Erklärung zum Zertifizierungsbetrieb der TU Ilmenau CA in der DFN-PKI

Transkript

1 Erklärung zum Zertifizierungsbetrieb der TU Ilmenau CA in der DFN-PKI - Sicherheitsniveau: Global - Technische Universität Ilmenau CPS der TU Ilmenau CA V CPS der TU Ilmenau CA Seite 1/5 V1.2

2 1 Einleitung Die TU Ilmenau CA ist eine Zertifizierungsstelle des DFN-Anwenders Technische Universität Ilmenau innerhalb der DFN-PKI. In der DFN-PKI wird eine Zertifizierungshierarchie verwendet, bei der das Zertifikat der TU Ilmenau CA von der DFN-PCA ausgestellt wird. Für den Betrieb der TU Ilmenau CA gelten die folgenden Dokumente: CP der DFN-PKI: "Zertifizierungsrichtlinie der DFN-PKI Sicherheitsniveaus: Global, Classic und Basic -", Version 2.2, April 2009, OID CPS der DFN-PCA: "Erklärung zum Zertifizierungsbetrieb der obersten Zertifizierungsstelle der DFN-PKI Sicherheitsniveaus: Global, Classic und Basic -", Version 2.1, Dezember 2006, OID Die vom CPS der DFN-PCA abweichenden Regelungen für die TU Ilmenau CA sind in Kapitel 3 dieses Dokuments beschrieben. Die TU Ilmenau CA stellt ausschließlich Zertifikate im Sicherheitsniveau "Global" aus. 2 Identifikation des Dokuments Titel: "Erklärung zum Zertifizierungsbetrieb der TU Ilmenau CA in der DFN-PKI" Version: Abweichungen vom CPS der DFN-PCA Nachfolgend sind die Abschnitte des CPS der DFN-PCA aufgeführt, in denen für die TU Ilmenau CA abweichende Regelungen getroffen werden. Zu CPS der DFN-PCA: "1.3.1 Zertifizierungsstellen" Die Anschrift der TU Ilmenau CA lautet: Technische Universität Ilmenau Telefon: Universitätsrechenzentrum TU Ilmenau CA Telefax: Am Helmholtzring 9 pki@tu-ilmenau.de Ilmenau WWW: Zu CPS der DFN-PCA: "1.3.2 Registrierungsstellen" Die ausgezeichneten Registrierungsstellen für die zuvor genannten Zertifizierungsstellen befinden sich in den Räumen der TU Ilmenau CA. Darüber hinaus sind keine weiteren Registrierungsstellen verfügbar. Zu CPS der DFN-PCA: "1.5.1 Organisation" Die Verwaltung dieses CPS erfolgt durch die in Abschnitt genannte Einrichtung. Der Betrieb der TU Ilmenau CA erfolgt durch: DFN-Verein Telefon: Alexanderplatz 1 Telefax: Berlin pki@dfn.de WWW: CPS der TU Ilmenau CA Seite 2/5 V1.2

3 Zu CPS der DFN-PCA: "1.5.2 Kontaktperson" Die verantwortliche Person für das CPS der TU Ilmenau CA ist: Technische Universität Ilmenau Universitätsrechenzentrum Jörg Deutschmann TU Ilmenau CA Telefon: Am Helmholtzring 9 Telefax: Ilmenau joerg.deutschmann@tu-ilmenau.de Zu CPS der DFN-PCA: "2.2 Veröffentlichung von Informationen" Alle gemäß CP, Abschnitt 2.2, erforderlichen Informationen werden bereitgestellt unter: Zu CPS der DFN-PCA: "3.1.1 Namensform" Die DNs aller Zertifikatnehmer unterhalb der TU Ilmenau CA enthalten die Attribute "C=DE" und "O=Technische Universitaet Ilmenau". Wenn das optionale Attribut "ST=Thueringen" aufgenommen wird, dann muss auch das Attribut "L=Ilmenau" aufgenommen werden. Das optionale Attribut "OU=<Organisationseinheit>" kann mehrfach angegeben werden. Wenn eine -Adresse angegeben wird, so kann diese in das Attribut " address" des DN aufgenommen werden. Die -Adresse wird in jedem Fall in die Zertifikaterweiterung "subjectalternativename" aufgenommen. Um die eindeutige Zuordnung von DNs zu den Zertifikatnehmern sicherzustellen, kann im Fall von Kollisionen zusätzlich das Attribut "serialnumber" verwendet werden. Damit entspricht der Name jedes Zertifikatnehmers dem folgenden Schema: C=DE [ ST=Thueringen L=Ilmenau ] O=Technische Universitaet Ilmenau [ OU=<Organisationseinheit> ] CN=<Eindeutiger Name> [ address=< -adresse> ] [ serialnumber=<positive Ganzzahl> ] Zu CPS der DFN-PCA: "4.1.1 Wer kann ein Zertifikat beantragen" Die TU Ilmenau CA bietet ihre Dienstleistungen allen Studierenden, Beschäftigten und Angehörigen des DFN-Anwenders Technische Universität Ilmenau an. Zu CPS der DFN-PCA: "4.1.2 Registrierungsprozess" Für Zertifikate, die im Rahmen der Ausgabe der multifunktionalen Chipkarte thoska+ erstellt werden, wird der folgende Prozess verwendet: 1. Die Chipkarte kann optional dem Zertifikatnehmer per Post zugesandt werden, siehe Der Zertifikatnehmer erscheint persönlich in der Registrierungsstelle und bringt seine ihm zugesandte Chipkarte mit. Wurde ihm keine Chipkarte zugesandt, so erhält er eine in der Registrierungsstelle. CPS der TU Ilmenau CA Seite 3/5 V1.2

4 3. Im Rahmen der Antragsstellung findet in der Registrierungsstelle eine persönliche Identifizierung des Zertifikatnehmers statt. 4. Das Zertifikat wird erstellt und von der Registrierungsstelle auf die Chipkarte aufgebracht. Die Chipkarte wird dem Zertifikatnehmer direkt übergeben. Für Zertifikate, die nicht auf einer Chipkarte thoska+ eingesetzt werden, wird der im CPS der DFN-PCA beschriebene Registrierungsprozess verwendet. Zu CPS der DFN-PCA: "4.4.2 Veröffentlichung des Zertifikats" Die von der TU Ilmenau CA ausgestellten Zertifikate werden nur auf Wunsch des Zertifikatnehmers veröffentlicht. Zu CPS der DFN-PCA: " Richtlinien u. Praktiken zur Schlüsselhinterlegung und -wiederherstellung" Die TU Ilmenau CA bietet keine Schlüsselhinterlegung und Schlüsselwiederherstellung an. Zu CPS der DFN-PCA: "5 Infrastrukturelle, organisatorische und personelle Sicherheitsmaßnahmen" und "6 Technische Sicherheitsmaßnahmen" Die TU Ilmenau CA wird durch den DFN-Verein im Auftrag des DFN-Anwenders Technische Universität Ilmenau bei der DFN-PCA betrieben. Daher sind für die TU Ilmenau CA dieselben infrastrukturellen, organisatorischen, personellen und technischen Sicherheitsmaßnahmen umgesetzt, wie für die DFN-PCA (siehe CPS der DFN-PCA). Zu CPS der DFN-PCA: "6.1.1 Schlüsselerzeugung" Es werden von der TU Ilmenau CA nur Schlüsselpaare nach dem nachfolgend geschilderten Verfahren "thoska+" erzeugt. Außerhalb dieses Verfahrens müssen Zertifikatnehmer ihr Schlüsselpaar selbst erzeugen. Im Rahmen der multifunktionalen Chipkarte "thoska+", die an der TU Ilmenau als Studentenund Mitarbeiterausweis eingesetzt wird, werden von der TU Ilmenau CA digitale Zertifikate für die Karteninhaber ausgestellt. Die zugehörigen Schlüsselpaare werden an speziellen Arbeitsplätzen in der Registrierungsstelle direkt auf den Kryptochipkarten erzeugt, so dass der private Schlüssel nach den technischen Spezifikationen der eingesetzten Kartentypen zu keinem Zeitpunkt ausgelesen werden kann. Zu CPS der DFN-PCA: "6.1.2 Übermittlung des privaten Schlüssels an den Zertifikatnehmer" Die privaten Schlüssel der Zertifikatnehmer, die nach dem Verfahren "thoska+" aus Punkt erzeugt wurden, werden in Form einer personalisierten Kryptochipkarte zugestellt. Diese ist durch eine individuelle PIN/PUK-Kombination gegen unbefugte Nutzung geschützt. Der PIN wird dem Zertifikatnehmer in einem verschlossenen PIN-Brief zugestellt. Der PUK wird dem Zertifikatnehmer nicht mitgeteilt. Die Zustellung einer Kryptochipkarte kann vor der persönlichen Identifikation des Zertifikatnehmers, und somit vor der Ausstellung des Zertifikats, auf dem Postweg erfolgen. In diesem Fall werden Kryptochipkarte und PIN-Brief separat versendet. Zum Schutz vor unbefugter Nutzung kann eine Entsperrung der Karte, die nach mehrfacher Falscheingabe des PINs nötig ist, nur in Räumlichkeiten der TU Ilmenau und nach persönlicher Identifikation des Karteninhabers erfolgen. Die verwendeten Kartentypen sperren sich nach mehrfacher Falscheingabe des PUK unwiderruflich für jegliche Nutzung. Zu CPS der DFN-PCA: "6.2.3 Hinterlegung (Key Escrow) privater Schlüssel" Die TU Ilmenau CA bietet keine Hinterlegung privater Schlüssel an. CPS der TU Ilmenau CA Seite 4/5 V1.2

5 Zu CPS der DFN-PCA: "6.2.4 Backup der privaten Schlüssel" Die TU Ilmenau CA bietet kein Backup privater Schlüssel an. Der Zertifikatnehmer ist selbst dafür verantwortlich, verschlüsselte Daten in einer geeigneten Form zu sichern, da verschlüsselte Daten bei Verlust des Schlüsselpaares oder Beschädigung der Kryptochipkarte nicht wiederhergestellt werden können. Zu CPS der DFN-PCA: "6.3.2 Gültigkeit von Zertifikaten und Schlüsselpaaren" Die durch die TU Ilmenau CA ausgestellten Serverzertifikate haben standardmäßig eine Laufzeit von fünf Jahren, die Nutzerzertifikate von drei Jahren. Zu CPS der DFN-PCA: "7.1.2 Zertifikaterweiterungen" Alle von der TU Ilmenau CA ausgestellten Zertifikate werden mit Hilfe der Erweiterung "basicconstraints" mit dem Wert "CA=False" als nicht-ca-zertifikat markiert. CPS der TU Ilmenau CA Seite 5/5 V1.2