Neues aus der DFN-PKI. Jürgen Brauckmann

Transkript

1 Neues aus der DFN-PKI Jürgen Brauckmann

2 Sicherheitsniveau Global Sicherheitsniveau Global Seit Anfang 2007 Neue Version der Policy, längere Laufzeiten für Zertifikate Verkettung mit Deutsche Telekom Root CA 2 Umstellung fast abgeschlossen Über 160 Einrichtungen nutzen DFN-PKI 47. Betriebstagung des DFN-Vereins Folie 2

3 Anpassungen: Logo Vorher: Nachher: 47. Betriebstagung des DFN-Vereins Folie 3

4 Anpassungen: adressen Auf Anforderung können die eingegebenen adressen beschränkt werden: 47. Betriebstagung des DFN-Vereins Folie 4

5 DFN-PKI FAQ FAQ-Seiten erweitert: Betriebstagung des DFN-Vereins Folie 5

6 Software und Zertifikate... Cisco: VPN Concentrator 3030 erzeugt keine 2048 Bit Schlüssel (nur 2047 Bit...) Alte Netscape und Novell: Werten pathlenconstraints nicht richtig aus... Opera: Mehrstufige Hierarchie und Zert.- Import Betriebstagung des DFN-Vereins Folie 6

7 Hinweise für RAs Zertifikatnamen (DNs) müssen für Server den FQDN enthalten (insbesondere keine IP, kein Wildcard, keinen abgekürzten Namen) müssen für Nutzer den richtigen Namen der Person enthalten (Vor- und Nachname; Titel nur, wenn im Ausweis vermerkt) müssen für Gruppen einen Vorsatz GRP: enthalten (z.b. CN=GRP: Netzgruppe ) 47. Betriebstagung des DFN-Vereins Folie 7

8 Ausblick Zeitstempeldienst für vertrauenswürdigen Zeitangaben in Dokumenten Direkte Unterstützung in Adobe Acrobat Testbetrieb läuft Bei Interesse: 47. Betriebstagung des DFN-Vereins Folie 8

9 SOAP-Schnittstelle der DFN-PKI 47. Betriebstagung des DFN-Vereins Folie 9

10 SOAP-Schnittstelle der DFN-PKI Bisher: Nutzer stellen Anträge über Webschnittstelle Nutzer Browser HTML RA Schlüssel und Anträge werden im Browser generiert RA muss jeden Antrag einzeln prüfen und genehmigen Für große Nutzerzahl nicht praktikabel DFN-PKI 47. Betriebstagung des DFN-Vereins Folie 10

11 SOAP-Schnittstelle der DFN-PKI Neu: Nutzer RA Software Nutzer Zertifizierung kann unter bestimmten Voraussetzungen durch Software erfolgen Browser soapclient Eigenentwicklung Eigenentwicklung Kommunikation direkt oder über soapclient Bibliothek HTML DFN-PKI SOAP Webschnittstelle kann parallel weiterbetrieben werden 47. Betriebstagung des DFN-Vereins Folie 11

12 SOAP-Schnittstelle eignet sich für: Große Anzahl von Nutzern (Studenten, Mitarbeiter etc.) Chipkarten / USB-Token Initialisierung Zertifizierung aus lokalen Datenquellen (Verzeichnisdienste) Lösungen mit lokalem Key-Backup bei der Zertifizierung 47. Betriebstagung des DFN-Vereins Folie 12

13 Web vs. SOAP-Schnittstelle SOAP-Aufrufe entsprechen den Aktionen in der Webschnittstelle: Webschnittstelle Benutzer stellt Antrag RA ruft Antrag auf RA signiert und genehmigt Antrag Benutzer/RA wartet auf Ausstellung SOAP newrequest getrawrequest approverequest getcertificateby RequestSerial 47. Betriebstagung des DFN-Vereins Folie 13

14 soapclient Bibliothek Schlanke Bibliothek zum Einbinden in eigene Java-Anwendungen SOAP-Kommunikation synchron asynchron (für grafische Oberflächen) Kryptografische Operationen PKCS#10-Antrag erstellen PKCS#7 Vertrauenseinstellungen zu den Servern der DFN-PKI bereits integriert Code-Beispiele enthalten 47. Betriebstagung des DFN-Vereins Folie 14

15 soapclient Beispiel // Neuen Client erstellen DFNPKIClient client = new DFNPKIClient( ca name ); // Neues RSA Schlüsselpaar erzeugen KeyPairGenerator generator = KeyPairGenerator( RSA ); generator.initialize(2048); KeyPair pair = generator.generatekeypair(); // Neuen PKCS#10 Antrag erzeugen String pkcs10 = Cryptography.createPKCS10( C=DE,O=DFN CERT,CN=Jan Moennich, pair.getpublic(), pair.getprivate()); DFNPKIPublic pub = client.getpublic(); String pin_hashed = Cryptography.sha1(pin.getBytes()); String altnames[] = new String[] { moennich@dfn cert.de }; // Zertifikatantrag bei der CA einreichen int serial = pub.newrequest(0, pkcs10, altnames, User, pin_hashed, Jan Moennich, moennich@dfn cert.de, DFN PCA, true); // RA Nummer // PKCS#10 Antrag // Subject Alt. Names // Rolle // Sperr PIN // Name der Person // E Mail der Person // Abteilung // Veröffentlichen 47. Betriebstagung des DFN-Vereins Folie 15

16 soapclient Beispiel // Neuen Client erstellen client.loadraformpkcs12( /certs/ra.p12, password.tochararray()); // Instanz mit RA Methoden DFNCERTRegistration ra = client.getregistration(); // Antragsdaten zum Signieren ermitteln byte raw[] = ra.getrawrequest(serial); // Antragsdaten mit RA Operator Zertifikat signieren String pkcs7 = Cryptography.createPKCS7Signed(raw, client.getraprivatekey(), client.getracertificate()); // Antrag bei der CA mit Signatur genehmigen boolean ok = ra.approverequest(serial, raw, pkcs7); // Alle 30 Sekunden nach dem ausgestellten Zertifikat fragen String pem = ; while(pem.equals( )) { Thread.sleep(30000); pem = ra.getcertificatebyrequestserial(serial); } 47. Betriebstagung des DFN-Vereins Folie 16

17 Zusammenfassung SOAP Schnittstelle für Anbindung eigener Infrastruktur an die DFN-PKI Für: große Nutzerzahlen Token-Initialisierung Einbindung lokaler Verzeichnisdienste lokales Key-Backup uvm. Mehr dazu im nächsten Vortrag 47. Betriebstagung des DFN-Vereins Folie 17

18 Vielen Dank für Ihre Aufmerksamkeit! Jürgen Brauckmann