Kapitel 13 Grafische Zusatzanwendungen Hier flgt eine Beschreibung aller grafischen Zusatzanwendungen, auf die über Java- Clients zugegriffen werden kann und die die Funktinalitäten vn i-effect sinnvll ergänzen. Keystre-Verwaltung mit dem i-effect Keymanager Für die Verwaltung des eigenen Schlüsselpaares und der Partnerzertifikate bietet sich das im Lieferumfang enthaltene Prgramm i-effect Keymanager an. i-effect Keymanager ist ein Prgramm zur Erstellung, Verwaltung und Prüfung vn Keystres, Schlüsseln, Zertifikaten, Zertifikatsanfragen und Rücknahme vn Zertifikaten. Es ist ein Open Surce Prgramm das unter der GNU GENERAL PUBLIC LICENSE steht und smit frei verwendet werden kann. Nach erflgreicher Installatin vn i-effect finden Sie i-effect Keymanager im Verzeichnis /i-effect/<versin>/crypt/tls unter dem Namen i-effectkeymanager.jar. In der Versin 1.1 bietet es flgende Funktinen: Erstellung, Laden, Speichern, Löschen und Knvertierung vn Keystres der Keystre-Einträgen Generierung vn DSA und RSA Schlüsselpaaren mit eigensignierten X.509 Zertifikaten Imprt vn X.509 Zertifikaten Imprt vn Schlüsselpaaren aus PKCS#12 (Public-Key Cryptgraphy Standards) Dateien Passwrtvergabe / Passwrtverwaltung für Schlüsselpaare und Keystre Detailanzeige vn im Keystre befindlichen Zertifikaten und Schlüsselpaaren Exprtfunktin für Keystre Einträge in mehrere Frmate Generierung vn Zertifikats Anfragen (CSRs) 865
i-effect Sftware-Lösung Starten des i-effect Keymanagers Da i-effect Keymanager ein Java-Prgramm ist, benötigen Sie auf dem System, vn dem aus Sie i-effect Keymanager starten, eine installierte Versin der Java Runtime Umgebung (JRE). Falls Sie keine Java Runtime Umgebung auf diesem System installiert haben und i-effect Keymanager als Keystre-Verwaltungsprgramm einsetzen möchten, laden Sie sich bitte vn http://java.sun.cm eine aktuelle Java Runtime herunter. Nachdem Sie diese erflgreich installiert haben, sllte sich i-effect Keymanager durch einen Dppelklick auf die Datei i-effectkeymanager.jar starten lassen. Öffnen des i-effect-keystre Den Standard-Keystre vn i-effect finden Sie im Verzeichnis /i-effect/<versin>/crypt unter dem Namen certificates.p12. Um diesen mit i-effect Keymanager zu öffnen, gehen Sie wie flgt vr: 1) File --> Open Keystre File...(Strg+O) 2) In dem zur Anzeige kmmenden Dialgfenster wechseln Sie bitte in das Verzeichnis /i-effect/<versin>/crypt. Wählen Sie die Datei certificates.p12 aus und bestätigen Sie den Dialg mit Öffnen. 3) Um den Keystre öffnen zu können müssen Sie zunächst das Passwrt des Keystre eingeben. Das Standardpasswrt des Keystre certificates.p12 ist: ieffect. 866 867
i-effect Sftware-Lösung 4) Nachdem Sie das Passwrt eingegeben und den Dialg mit OK bestätigt haben, werden die im Keystre certificates.p12 enthaltenen Einträge angezeigt: Bei den Einträgen handelt es sich um die Zertifikate vn: Cybertrust (Keystrealias: gte cybertrust glbal rt ) Deutsche Telekm (Keystrealias: deutsche telekm ca 4 (gte cybertrust glbal rt) menten GmbH (Keystrealias: as2.menten.cm) Diese drei im Keystre enthaltenen Zertifikate bilden eine Zertifikatskette (siehe Def. 1.9). Erstellung eines Schlüsselpaares 1) Um in einem Keystre ein Schlüsselpaar anzulegen verwenden Sie bitte Tls --> Generate Key Pair...(Strg + G) Flgendes Dialgfenster öffnet sich: 2) Wählen Sie RSA. aus. RSA DSA Das RSA-Kryptsystem ist ein asymmetrisches Kryptsystem, d.h. es verwendet verschiedene Schlüssel zum Ver- und Entschlüsseln. Es ist nach seinen Erfindern Rnald L. Rivest, Adi Shamir und Lenard Adleman benannt. Der Digital Signature Algrithm ist ein Standard der US-Regierung für Digitale Signatur. Nachdem Sie mit Ok Ihre Eingaben bestätigt haben, öffnet sich flgendes Fenster: 868 869
i-effect Sftware-Lösung 3) Tragen Sie hier nun Ihre Zertifikatsdetails ein und bestätigen Sie mit OK. Weiter unten finden Sie eine Erläuterung der Eingabefelder. Belassen Sie die Einstellung Signature Algrithm auf SHA1 with RSA. Im nächsten Dialg werden Sie nun dazu aufgefrdert dem eben generierten Schlüsselpaar einen Aliasnamen zu vergeben. 4) Die erflgreiche Schlüsselgenerierung wird Ihnen mit einem weiteren Dialg angezeigt. Bestätigen Sie diesen mit OK um wieder zum Hauptdialg zu gelangen. Wir empfehlen eine Schlüssellänge vn 2048 Bit und eine Gültigkeitsdauer vn 730 Tagen für das Schlüsselpaar zu verwenden. Erläuterung der Eingabefelder Signature Algrithm Der Algrithmus, der verwendet werden sll, um die Signatur zu errechnen. Validity (days) Anzahl der Tage, die das erstellte Zertifikat gültig ist. Cmmn Name (CN) Beim Imprtieren wird der CN als Aliasname für das Zertifikat vrgeschlagen. Viele CAs verlangen, dass als Cmmn Name der Dmainname verwendet werden muss, da dieser eindeutig ist. Falls Sie Ihr Zertifikat vn einer Certificate Authrity signieren lassen möchten, sllten Sie sich vr der Erstellung des Zertifikates über die Vrgaben infrmieren. Organisatin Unit (OU) Die Einheit (z. B. Filiale, Niederlassung) der Organisatin (z. B. Firma, Behörde). Dieses Feld sllte allerdings nur ausgefüllt werden, falls Ihre Organisatin mehr als eine Einheit besitzt. Organisatin Name (O) Der Name Ihrer Organisatin. Lcality Name (L) Der Sitz Ihrer Organisatin. State Name (ST) Der Name des Staates/Bundesland etc. in dem der Sitz Ihrer Organisatin ist. Cuntry (C) Das Land, in dem Ihre Organisatin ihren Sitz hat. Email (E) Die email-adresse Ihrer Organisatin. Ihr Keystre beinhaltet nun ein gültiges Schlüsselpaar: 870 871
i-effect Sftware-Lösung 5) Da Sie den Keystre um ein Schlüsselpaar ergänzt haben und smit den Keystre verändert haben, ist es nötig, die Änderungen im Keystre mittels File--> Save Keystre (Strg+S) zu speichern. Das erstellte Schlüsselpaar beinhaltet neben Ihrem privaten Schlüssel auch Ihren öffentlichen Schlüssel. Um mit Ihren Partnern verschlüsselte AS2-Nachrichten austauschen zu können, ist es nötig, Ihren Partnern Ihren öffentlichen Schlüssel zukmmen zu lassen. Ihren öffentlichen Schlüssel können Sie in Frm eines Zertifikates exprtieren, was im Verlauf dieser Dkumentatin nch weiter erklärt wird. Erstellung einer Zertifikatsanfrage (Certificate Request) Um Ihr Zertifikat vn einer höheren Instanz, einer sgenannten Zertifizierungsstelle (CA), signieren zu lassen, als damit Ihr eigenes Zertifikat beglaubigen zu lassen, müssen Sie eine Certificate request erstellen. Um dies zu tun, gehen Sie bitte flgendermaßen vr: 1) Bewegen Sie den Mauszeiger über den Eintrag Ihres Schlüsselpaares und drücken Sie die rechte Maustaste. In dem unten abgebildeten Kntextmenü wählen Sie den Menüpunkt Generate Certificatin Request. Es öffnet sich der unten abgebildete Speicherdialg. 2) Wählen Sie einen Ordner aus und vergeben Sie einen Namen für Ihr Certificate Request. Bitte beachten Sie dabei, dass Sie eine der beiden Dateiendungen mit angeben, die Ihnen unter Dateityp vrgeschlagen werden (*.p10 ; *.csr). Danach bestätigen Sie den Speicherdialg mit Generate. Um Ihr Zertifikat vn einer Certificate Authrity signieren zu lassen, müssen Sie abschließend die eben erstellte Datei an die Certificate Authrity Ihrer Wahl übertragen. Die Certificate Authrity wird Ihnen nach erflgreicher Validierung Ihrer Daten ein signiertes Zertifikat zurückschicken. Das vn der CA erhaltene Zertifikat muss nun wieder in Ihren Keystre imprtiert werden. 872 873
i-effect Sftware-Lösung Ihr Zertifikat können Sie nun zusammen mit dem Zertifikat der Certificate Authrity an Ihre Partner versenden. Ihr Zertifikat gilt smit als vertrauenswürdig, allerdings muss dazu das Zertifikat der Certificate Authrity, die Ihr Zertifikat signiert hat, im Keystre Ihres Partners vrhanden sein, bevr Ihr Zertifikat imprtiert wird. Exprt des eigenen Zertifikats Damit Sie mit Ihren Partnern unter Anwendung aller in AS2 zur Verfügung stehenden Sicherheitsmechanismen erflgreich Daten austauschen können, ist es ntwendig, Ihren Partnern Ihren öffentlichen Schlüssel in Frm eines Zertifikates zukmmen zu lassen. Um dieses Zertifikat mit Ihrem öffentlichen Schlüssel zu erhalten, müssen Sie es aus Ihrem Schlüsselpaar wie flgt exprtieren: 1) Bewegen Sie den Mauszeiger über Ihr Schlüsselpaar und betätigen Sie die rechte Maustaste. Flgendes Kntextmenü kmmt zur Anzeige: 2) Wählen Sie in diesem Kntextmenü bitte den Menüpunkt Exprt. Es öffnet sich flgendes Dialgfenster: 3) Ändern Sie das Exprt-Frmat vn DER Encded nach PEM Encded und bestätigen Sie mit OK, um Ihren öffentlichen Schlüssel als Zertifikat zu exprtieren. Es öffnet sich ein Dialgfenster zum Speichern eines Zertifikates. 4) Wählen Sie einen Ordner aus und vergeben Sie einen Namen für Ihr Zertifikat. Bitte beachten Sie dabei, dass Sie eine der beiden Dateiendungen mit angeben, die Ihnen unter Dateityp vrgeschlagen werden (*.cer ; *.crt). Danach bestätigen Sie den Speicherdialg mit Exprt. 874 875
i-effect Sftware-Lösung Imprt vn Partnerzertifikaten Um die Daten vn AS2-Nachrichten, die Sie an Ihre Partner schicken wllen, verschlüsseln zu können, ist es ntwendig, dass die Zertifikate, die den öffentlichen Schlüssel Ihres Partners enthalten, im Keystre enthalten sind. Um die Zertifikate Ihrer Partner in den Keystre zu imprtieren, gehen Sie bitte wie flgt vr.: 1) Tls --> Imprt Trusted Certificate...(Strg+T) Flgendes Kntextmenü kmmt zur Anzeige: 2) In dem flgenden Dialgfenster wechseln Sie bitte in das Verzeichnis, in dem Sie das Zertifikat Ihres Partners abgelegt haben. Wählen Sie es aus und bestätigen Sie das Dialgfenster mit Imprt. Bei der Imprtierung vn Zertifikaten können Ihnen zwei Situatinen begegnen: Es besteht zum einen die Möglichkeit, dass das Zertifikat, welches Sie imprtieren wllen, zwar Teil einer Zertifikatskette ist, das rt-zertifikat (siehe Def. 1.9), der vn dem Zertifikat abhängige Zertifikate, nicht in Ihrem Keystre vrhanden sind. In diesem Fall, swie wenn es sich um ein selbstsigniertes (hne CA Signatur) Zertifikat handelt, bekmmen Sie flgenden Hinweis vn i-effect Keymanager angezeigt: Dieser Hinweis beschreibt den ben erläuterten Sachverhalt ebenfalls. Um das Zertifikat Ihres Partners selbst zu validieren werden Ihnen, nachdem Sie den Dialg mit OK bestätigt haben, die Zertifikatsdetails angezeigt. Der flgende Screensht zeigt eine slche Detailanzeige. Anhand dieser Detailansicht können Sie das Zertifikat Ihres Partners selbst validieren, um später nach Bestätigung des Dialges mit OK zu entscheiden, b Sie diesem vertrauen der nicht. 876 877
i-effect Sftware-Lösung Wenn Sie dabei nun das ben abgebildete Dialgfenster mit Ja bestätigen, wird das Zertifikat, nachdem Sie im nächsten erscheinenden Dialgfenster einen Aliasnamen für das Zertifikat vergeben haben, im Keystre gespeichert. i-effect Keymanager wird Ihnen autmatisch den im Zertifikat unter CN (Cmmn Name) eingetragenen Namen als Aliasnamen für das Zertifikat vrschlagen. Sie können natürlich das Zertifikat unter dem vrgeschlagenen Namen der einem selbst gewählten Namen speichern. Den Aliasnamen können Sie jederzeit hne grßen Aufwand ändern. Die zweite Situatin, die Ihnen beim Imprtieren vn Zertifikaten begegnen kann, ist flgende: Falls das zu imprtierende Zertifikat vn einer CA signiert wrden ist und smit Teil einer Zertifikatskette werden Sie zu keiner Validierung der Zertifikatsdaten aufgefrdert, wenn das rt-zertifikat der CA und alle davn abhängigen Zertifikate in Ihrem Keystre enthalten sind. Den ben abgebildeten Bestätigungsdialg (Imprt Trusted Certificate) bekmmen Sie ebenfalls nicht angezeigt, da durch das Vrhandensein abhängiger Zertifikate in Ihrem Keystre die Vertauenskette (Certificate Chain) geschlssen ist und das Zertifikat smit autmatisch als vertrauenswürdig eingestuft wird. Ändern eines Aliasnamens 1) Um einen Aliasnamen eines im Keystre gespeicherten Zertifikates zu ändern gehen Sie wie flgt vr: Bewegen Sie den Mauszeiger über das Zertifikat, dessen Aliasnamen Sie ändern möchten und betätigen Sie die rechte Maustaste. Flgendes Kntextmenü kmmt zur Anzeige: 2) Nachdem Sie nun den Menüpunkt Rename ausgewählt haben, wird Ihnen das unten abgebildete Dialgfenster angezeigt. Tragen Sie hier bitte den neuen Aliasnamen ein und bestätigen Sie das Dialgfenster mit Ok. 878 879
i-effect Sftware-Lösung Erstellung eines neuen Keystres 1) Starten Sie i-effect Keymanager. Das unten abgebildete Fenster kmmt zur Anzeige: 2) Um einen neuen Keystre anzulegen, gehen Sie wie flgt vr: File --> New Keystre (Strg + N) Flgendes Dialgfenster öffnet sich: Flgende Keystre-Frmate werden unterstützt: JKS: Java Keystre (Sun Keystre Frmat) PKCS#12: Public-Key Cryptgraphy Standards #12 Keystre (RSA s Persnal Infrmatin Exchange Syntax Standard) JCEKS: Java Cryptgraphy Extensin Keystre (Mre secure versin f JKS) BKS: Buncy Castle Keystre (Buncy Castle s versin f JKS) UBER: Buncy Castle UBER Keystre (Mre secure versin f BKS) 3) Wählen Sie hier bitte das Keystre Frmat PKCS#12 aus und bestätigen Sie mit OK. Sie kmmen zurück zu dem Hauptfenster. Nun können Sie den neu angelegten Keystre speichern, indem Sie flgendermaßen vrgehen: File --> Save Keystre / Save Keystre (Strg + S) Sie werden dazu aufgefrdert, ein Passwrt für den neu angelegten Keystre zu vergeben. 4) Nachdem Sie hier das Passwrt eingegeben und bestätigt haben, können Sie den angelegten Keystre im Dateisystem Ihrer iseries speichern (Vergessen Sie hier bitte nicht, die Dateiendung entsprechend dem gewählten Keystre-Fmat mit anzugeben). Nach dem Speichern kehren Sie autmatisch zum Hauptfenster zurück. 880 881