Technische Informationen zur Konfiguration der exceet Secure Solutions Produkte im Rahmen der Umstellung des signaturgesetzkonformen Zeitstempeldienst hin zu einem eidas konformen Vertrauensdienst 2016 exceet Secure Solutions AG Alle Rechte vorbehalten. Weitergabe und Vervielfältigung nur mit ausdrücklicher Genehmigung durch exceet Secure Solutions. exceet Secure Solutions AG Phone +49 211 43 69 89 0 Email info@exceet-secure-solutions.de Web www.exceet-secure-solutions.de
INHALTSVERZEICHNIS Über exceet Secure Solutions... 3 1 Einleitung... 5 1.1 Generelle Informationen zur eidas Verordnung... 5 2 Allgemeines... 7 2.1 SSL-Zertifikate... 7 3 Migration des Zeitstempeldienstes... 8 3.1 Zeitlicher Ablauf... 8 3.2 Schnittstellen / Webservice URLS... 8 3.3 Konfigurationsänderungen bei exceet Produkten... 9 3.3.1 AuthentiKit Java... 9 3.3.1.1 Anpassung des SSL-Zertifikates... 9 3.3.1.2 Anpassung der Service-URL... 9 3.3.2 AuthentiKit-C/C++... 10 3.3.2.1 Voraussetzungen... 10 3.3.2.1.1 AuthentiKit-C Downloads... 10 3.3.2.2 Anpassung des SSL-Zertifikates... 10 3.3.2.3 Anpassung der Service-URL... 10 3.3.3 SLMBC... 10 3.3.3.1 Voraussetzungen... 11 3.3.3.1.1 SLMBC Downloads... 11 3.3.3.2 URL des Zeitstempeldienstes... 11 3.3.3.3 Neue Zertifikate... 11 3.3.3.3.1 Trustanchor: exceet_trustcenter_ca1.cer... 12 3.3.3.3.2 CertificateCollection: exceet_tsa_01.cer und exceet_tsa_02.cer... 12 3.3.3.3.3 CertSelector... 12 3.3.3.4 OCSP Responder... 13 - Seite 2 von 13 -
Disclaimer 2016 exceet Secure Solutions AG. Alle Rechte vorbehalten. Vervielfältigung nur mit ausdrücklicher Genehmigung von exceet Secure Solutions. Alle genannten Marken sind Marken ihrer jeweiligen Eigentümer. Irrtümer, Änderungen und Verfügbarkeit bzgl. genannter Produkte, Leistungen, Eigenschaften und Nutzungsmöglichkeiten vorbehalten. exceet Secure Solutions übernimmt keine Gewähr für die Richtigkeit von Angaben Dritter über Eigenschaften, Leistungen und Verfügbarkeit. Im Zuge der Produktentwicklung behält sich exceet Secure Solutions das Recht vor, Änderungen an Produkten und Leistungen auch ohne vorherige Benachrichtigung vorzunehmen. Keine der Ausführungen und Darstellungen stellen eine Rechtsberatung dar oder dürfen in solcher Weise interpretiert werden. Im Fall von Abweichungen zu in diesem Dokument in Zusammenhang stehenden Vertragsdokumenten und allgemeinen Geschäftsbedingungen der exceet Secure Solutions sowie deren verbunden Unternehmen und Tochtergesellschaften, gehen die Vertragsdokumente bzw. allgemeinen Geschäftsbedingungen diesem Dokument stets vor. Über exceet Secure Solutions Die exceet Secure Solutions AG ist eine 100%ige Tochtergesellschaft der international agierenden exceet Group AG, einem Technologiekonzern, der sich auf die Entwicklung und Fertigung intelligenter, komplexer und sicherer Elektronik spezialisiert hat. Gestartet 2000, als Spezialist für die Absicherung elektronischer Geschäftsprozesse mit Hilfe von qualifizierten elektronischen Signaturen und Zeitstempel, liegt heute der Fokus des Unternehmens auf sicheren Lösungen in den Geschäftsbereichen M2M (Machine-to-Machine), IT Security und auf der besseren Vernetzung von Organisationen, z. B. durch Prozessoptimierung im Bereich der Telematik. Ergänzt wird das Angebot durch Hardware Security Modules (HSMs), PKI-Lösungen und Produkte und Services für Signaturen und Zeitstempel, inkl. Trust Center Betrieb. Erweiterung der Wertschöpfung exceet Secure Solutions schafft Lösungen, die insbesondere hohen Anforderungen an Qualität, Stabilität und vor allem Sicherheit gerecht werden. Dazu fungiert das Unternehmen als Komplettlösungsanbieter oder befähigt seine Kunden zur Umsetzung eigener Lösungen. Als Komplettlösungsanbieter beginnt die Umsetzung bereits bei der Nutzenanalyse, reicht über die Erstellung von IT Security Konzepten und endet - nach erfolgreicher Pilotierung - mit der Integration der Gesamtlösung in die bestehenden Prozesse. Als Tochterunternehmen eines innovativen Technologiekonzerns rundet die konzerninterne Produktion von benötigter Hardware das Leistungsspektrum ab. Lösungen für ein zukunftsfähiges Gesundheitswesen Aufgrund der umfangreichen Expertise liegt ein besonderer Schwerpunkt der exceet Secure Solutions im Gesundheitswesen. Bereits in der Vergangenheit realisierte das Unternehmen erfolgreich eine Vielzahl an Projekten im e-health Bereich. exceet Secure Solutions ist Lieferant für mehr als die Hälfte der deutschen Krankenkassen, deren Dienstleister, Krankenhäuser und Unikliniken und ist zudem intensiv am Aufbau der Telematikinfrastruktur im Rahmen des Online-Rollouts der neuen elektronischen Gesundheitskarte (egk) beteiligt. Demnach ist exceet Secure Solutions, neben den seit langem geltenden Vorschriften der Sozialgesetzgebung, auch mit den neuen Anforderungen, die sich aus der Einführung der elektronischen Gesundheitskarte ergeben, bestens vertraut. Qualifizierte Zeitstempel und Signaturen exceet Secure Solutions AG, vormals AuthentiDate International AG, wurde am 9. Nov. 2001 als erstes Unternehmen mit Schwerpunkt auf qualifizierte Zeitstempel von der Bundesnetzagentur als akkreditierter Zertifizierungsanbieter nach neuem deutschem Signaturgesetz und europäischen Richtlinien akkreditiert. Damit bieten die von exceet Secure Solutions AG gelieferten Zeitstempel für alle elektronischen - Seite 3 von 13 -
Daten den gesetzlich anerkannten höchsten Schutz und können auch international für rechtssichere elektronische Prozesse verwendet werden. exceet Secure Solutions ist Ihr Spezialist für: Machine-to-Machine-Kommunikation (M2M) IT Security Lösungen Lösungen im Bereich e-health Weitere Informationen unter www.exceet-secure-solutions.de. - Seite 4 von 13 -
1 Einleitung Am 30. Juni 2016 um 24:00 Uhr werden wir den bestehenden Betrieb des exceet Zeitstempeldienstes einstellen und durch unseren neuen, eidas-konformen Zeitstempeldienst etsa - exceet Timestamp Authority ersetzen. Damit entsprechen unsere Zeitstempel mit Wirkung zum 1. Juli 2016 den Vorgaben der neuen europäischen eidas-verordnung. Als von der Bundesnetzagentur akkreditierter qualifizierter Vertrauensdiensteanbieter ermöglicht die exceet Secure Solutions AG somit auch weiterhin einen sicheren Einsatz qualifizierter Zeitstempel für branchen- und länderübergreifend vertrauenswürdige elektronische Geschäftsprozesse. 1.1 Generelle Informationen zur eidas Verordnung In der Verordnung (EU) Nr. 910/2014 des europäischen Parlamentes und des Rates vom 23. Juli 2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG, im Folgenden kurz als eidas Verordnung bezeichnet, werden die Anforderungen an Vertrauensdienstleister für die Erzeugung und Prüfung von qualifizierten Zeitstempel definiert, siehe dazu http://eur-lex.europa.eu/legal-content/de/txt/pdf/?uri=celex:32014r0910&from=de Die Anforderungen verweisen dabei auf technische Spezifikationen des "European Telecommunications Standard Institute", kurz ETSI. Die für den Dienst relevanten technischen Spezifikationen sind: ETSI TS 119 401 - General Policy Requirements for Trust Service Providers ETSI TS 119 403 - Trust Service Provider Conformity Assessment - General requirements and guidance ETSI TS 119 421 - Policy and Security Requirements for Trust Service Providers issuing Time-Stamps Der Vertrauensdienstanbieter erstellt aus diesen Anforderungen ein Dokument, das "Timestamp Policy and Practice Statement" in dem er auf jede Anforderung aus den technischen Spezifikationen eingeht und beschreibt, wie die erforderliche Maßnahme umgesetzt wurde. Das Timestamp Policy and Practice Statement wird durch eine unabhängige Stelle, der sogenannten Conformity Assessment Body, auf Konformität zu den technischen Spezifikationen geprüft. Anschließend findet eine Umsetzungsprüfung statt, welche die technische und organisatorische Ablauforganisation überprüft. Aus den Überprüfungen resultieren Observation Reports sowie ein Conformity Assessment Report. Diese Berichte werden an die Supervisory Body übergeben, welche schlussendlich das Zertifikat ausstellt und einen Eintrag in der "Trusted Service Status List" vornimmt. Der Vertrauensdienstanbieter veröffentlicht schließlich das Timestamp Practice and Policy Statement, in unserem Falle auf folgender Webseite: http://www.exceet.ch/fileadmin/exceet/downloads/_ess/downloads/tsa_policy_and_practice_statement_exceet_1.5.pdf Des Weiteren veröffentlicht der Vertrauensdienstanbieter die während der Zeitstempelerstellung verwendeten Zertifikate, in unserem Falle sind diese unterhalb des Punktes Rechtliche - Seite 5 von 13 -
Dokumente auf http://www.exceet-secure-solutions.de/it-security/governance-risk-compliance/ zu finden. Hier befinden sich auf das bereits erwähnte TSA Policy and Prctice Statement als auch die dazugehörigen Geschäftsbedingungen (Terms and Conditions). Die Aufgaben der Supervisory Body werden in Deutschland von der Bundesnetzagentur wahrgenommen. - Seite 6 von 13 -
2 Allgemeines 2.1 SSL-Zertifikate SSL-Zertifikate sind X.509 Zertifikate und werden von einer Zertifizierungsstelle ausgestellt, welche wiederum ihr CA (X.509)-Zertifikat von einer weiteren Zertifizierungsstelle (CA) oder direkt von einer vertrauenswürdigen Wurzelinstanz (Root) ausgestellt bekommen hat. Die zugehörigen Zertifikate eines SSL-Zertifikates bis hin zu seinem Wurzelzertifikat werden als Zertifikatskette bezeichnet. Bei der Beantragung eines solchen Zertifikates wird auf dem jeweiligen Server (dem das SSL- Zertifikat zugeordnet werden soll) ein asymmetrisches Schlüsselpaar auf sicherem Wege erzeugt. Der private Schlüssel dieses Paares verbleibt in einer geschützten Umgebung auf dem Server. Der zugehörige öffentliche Schlüssel wird zusammen mit weiteren Serverinformationen an die CA gesendet, welche dann das SSL-Zertifikat für diesen Server ausstellt. Die komplette Zertifikatskette des SSL-Zertifikates wird nun bei jedem Verbindungsaufbau dem Anwender, bzw. der Applikation übergeben, damit diese entscheiden kann, ob diesem SSL-Zertifikat vertraut wird. Der Anwender oder die Applikation vertraut nun nicht explizit dem Zertifikat der Zertifizierungsstelle (CA) oder SSL-Zertifikat, sondern immer nur dem vertrauenswürdigen Wurzelzertifikat (Root). So existieren in gängigen Betriebssystemen und Internet-Browsern geschützte Bereiche, in denen diese Wurzelzertifikate abgelegt sind. SSL-Zertifikate werden nun im Zusammenhang mit dem Zeitstempeldienst der exceet Secure Solutions AG für zwei verschiedene Zwecke eingesetzt: - Zuerst einmal weist sich der Zeitstempelserver durch das SSL-Zertifikat als tsa.exceet.cloud aus. Da die Zuordnung dieses Servernamens zur exceet Secure Solutions AG durch die Zertifizierungsstelle bei der Beantragung des Zertifikates überprüft wurde, können sich Personen oder Programme sicher sein, mit dem richtigen Zeitstempelserver der exceet Secure Solutions AG zu kommunizieren. - Der durch das Zertifikat einem Rechner zugeordnete private Schlüssel wird indirekt zur Verschlüsselung der Kommunikationsnachrichten zwischen dem Zeitstempelserver und dem jeweiligem Benutzer oder Applikation eingesetzt. Hiermit wird die Unveränderbarkeit und die Authentizität der übertragenen Daten sichergestellt. Dieses SSL-Zertifikat steht in keinem technischen oder organisatorischen Zusammenhang mit den Zertifikaten und Schlüsseln, welche für die Ausstellung von qualifizierten Zeitstempeln der exceet Secure Solutions AG verwendet werden. - Seite 7 von 13 -
3 Migration des Zeitstempeldienstes Die im Folgenden beschriebenen Konfigurationen müssen für alle Clientanwendungen (exceet Secure Solutions-Produkte als auch eigene Applikationen) durchgeführt werden, die Zeitstempel nach eidas abrufen. 3.1 Zeitlicher Ablauf Der Zeitstempeldienst gemäß dem Signaturgesetz, im Folgenden auch als SigG Dienst bezeichnet, wird am 30.06.2016 23:59:59 Uhr abgeschaltet. Die Webservice Url https://hera.authentidate.de, über die der SigG Dienst erreichbar ist, wird ab dem 01.07.2016 00:00:00 auf den eidas konformen Vertrauensdienst umgelenkt. Kunden, die vertraglich zugestimmt haben, den eidas Dienst nutzen zu wollen, werden automatisch auf den neuen Dienst geschaltet, sie erhalten dann über die SigG Webservice Url eidas konforme Zeitstempel. Der eidas Dienst ist AB SOFORT unter der Webservice Url https://tsa.exceet.cloud erreichbar und kann bereits für TESTZWECKE verwendet werden. BITTE BEACHTEN SIE: Erst ab der Eintragung des eidas konformen Vertrauensdienst in der Trusted Service Status List am 01.07.2016 00:00:00 werden die ausgestellten Zeitstempel Rechtsgültigkeit haben! Die SigG Webservice Url wird am 13.07.2016 12:00 Uhr abgeschaltet und von da an wird der eidas Dienst nur noch via https://tsa.exceet.cloud erreichbar sein. 3.2 Schnittstellen / Webservice URLS Inhaltlich ist die neue Schnittstelle des eidas Dienstes abwärtskompatibel zu der Schnittstelle des SigG Dienstes. Es ändern sich jedoch die URLs als auch die IP Adressen, was in Firewall- bzw Proxykonfigurationen auf der Netzwerkseite beachtet werden muss: SigG Dienst Einstellung zum 30.06.2016 23:59:59 Uhr Webservice URL IP Adressen Beschreibung Verwendbar ab https://hera.authentidate.de 194.25.101.151 194.25.101.152 https://tsa.exceet.cloud 194.25.101.153 eidas Dienst formale Aufnahme zum 01.07.2016 00:00:00 Uhr Verwendbar bis 11/2001 13.07.2016 12:00 Uhr Endda- Kein tum Für Testzwecke ab sofort, für rechtsgültige eidas Zeitstempel ab dem 01.07.2016 00:00:00 Uhr - Seite 8 von 13 -
3.3 Konfigurationsänderungen bei exceet Produkten Im Folgenden werden die notwendigen Konfigurationsänderungen der exceet Software Produkte beschrieben. 3.3.1 AuthentiKit Java 3.3.1.1 Anpassung des SSL-Zertifikates Innerhalb Ihres Konfigurationsverzeichnisses, üblicherweise conf oder config, befindet sich die Datei 'crypt.prop'. In dieser Datei werden die vertrauenswürdigen Zertifikate für die Absicherung der SSL-Kommunikation angegeben. In der Datei 'crypt.prop' ist folgende Zeile zu finden, welche den Aufbau 'Eigenschaft = Eigenschaftswert' besitzt. Bitte kopieren Sie die bereitgestellte Datei 'Go- Daddy_CA_G2.pem in ihr Konfigurationsverzeichnis und tragen Sie den Dateinamen als Wert für den Parameter 'conn.server.certificates' in die Konfigurationsdatei 'crypt.prop' ein. Konkret sollte der Inhalt der Datei 'crypt.prop' folgendermaßen aussehen: conn.server.certificates = GoDaddy_CA_G2.pem Speichern Sie bitte die Datei. Je nach implementierter Funktionalität starten Sie nach der Änderung bitte Ihre Applikation neu. 3.3.1.2 Anpassung der Service-URL Innerhalb Ihres Konfigurationsverzeichnisses, üblicherweise conf oder config, befindet sich die Datei 'customer.prop'. In dieser Datei werden kundenspezifische Konfigurationen, wie Zugangsdaten und Serviceparameter angegeben. Bei bestehenden Konfigurationen muss für die Umstellung nur der Parameter server.url angepasst werden. Ihre Account-ID, Instanz-ID sowie ihr Zugangspasswort können Sie wie gewohnt weiter verwenden. In der Datei 'customer.prop' sind folgende Zeilen zu finden, welche den Aufbau 'Eigenschaft = Eigenschaftswert' besitzt. Konkret sollte der Inhalt folgendermaßen aussehen: customer.id = 'Account-ID' instance.id = 'Instanz-ID' customer.pwd = 'Zugangspasswort' server.url = https://tsa.exceet.cloud/comm/xmlrpcapiv2servlet conn.timeout = 0 proto.package = com.sun.net.ssl.internal.www.protocol ssl.provider = com.sun.net.ssl.internal.ssl.provider - Seite 9 von 13 -
3.3.2 AuthentiKit-C/C++ 3.3.2.1 Voraussetzungen Nur AuthentiKit-C ab Version 3.1.0 kann verwendet werden, ältere Versionen sind nicht mit dem eidas Dienst kompatibel. 3.3.2.1.1 AuthentiKit-C Downloads Wenden Sie sich für Zugangsdaten bitte an support@exceet.de 3.3.2.2 Anpassung des SSL-Zertifikates Innerhalb Ihres Konfigurationsverzeichnisses, üblicherweise conf oder config, befindet sich die Datei 'crypt.prop'. In dieser Datei werden die vertrauenswürdigen Zertifikate für die Absicherung der SSL-Kommunikation angegeben. In der Datei 'crypt.prop' ist folgende Zeile zu finden, welche den Aufbau 'Eigenschaft = Eigenschaftswert' besitzt. Bitte kopieren Sie die bereitgestellte Datei 'Go- Daddy_CA_G2.pem in ihr Konfigurationsverzeichnis und tragen Sie den Dateinamen als Wert für den Parameter 'conn.server.certificates' in die Konfigurationsdatei 'crypt.prop' ein. Konkret sollte der Inhalt der Datei 'crypt.prop' folgendermaßen aussehen: conn.server.certificates = GoDaddy_CA_G2.pem Speichern Sie bitte die Datei. Je nach implementierter Funktionalität starten Sie nach der Änderung bitte Ihre Applikation neu. 3.3.2.3 Anpassung der Service-URL Innerhalb Ihres Konfigurationsverzeichnisses, üblicherweise conf oder config, befindet sich die Datei 'customer.prop'. In dieser Datei werden kundenspezifische Konfigurationen, wie Zugangsdaten und Serviceparameter angegeben. Bei bestehenden Konfigurationen muss für die Umstellung nur der Parameter server.url angepasst werden. Ihre Account-ID, Instanz-ID sowie ihr Zugangspasswort können Sie wie gewohnt weiter verwenden. In der Datei 'customer.prop' sind folgende Zeilen zu finden, welche den Aufbau 'Eigenschaft = Eigenschaftswert' besitzt. Konkret sollte der Inhalt folgendermaßen aussehen: customer.id = 'Account-ID' instance.id = 'Instanz-ID' customer.pwd = 'Zugangspasswort' server.url = https://tsa.exceet.cloud/comm/xmlrpcapiv2servlet conn.timeout = 0 #proxyhost = 'Proxy-Server-Host' #proxyport = 'Proxy-Server-Port' #proxyuser = 'Proxy-Server-Benutzername' #proxypassword = 'Proxy-Server-Passwort' 3.3.3 SLMBC Zusammen mit dieser Anleitung haben Sie ein Archiv erhalten, das unteranderem drei Zertifikate enthält. exceet_trustcenter_ca1.cer exceet_tsa_01.cer exceet_tsa_02.cer Diese Zertifikate müssen nach \slmbc_path\server\persistentcache\certstore\exceet kopiert werden. Unter Umständen muss zuvor der Ordner exceet angelegt werden. - Seite 10 von 13 -
In der Konfigurationsdatei werden die Zugriffsinformationen zum Zeitstempeldienst definiert. Hier müssen einige Änderungen vorgenommen werden. 3.3.3.1 Voraussetzungen Nur SLMBC ab Version 4.0.6 kann verwendet werden, ältere Versionen sind nicht mit dem eidas Dienst kompatibel. 3.3.3.1.1 SLMBC Downloads Wenden Sie sich für Zugangsdaten bitte an support@exceet.de 3.3.3.2 URL des Zeitstempeldienstes Da sich die URL des Zeitstempeldienstes ändern wird, muss diese angepasst werden. Suchen Sie bitte in der Konfigurationsdatei nach folgender URL hera.authentidate.de und ersetzen Sie diese durch tsa.exceet.cloud. Bitte beachten Sie, dass hier mehrere Stellen angepasst werden müssen. 3.3.3.3 Neue Zertifikate Auch das Root-Zertifikat hat sich geändert und muss in der Konfigurationsdatei gewechselt werden. Dafür Suchen Sie am besten nach base64encodeddata und erneuern den dort enthaltenen String durch diesen: MIIDxTCCAq2gAwIBAgIBADANBgkqhkiG9w0BAQsFADCBgzELMAkGA1UEBhMCVVMxED AOBgNVBAgTB0FyaXpvbmExEzARBgNVBAcTClNjb3R0c2RhbGUxGjAYBgNVBAoTEUdv RGFkZHkuY29tLCBJbmMuMTEwLwYDVQQDEyhHbyBEYWRkeSBSb290IENlcnRpZmljYX RlIEF1dGhvcml0eSAtIEcyMB4XDTA5MDkwMTAwMDAwMFoXDTM3MTIzMTIzNTk1OVow gymxczajbgnvbaytalvtmrawdgydvqqiewdbcml6b25hmrmweqydvqqhewpty29 0dHNkYWxlMRowGAYDVQQKExFHb0RhZGR5LmNvbSwgSW5jLjExMC8GA1UEAxMoR28 grgfkzhkgum9vdcbdzxj0awzpy2f0zsbbdxrob3jpdhkglsbhmjccasiwdqyjkozih vcnaqebbqadggepadccaqocggebal9xygjx+lk09xvjgkp3gely6skde6bfiembo4tx 5oVJnyfq9oQbTqC023CYxzIBsQU+B07u9PpPL1kwIuerGVZr4oAH/PMWdYA5UXvl+TW2d E6pjYIT5LY/qQOD+qK+ihVqf94Lw7YZFAXK6sOoBJQ7RnwyDfMAZiLIjWltNowRGLfTshxgt Dj6AozO091GB94KPutdfMh8+7ArU6SSYmlRJQVhGkSBjCypQ5Yj36w6gZoOKcUcqeldHra enjakoc7xiid7s13mmuyfykmlnajwjwgrtdtwkj9useiciaf9n9t521ntyj2/lodyq7hfrvzo xbsdpanrstfcauaz4eccaweaaancmeawdwydvr0taqh/bauwaweb/zaobgnvhq8b Af8EBAMCAQYwHQYDVR0OBBYEFDqahQcQZyi27/a9BUFuIMGU2g/eMA0GCSqGSIb3D QEBCwUAA4IBAQCZ21151fmXWWcDYfF+OwYxdS2hII5PZYe096acvNjpL9DbWu7PdIxztD hc2gv7+aj1up2lsdeu9tfee8tteh6krtgx+rcukxgrklangpnon1rpn5+r5n9ss4uxnt3zje9 5kTXWXwTrgIOrmgIttRD02JDHBHNA7XIloKmf7J6raBKZV8aPEjoJpL1E/QYVN8Gb5DKj7Tj o2gtzlh4u/alqn83/b2gx2ykqoc16jdfu8wnjxzpkej17cupkf1855ej1usv2gdpolpavt K33sefOT6jEm0pUBsV/fdUID+Ic/n4XuKxe9tQWskMJDE32p2u0mYRlynqI4uJEvlz36hz1 - Seite 11 von 13 -
Die drei zuvor kopierten Zertifikate müssen ebenfalls in der Konfigurationsdatei hinterlegt werden. 3.3.3.3.1 Trustanchor: exceet_trustcenter_ca1.cer Suchen Sie dafür nach trustanchor und fügen Sie folgenden Block hinzu: <trustanchor> <certfile> <dp:uristoreddata>file:persistentcache/certstore/exceet/exceet_trustcenter_ca1.cer</dp:uristoreddata> </certfile> <qualified>true</qualified> <public>true</public> </trustanchor> 3.3.3.3.2 CertificateCollection: exceet_tsa_01.cer und exceet_tsa_02.cer Suchen Sie dafür nach hashedcertificatecollection und fügen Sie folgenden Block hinzu: <hashedcertificatecollection> <resourcename>exceet TSA</resourceName> <encodedcertificates> <dp:uristoreddata>file:persistentcache/certstore/exceet/exceet_tsa_01.cer</dp:uristoreddata> </encodedcertificates> <encodedcertificates> <dp:uristoreddata>file:persistentcache/certstore/exceet/exceet_tsa_02.cer</dp:uristoreddata> </encodedcertificates> </hashedcertificatecollection> 3.3.3.3.3 CertSelector Suchen Sie dafür nach certselector und fügen Sie folgenden Block hinzu: <certselector> <name>exceet-certs</name> <issuerstartswith>o=exceet Secure Solutions AG,C=DE</issuerStartsWith> </certselector> - Seite 12 von 13 -
3.3.3.4 OCSP Responder Unser zur Verfügung gestellter OCSP Responder muss ebenfalls in der Konfigurationsdatei ergänzt werden. Suchen Sie dafür nach certstatussource und fügen Sie folgenden Block hinzu: <certstatussource> <resourcename>ocsp exceet-certs</resourcename> <active>true</active> <certstatusresourcereference> <ocspresponder> <location> <remoteurl> <httpclientdef xmlns="http://authentidate.de/xml/ns/module/http/client"> <url>http://ocsp.exceet.cloud/ocsp</url> <timeoutmillis>30000</timeoutmillis> <config> <httpclientconfigref> <httpclientconfigdefid>defaulthttpaccessconfig</httpclientconfigdefid> </httpclientconfigref> </config> </httpclientdef> </remoteurl> </location> <substitutethisupdatebyproducedat>true</substitutethisupdatebyproducedat> <unknowninfoaction>regtp</unknowninfoaction> </ocspresponder> </certstatusresourcereference> <certselectorref>exceet-certs</certselectorref> <issuerstartswith>o=exceet Secure Solutions AG,C=DE</issuerStartsWith> </certstatussource> Speichern Sie bitte die Konfigurationsdatei ab und starten Sie den SLMBC neu. - Seite 13 von 13 -