrieb der UHH CA gelten die folgenden Dokumente: CP der DFN-PKI: "Zertifizierungsrichtlinie der DFN-PKI Sicherheitsniveaus: Global, Classic und Basic ", Version 2.2, April 2009, OID CPS der DFN-PCA: "Erklärung zum Zertifizierungsbetrieb der obersten Zertifizierungsstelle der DFN-PKI Sicherheitsniveaus: Global, Classic und Basic ", Version 2.1, Dezember 2006, OID Die vom CPS der DFN-PCA abweichenden Regelungen für die UHH CA sind in Kapitel 3 dieses Dokuments beschrieben. Die UHH CA stellt ausschließlich Zertifikate im Sicherheitsniveau "Global" aus. 2 Identifikation des Dokuments Titel: "Erklärung zum Zertifizierungsbetrieb der UHH CA in der DFN-PKI" Version: Abweichungen vom CPS der DFN-PCA Nachfolgend sind die Abschnitte des CPS der DFN-PCA aufgeführt, in denen für die UHH CA abweichende Regelungen getroffen werden. Zu CPS der DFN-PCA: "1.3.1 Zertifizierungsstellen" Die Anschrift der UHH CA lautet: Universität Hamburg Telefon: Regionales Rechenzentrum UHH CA Telefax: Schlüterstraße Hamburg WWW: Zu CPS der DFN-PCA: "1.3.2 Registrierungsstellen" Die ausgezeichneten Registrierungsstellen für die zuvor genannte Zertifizierungsstelle befinden sich in den Räumen der UHH CA sowie im Department Informatik, Vogt-Kölln-Str. 30, in Hamburg. Darüber hinaus sind keine weiteren Registrierungsstellen verfügbar. Zu CPS der DFN-PCA: "1.5.1 Organisation" Die Verwaltung dieses CPS erfolgt durch die in Abschnitt genannte Einrichtung. CPS der UHH CA 2/5 V2.4

3 Der Betrieb der UHH CA erfolgt durch: DFN-Verein Telefon: Alexanderplatz 1 Telefax: Berlin pki@dfn.de WWW: Zu CPS der DFN-PCA: "1.5.2 Kontaktperson" Die verantwortliche Person für das CPS der UHH CA ist: Universität Hamburg Regionales Rechenzentrum UHH CA Dr. Carsten Benecke Telefon: Schlüterstraße Hamburg pki@uni-hamburg.de Zu CPS der DFN-PCA: "2.2 Veröffentlichung von Informationen" Alle gemäß CP, Abschnitt 2.2, erforderlichen Informationen werden bereitgestellt unter: Zu CPS der DFN-PCA: "3.1.1 Namensform" Die DNs aller Zertifikatnehmer unterhalb der UHH CA enthalten die Attribute "C=DE", "ST=Hamburg", "L=Hamburg" und "O=Universitaet Hamburg". Das Attribut "OU=<Organisationseinheit>" muss mindestens einmal und kann maximal dreimal angegeben werden. Es beschreibt die Organisationseinheit, der das Zertifikat gehört, in Kurzform. Das Attribut "CN" ist bei Server-Zertifikaten immer anzugeben und entspricht dem "full qualified domain name" des jeweiligen Rechners in Kleinbuchstaben. Weiter muss für Server-Zertifikate eine gültige -Adresse angegeben werden, die eine Kontaktadresse für elektronische Anfragen an den jeweiligen Betreiber ermöglicht. Es handelt sich hierbei entweder um den Betreiber des Rechners oder den Betreiber des Dienstes, für den das Zertifikat ausgestellt werden soll. Die -Adresse muss der Form: "<NAME>@[<DOMAIN>.]unihamburg.de" entsprechen. Der mit DOMAIN bezeichnete Teil der Kontaktadresse muss so beschaffen sein, dass "<DOMAIN>.uni-hamburg.de" einen der im Attribut "OU" genannten Einrichtung zugehörigen DNS-Suffix ergibt. Die -Adresse kann über das Attribut " address" in den Namen aufgenommen werden. Die -Adresse sollte allerdings bevorzugt in der Zertifikaterweiterung "subjectalternativename" aufgenommen werden. Jedes personenbezogene Zertifikat muss ebenfalls ein gültige -Adresse enthalten. Diese Adresse muss mit den zum Zeitpunkt der Zertifikats- CPS der UHH CA 3/5 V2.4

4 beantragung gültigen Regelungen der UHH für persönliche -Adressen konform sein. In jedem Fall endet die -Adresse auf ".uni-hamburg.de". Damit entspricht der Name jedes Zertifikatnehmers dem folgenden Schema: C=DE ST=Hamburg L=Hamburg O=Universitaet Hamburg OU=<Organisationseinheit> CN=<Eindeutiger Name> [ address=< -adresse> ] Die UHH CA stellt in Ausnahmefällen Zertifikate für Services anderer Einrichtungen aus, die an der UHH betrieben werden. Voraussetzung für Server-Zertifikate ist ein Autorisierungsschreiben des Domain-Inhabers, das der UHH CA das Recht zum Erstellen von Server-Zertifikaten für die jeweiligen DNS-Subdomains (im Folgenden SDN) einräumt. Server-Zertifikate erhalten dann in Abweichung vom obigem Schema ein CN- Attribut der Form: <hostname>.<sdn> Sollte es zur Unterstützung von Forschung, Lehre und Bildung erforderlich sein, personenbezogene Zertifikate auszustellen, bei der die -Adresse nicht auf ".uni-hamburg.de" endet, kann die UHH CA diese in Ausnahmefällen erstellen. Voraussetzung dafür ist, dass die Antragstellerin nachweislich Zugriff auf das Postfach für die im Antrag genannte -Adresse hat. Zu CPS der DFN-PCA: "3.2.3 Authentifizierung einer natürlichen Person" Die Authentifizierung einer natürlichen Person erfolgt im Regelfall nach CPS der DFN-PCA Abschnitt a), d.h. durch persönliches Erscheinen und Vorweisen eines amtlichen Ausweispapiers bei einer der oben genannten RAs. Die Authentifizierung durch einen Dienstleister nach CPS der DFN-PCA, Abschnitt b), kann nur in dringenden, begründeten Ausnahmefällen erfolgen. Zu CPS der DFN-PCA: "4.1.1 Wer kann ein Zertifikat beantragen" Die UHH CA bietet ihre Dienstleistungen allen Angehörigen und Mitarbeitern des DFN-Anwenders Universität Hamburg an. Im Rahmen von Projekten, bei denen Services anderer Einrichtungen an der UHH betrieben ("gehostet") werden, kann die UHH CA in Ausnahmefällen Zertifikate für die damit verbundenen Betriebsabläufe erstellen. Art und Attribute dieser Zertifikate werden im Abschnitt "Namensform" beschrieben. Zu CPS der DFN-PCA: "4.2.3 Bearbeitungsdauer" Sollte der Antragsteller/die Antragstellerin nicht innerhalb von 14 Tagen nach Eingang des Antrags zur Authentifizierung bei einer RA erscheinen, behält sich CPS der UHH CA 4/5 V2.4

5 die UHH RA vor, den Antrag zu löschen. Eine erneute Beantragung ist jederzeit möglich. Zu CPS der DFN-PCA: "5 Infrastrukturelle, organisatorische und personelle Sicherheitsmaßnahmen" und "6 Technische Sicherheitsmaßnahmen" Die UHH CA wird durch den DFN-Verein im Auftrag des DFN-Anwenders Universität Hamburg bei der DFN-PCA betrieben. Daher sind für die UHH CA dieselben infrastrukturellen, organisatorischen, personellen und technischen Sicherheitsmaßnahmen umgesetzt, wie für die DFN-PCA (siehe CPS der DFN- PCA). Zu CPS der DFN-PCA: "6.3.2 Gültigkeit von Zertifikaten und Schlüsselpaaren" Die durch die UHH CA ausgestellten Server-Zertifikate haben standardmäßig eine Laufzeit von fünf Jahren, die Nutzerzertifikate von drei Jahren. CPS der UHH CA 5/5 V2.4