Benutzerhandbuch Certificate Renewal

Transkript

1 Eidgenössisches Finanzdepartement EFD Bundesamt für Informatik und Telekommunikation BIT Swiss Government PKI 11. Januar 2016 Benutzerhandbuch Certificate Renewal Projektname: Version: V7.1 Certificate Renewal Status in Arbeit in Prüfung genehmigt zur Nutzung Beteiligter Personenkreis Autoren: Salvatore Tomasulo, Gianni Colangelo Genehmigung: Beatrice Metaj Benützer/Anwender: Certificate Renewal Anwender zur Information/Kenntnis: - Änderungskontrolle, Prüfung, Genehmigung Wann Version Wer Beschreibung V0.01 Michael Herren Initial Version V0.1 Stephan Gysi Überführung in BIT-Version V6.1 Michel Bérard Update Screenshots V6.2 Beatrice Metaj Review V7.0 Jürgen Weber Freigabe V7.1 Salvatore Tomasulo Anpassung Tools V7.1 Beatrice Metaj Freigabe V7.1

2 Inhaltsverzeichnis 1 Einleitung Swiss Government Certificate Renewal Anwendung Voraussetzungen für die Benützung des Certificate Renewals Hardware Software Konfiguration Internet Explorer Vertrauenswürdige Sites Import des Authentisierungszertifikates im Internet Explorer Safenet und CardOS API Zertifikatserneuerung mit dem Certificate Renewal Wizard Anhang Tabellenverzeichnis Abbildungsverzeichnis /16

3 1 Einleitung 1.1 Swiss Government Certificate Renewal Anwendung Die Certificate Renewal Anwendung ist die Anwendung zur Erneuerung von Zertifikaten der Swiss Government PKI Enhanced CA 01. Zertifikate welche über die LRA Station oder über den RIO ausgestellt wurden können anhand dieser Anwendung erneuert werden. Der Certificate Renewal kann direkt vom Endbenutzer genutzt werden, sofern er über ein gültiges Authentisierungszertifikat verfügt. Ist das Authentisierungszertifikat abgelaufen können die Zertifikate nicht mehr über den Certificate Renewal erneuert werden. 3/16

4 2 Voraussetzungen für die Benützung des Certificate Renewals 2.1 Hardware Um einen Certificate Renewal durchzuführen muss mindestens ein Smartcard Reader am PC angeschlossen sein. Um die erneuerten Zertifikate auf einer neuen Smartcard zu generieren wird ein zweiter Smartcard Reader benötigt 2.2 Software Safenet Authentication Client (Ab Version 8.1) und/oder CardOS API (ab Version 5.2) Smartcard Treiber sind installiert. Dies hängt davon ab, welcher Smartcard Typ verwendet wird. Die aktuelle Version vom SCKI ist installiert. Das SCKI kann von folgender URL heruntergeladen werden: Support Downloads. Internet Explorer ab Version 9 Zum Installieren der benötigten Software sind Administratorenrechte nötig. 4/16

5 3 Konfiguration Internet Explorer 3.1 Vertrauenswürdige Sites Damit die Certificate Renewal Anwendung korrekt funktioniert, sollte die URL des Certificate Renewal Wizards in den Vertrauenswürdigen Sites des Internet Explorers eingetragen sein. Die URL kann folgendermassen hinzugefügt werden: Im Internet Explorer Menu unter Extras -> Internetoptionen auswählen Den Tab Sicherheit auswählen Auf den Button Sites drücken Abbildung 1: Internetoptionen Anschliessend kann die URL des Certificate Renewal Wizards hinzugefügt werden Abbildung 2: Vertrauenswürdige Sites 5/16

6 3.2 Import des Authentisierungszertifikates im Internet Explorer Die Certificate Renewal Anwendung verwendet Client/Server Authentisierung. Zum erfolgreichen anmelden wird ein Authentisierungszertifikat benötigt. Es muss sichergestellt werden, dass das vorhandene Authentisierungszertifikat im Internet Explorer importiert wurde Safenet und CardOS API Die Zertifikate werden automatisch in den Internet Explorer kopiert. 6/16

7 4 Zertifikatserneuerung mit dem Certificate Renewal Wizard Die Zertifikatserneuerung erfolgt über eine Webanwendung. Überprüfen Sie nochmals, ob die nötige Software auf Ihrem PC installiert wurde. (Siehe 2.2) Die Certificate Renewal Anwendung verwendet Client/Server Authentisierung. Deshalb ist es wichtig, die Smartcard mit dem Authentisierungszertifikat in den Leser zu schieben, bevor die URL des Certificate Renewals aufgerufen wird. Je nach Standort muss eine unterschiedliche Adresse (URL) für den Certificate Renewal Wizard benutzt werden, um auf den Certificate Renewal Wizard zuzugreifen. Netz Netz URL BV-Netz - Internet SSL Gateway Kantons-Netz SSL Gateway Tabelle 1: Certificate Renewal Wizard Adresse (URL) Beim Aufrufen der URL erscheint ein Fenster mit einer Liste von Zertifikaten, welche für die Authentisierung verwendet werden können. Bitte wählen Sie das Authentisierungszertifikat aus und klicken Sie auf o.k. Ist die Zertifikatsliste leer oder fehlt das erwartete Zertifikat, wurde das Zertifikat im Kapitel 3 nicht korrekt im Internet Explorer importiert oder wurde von einer unbekannten CA ausgestellt. Abbildung 3: Digitales Zertifikat auswählen Sie werden aufgefordert das Passwort für die Smartcard einzugeben. 7/16

8 Abbildung 4: Smartcard Passwort auswählen mit Safenet Abbildung 5: Smartcard Passwort auswählen mit CardOS API Nun sind Sie erfolgreich auf der Certificate Renewal Applikation eingeloggt und können Ihre Zertifikate erneuern indem Sie auf den Button Zertifikatserneuerung beantragen klicken. 8/16

9 Abbildung 6: Smartcard Treiber auswählen Falls Sie nur einen Smartcard Treiber installiert haben, erscheint folgende Dialogbox nicht. Falls Sie mehrere Smartcard Treiber installiert haben, erscheint eine Dialogbox wo Sie den verwendeten Smartcard Treiber auswählen müssen. Abbildung 7: Passwort eingeben Im nächsten Schritt werden bestehende Zertifikatsinformationen in der Datenbank gesucht. Abbildung 8: Zertifikatsinformationen suchen 9/16

10 Im folgenden Schritt werden die zuvor bei der Registrierung erfassten Revokationsinformationen angezeigt. Sie haben die Möglichkeit, diese Informationen anzupassen und können eine neue Revokationsfrage und Antwort setzen. Im Falle eines Verlustes der Smartcard benötigen Sie die Revokationsinformationen um die Revokation telefonisch durchzuführen. Möglicherweise besitzen Sie Zertifikate, für welche bei der Registrierung noch keine Revokationsinformation erfasst wurde. Ist dies der Fall, sind alle 4 Felder leer und müssen korrekt ausgefüllt werden. Erläuterungen zu den Eingabefeldern: Input Feld Geburtsdatum Heimatort Revokationsfrage Revokationsantwort Erläuterung Das Geburtsdatum muss im Format TT.MM.JJJJ angegeben werden. T=Tag, M=Monat, J=Jahr Ihr Heimatort (Für ausländische Staatsagehörige ist der Geburtsort anzugeben) Sie können eine Revokationsfrage frei definieren. Falls Sie Ihre Zertifikate telefonisch revozieren wollen, müssen Sie diese Frage beantworten können. Die Antwort zur Revokationsfrage. Tabelle 2: Eingabefelder für die Revokationsinformationen Wenn die Revokationsinformationen vollständig ausgefüllt sind, können Sie auf den Button unterhalb des Formulars klicken. Falls Sie die neuen Zertifikate nicht auf der bestehenden Smartcard generieren wollen, müssen Sie jetzt unbedingt eine zweite Smartcard in einen zweiten Smartcard Reader einfügen bevor Sie auf den Button Weiter klicken. Abbildung 9: Revokationsinformationen erfassen/ bearbeiten 10/16

11 Falls Sie mehrere Smartcard Treiber installiert haben, erscheint eine Dialogbox wo Sie den verwendeten Smartcard Treiber auswählen müssen. Falls Sie nur einen Smartcard Treiber auf dem System installiert haben, erscheint folgende Dialogbox nicht. Wählen Sie den gewünschten Smartcard Treiber aus. Falls Sie die neuen Schlüssel auf einer Datakey Smartcard ausstellen wollen, wählen Sie DataKey RSA CSP aus. Falls Sie die Schlüssel auf einer Siemens Smartcard installieren wollen, wählen Sie Siemens Card API CSP aus. Abbildung 10: Smartcard Treiber auswählen Sie werden aufgefordert, die Smartcard auszuwählen, auf welcher Sie die neuen Zertifikate generieren wollen. Abbildung 11: Smartcard auswählen 11/16

12 Bitte geben Sie das Passwort für die ausgewählte Smartcard ein. Abbildung 12: Smartcard Passwort Neue Schlüsselpaare werden nun auf der Smartcard erstellt. Es erscheint ein Fortschrittsbalken. Die Zertifikate werden nun vollautomatisch erneuert. Der Vorgang wird einige Minuten dauern und Sie sollten keinen Link oder Button anklicken. Die Zertifikatsanträge werden anschliessend automatisch an die Zertifizierungsstelle gesendet. Abbildung 13: Neue Zertifikatsanträge generieren (DSig) Abbildung 14: Neue Zertifikatsanträge generieren (Auth) 12/16

13 Abbildung 15: Neue Zertifikatsanträge generieren (Enc) Die signierten Zertifikate werden auf die Smartcard importiert Abbildung 16: Signierte Zertifikate importieren 13/16

14 Im nächsten Schritt werden die Zertifikatsinformationen in der Datenbank abgelegt Abbildung 17: Zertifikatsinformationen in der Datenbank speichern In diesem Schritt werden die alten, noch auf der Smartcard vorhandenen Zertifikate revoziert. Das bedeutet, dass Sie diese Zertifikate nicht mehr verwenden können. Abbildung 18: Alte, nicht mehr benötigte Zertifikate revozieren Alte nicht mehr benötigte Zertifikate, mit den dazugehörenden Schlüsselpaaren werden gelöscht. Verschlüsselungs-Schlüssel bleiben auf der Smartcard. Somit können Sie verschlüsselte Dateien oder Mails immer noch lesen. 14/16

15 Abbildung 19: Alte, nicht mehr benötigte Zertifikate löschen Der Zertifikatserneuerungsvorgang ist abgeschlossen. Sie können den Browser nun schliessen. Abbildung 20: Abschluss Zertifikatserneuerung 15/16

16 5 Anhang 5.1 Tabellenverzeichnis Tabelle 1: Certificate Renewal Wizard Adresse (URL)... 7 Tabelle 2: Eingabefelder für die Revokationsinformationen Abbildungsverzeichnis Abbildung 1: Internetoptionen... 5 Abbildung 2: Vertrauenswürdige Sites... 5 Abbildung 3: Digitales Zertifikat auswählen... 7 Abbildung 4: Smartcard Passwort auswählen mit Safenet... 8 Abbildung 5: Smartcard Passwort auswählen mit CardOS API... 8 Abbildung 7: Smartcard Treiber auswählen... 9 Abbildung 8: Passwort eingeben... 9 Abbildung 9: Zertifikatsinformationen suchen... 9 Abbildung 10: Revokationsinformationen erfassen/ bearbeiten Abbildung 11: Smartcard Treiber auswählen Abbildung 12: Smartcard auswählen Abbildung 13: Smartcard Passwort Abbildung 14: Neue Zertifikatsanträge generieren (DSig) Abbildung 15: Neue Zertifikatsanträge generieren (Auth) Abbildung 16: Neue Zertifikatsanträge generieren (Enc) Abbildung 17: Signierte Zertifikate importieren Abbildung 18: Zertifikatsinformationen in der Datenbank speichern Abbildung 19: Alte, nicht mehr benötigte Zertifikate revozieren Abbildung 20: Alte, nicht mehr benötigte Zertifikate löschen Abbildung 21: Abschluss Zertifikatserneuerung /16