Public key cryptography and the key certification needed to apply it will be a building block of confidential and authentic communication on the Internet and hence of its wide-spread use in research, commerce and everyday communication. To enable and promote the use of public key cryptography, especially among the members of the Freie Universität Berlin (FU Berlin), a concept is presented for the installation and subsequent operating of a public key certification authority (CA) for the FU.
The concept proposes the certification according to two slightly different sets of certification guidelines (policies) derived from the respective policies of the DFN PCA project, one with basic security requirements, the so-called "low-level policy", and one policy with enhanced security requirements, resulting in a "medium level" of security. The low-level certification may be performed mobile "on location" on the occasion of, e.g. events like the University’s summer fest, whereas the mediumlevel certification is allowed to take place only in-house in the rooms of the computer centre of the FU Berlin (ZEDAT) that will host the FU CA. This two-way strategy shall enable the CA to better promote itself and its services among the members of the university, as this is deemed essential for building a reputation, gaining the users’ trust and raising their awareness for the (in)security aspects involved with Internet communication.
For the certification process itself, a laptop computer running Linux as operating system is suggested due to the openness and more effective security features of this OS in comparison to the Windows variants available. To facilitate the build-up and initial operating of the FU CA, detailed to-do lists and step-by-step directions are given for some of the routine procedures in a CA.
In addition, the legal aspects of running a CA in Germany are briefly sketched, thereby concluding that it would not be possible to run the FU Berlin CA as a CA as described in the German Digital Signature Law (Signaturgesetz) due to the law’s high demands on physical, staff and organizational security measures which exceed the means the university could dedicate to this project.
Inhaltsverzeichnis
1 Motivation
2 Theoretische Grundlagen
2.1 Public-Key-Verschlüsselung
2.2 Digitale Signaturen
2.3 Zertifizierungsstellen
2.4 Public-Key-Zertifikate
2.4.1 Funktion
2.4.2 Allgemeiner Aufbau
2.5 Widerrufslisten
2.6 Zertifizierungsrichtlinien („Policy“)
2.6.1 Zweck einer Policy
2.6.2 Beispiele
3 Public-Key-Zertifizierung in der Praxis
3.1 Rechtlicher Rahmen
3.1.1 Gesetz zur digitalen Signatur
3.1.2 Verordnung zur digitalen Signatur
3.1.3 EU-Richtlinie zu Rahmenbedingungen elektronischer Signaturen
3.1.4 Datenschutz
3.2 Gebräuchliche Zertifikat-Formate
3.3 Zertifizierungsstellen-Software
3.3.1 X.509
3.3.2 PGP
3.4 Zertifizierungsstellen in Deutschland
3.4.1 Nichtkommerzielle CAs
3.4.2 Kommerzielle CAs
3.5 Forschungs- und Pilotprojekte
3.5.1 Pilotprojekte in Deutschland
3.5.2 EU-Projekte
4 Konzept für die FU-Zertifizierungsstelle
4.1 Entwurfsziel
4.2 Outsourcen oder Do-it-yourself?
4.3 Überblick
4.4 Begründung
4.4.1 Warum zwei Policies?
4.4.2 Warum ein unvernetzter Zertifizierungsrechner?
4.4.3 Warum ein mobiler Zertifizierungsrechner?
4.5 Low-Level CA
4.6 Medium-Level CA
4.7 Bedrohungen und Gegenmaßnahmen
4.8 Die Zertifizierungsrichtlinien
4.8.1 Welche Algorithmen sollen unterstützt werden?
4.8.2 Separate Signier- und Entschlüsselungsschlüssel
4.8.3 Schlüssellängen
4.8.4 Zulässige Benutzerkennungen
4.8.5 Prüfung der Mailadresse
4.8.6 Proof of Possession
4.8.7 Gültigkeitsdauer
4.8.8 Sperrung von Zertifikaten
4.8.9 Re-Zertifizierung
4.8.10 Key-Rollover
4.8.11 Gruppenschlüssel
4.8.12 Pseudonyme oder anonyme Zertifikate
4.8.13 Gebühren
4.8.14 Einbindung in die DFN-Zertifizierungshierarchie
4.8.15 Nachgeordnete Zertifizierungsstellen
4.8.16 Wo kann oder sollte von den DFN-Policies abgewichen werden?
4.8.17 Unterschiede zwischen der Low- und der Medium-Level FU-CA-Policy
4.9 X.509-Zertifizierung
4.10 Erstellung einer X.509-FU-CA-Policy
4.11 Datensicherung
4.12 Arbeitsorganisation
4.12.1 Mehr-Augen-Prinzip
4.12.2 Zurechenbarkeit
4.12.3 Urlaubs-/Krankheitsvertretung
4.12.4 Ausscheiden eines Mitarbeiters
4.13 Qualitatssicherung (der Sub-CAs)
4.14 Dokumentation
4.14.1 Liste nachgeordneter Zertifizierungsstellen
4.14.2 Liste der Registrierungsstellen
4.14.3 Installations- und Bedienungsanleitungen
4.14.4 Lokalisierung (Sprachanpassung)
4.14.5 Leitfäden für die Zertifizierung
4.14.6 Hinweise zum Schutz des Private-Keys
4.14.7 Key-Signing-Parties
4.15 Software-Pflege (FTP-Server)
4.15.1 Anwendungssoftware
4.15.2 Server-Software
4.15.3 CA-Software (für Sub-CAs)
4.16 Außendarstellung der CA
4.16.1 Benennung: ‘CA’ vs. ‘Trustcenter’
4.16.2 Vertrauen
4.16.3 WWW-Präsenz
4.16.4 Erreichbarkeit der CA als Einrichtung
4.16.5 Verteilung des authentischen CA-Signierschlüssels
4.16.6 Vorträge
4.16.7 Zertifizierung vor Ort
4.16.8 Mails an zertifizierte Nutzer
4.17 Cross-Zertifizierung
4.18 Kooperationsmöglichkeiten
4.18.1 Registrierungsstellen oder nachgeordnete CAs
4.18.2 Uni-Verwaltung
4.18.3 Externe Projekte und Einrichtungen
4.19 Rechtliche Aspekte des CA-Betriebs
4.19.1 Krypto-Kontroverse
4.19.2 Haftung
4.19.3 Versicherungsschutz
4.19.4 Möglichkeit zu SigG-konformer Arbeit
4.19.5 Beweiswert nicht SigG-konformer Signaturen
4.19.6 Exportkontrolle
4.20 Entwicklungsperspektiven
4.20.1 Fortschreibung und Anpassung der Policies
4.20.2 Verlagerung des Schwerpunktes der Arbeit in der Zertifizierungsstelle
4.20.3 Ausbaustufen
4.20.4 Zertifizierungs-Hardware
4.20.5 Neue Anwendungen im Zusammenhang mit Public-Key-Verfahren
5 Praktische Umsetzung des CA-Konzeptes
5.1 Zertifizierungsplattform
5.1.1 Der Zertifizierungsrechner
5.1.2 Betriebssystem
5.1.3 Zertifizierungssoftware
5.1.4 Speichermedium für den geheimen Signierschlüssel
5.2 Vorgehen bei Einrichtung der CA (“Build”)
5.2.1 Auswahl und Beschaffung der Hardware
5.2.2 Beschaffung der Software
5.2.3 Hardware-Vorbereitungen
5.2.4 Installation des Betriebssystems
5.2.5 Tests vor der Inbetriebnahme
5.2.6 Das Jahr2000-Problem
5.2.7 Einrichten der Benutzerbereiche
5.2.8 Installation der CA-Tools
5.2.9 Schlüsselerzeugung für die CA
5.2.10 Vorbereitung der CA-Mitarbeiter
5.2.11 Vorbereitung der ZEDAT-Mitarbeiter (Schulung)
5.2.12 Einbindung in die ZEDAT-Infrastruktur
5.2.13 Interne Probeläufe
5.2.14 Policy-Verabschiedung und -Bekanntgabe
5.2.15 Zertifizierung durch die DFN-PCA
5.3 PR-Anlässe
5.4 Betrieb der CA (“Run”)
5.4.1 Beispiel-Szenarien
5.4.2 Objekt-Lebenszyklen
5.4.3 Terminsachen
5.4.4 Step-by-Step-Anleitungen
5.4.5 Notfallpläne
5.5 Stolpersteine
6 Fazit
6.1 Ausblick
6.1.1 Absehbare technische Entwicklung
6.1.2 Auslaufen des DFN-PCA-Projektes
6.1.3 Erweiterung des Aufgabenfeldes der FU-CA
6.2 Zusammenfassung
Zielsetzung und Themen
Die vorliegende Diplomarbeit entwickelt ein detailliertes Konzept für die Einrichtung und den Betrieb einer Zertifizierungsstelle (Certification Authority, CA) an der Freien Universität Berlin. Das primäre Ziel ist es, den Angehörigen der Universität eine verlässliche Infrastruktur für die Authentifizierung und sichere Kommunikation via Public-Key-Infrastruktur (PKI) bereitzustellen und gleichzeitig das Bewusstsein für die Relevanz von Datensicherheit und Verschlüsselung im wissenschaftlichen und universitären Kontext zu schärfen.
- Grundlagen der Public-Key-Kryptographie und der digitalen Signatur
- Rechtliche Rahmenbedingungen und geltende Standards (wie X.509 und PGP) für Zertifizierungsstellen in Deutschland
- Konzeption eines zweistufigen Sicherheitsmodells (Low-Level und Medium-Level Security Policy)
- Technische Anforderungen an die Zertifizierungsplattform (z. B. Einsatz von Linux, mobilen Rechnern und Krypto-Hardware)
- Organisatorische Abläufe wie Registrierung, Schlüsselprüfung und Notfallmanagement
Auszug aus dem Buch
4.2 Outsourcen oder Do-it-yourself?
Um die Größenordnung besser einschätzen zu können, um die es (zumindest in der Perspektive einer breiten Anwendung von Public-Key-Verfahren) bei dem zu erstellenden CA-Konzept geht, vorab einige Daten zur Freien Universität Berlin und zu ihrem Rechenzentrum, der ZEDAT (Quellen: [Fre99, Pre98]):
Viele Unternehmen würden in dieser Situation einen entsprechenden Auftrag an Dienstleister vergeben oder zumindest versuchen abzuschätzen, ob es günstiger ist, ein solches Projekt mit Hilfe externer Fachleute durchzuführen oder es doch besser mit eigenen Mitteln zu realisieren.
Es gibt inzwischen erste Praxisbeispiele, welche Kosten einzelnen Unternehmen bei der Einführung einer Public-Key-Infrastruktur entstanden sind: Über einen Zeitraum von fünf Jahren kommen bei 5.000 Nutzern gut 100 Dollar pro User [Mac98] zusammen. Andere Studien nennen zwischen 400.000 und 1,6 Millionen DM [Net98] für die gleiche Anzahl von Zertifizierungen und den gleichen Zeitraum.
An diesen Summen wird deutlich, daß es für die FU Berlin kaum zu finanzieren wäre, wenn sie diese Dienstleistung out-sourcen würde und tatsächlich ein großer Teil der Studenten oder auch nur der Rechenzentrumsnutzer Gebrauch von einer Zertifizierungsmöglichkeit machen würde.
Eine Inhouse-Lösung hätte einen weiteren, nicht unerheblichen Vorteil: Durch die Verknüpfung von Rechenzentrum und Zertifizierungsstelle könnte Know-How erworben und könnten Synergieeffekte genutzt werden für alle anderen (Netzwerk-)Bereiche, in die jetzt oder in Zukunft ebenfalls Public-Key-Verfahren Einzug halten werden.
Zusammenfassung der Kapitel
Kapitel 1: Beschreibt die grundlegende Motivation für die Arbeit und die Notwendigkeit von Verschlüsselung im E-Mail-Verkehr.
Kapitel 2: Erläutert die theoretischen Grundlagen von Public-Key-Verfahren, digitalen Signaturen und Zertifizierungsstellen.
Kapitel 3: Bietet eine Bestandsaufnahme der aktuellen rechtlichen Situation und technischer Standards für Zertifizierungen in Deutschland.
Kapitel 4: Präsentiert das eigentliche Konzept für eine Zertifizierungsstelle an der Freien Universität Berlin inklusive Policies und Anforderungen.
Kapitel 5: Detailliert die praktische Implementierung der Zertifizierungsplattform, von der Hardware-Auswahl bis zu den Betriebs- und Notfallplänen.
Kapitel 6: Zieht ein Fazit und wagt einen Ausblick auf zukünftige Entwicklungen im Bereich der Public-Key-Infrastrukturen.
Schlüsselwörter
Public-Key-Kryptographie, Digitale Signatur, Zertifizierungsstelle, Certification Authority, FU Berlin, ZEDAT, PGP, X.509, Datensicherheit, IT-Sicherheit, Signaturgesetz, Schlüsselverwaltung, PKI, Identitätsprüfung, Sicherheits-Policy
Häufig gestellte Fragen
Worum geht es in dieser Diplomarbeit grundsätzlich?
Die Arbeit entwirft ein umfassendes Konzept für den Aufbau und den Betrieb einer eigenen Zertifizierungsstelle an der Freien Universität Berlin.
Was sind die zentralen Themenfelder der Arbeit?
Die Schwerpunkte liegen auf den technischen Grundlagen, der rechtlichen Bewertung, der Sicherheits-Policy sowie der praktischen Implementierung im Rechenzentrum.
Was ist das primäre Ziel der Arbeit?
Ziel ist es, den Universitätsangehörigen eine sichere Möglichkeit zur digitalen Authentifizierung und verschlüsselten Kommunikation mittels Public-Key-Verfahren zu bieten.
Welche wissenschaftliche Methode wird in der Arbeit verwendet?
Die Arbeit basiert auf einer fundierten Literaturanalyse bestehender technischer Standards, rechtlicher Vorgaben sowie einer praxisorientierten Konzeptionsmethode unter Einbeziehung von Bestandsaufnahmen vor Ort.
Welche Inhalte werden im Hauptteil behandelt?
Der Hauptteil erarbeitet ein zweistufiges Sicherheitsmodell (Low-Level und Medium-Level) für die Zertifizierungsstelle, beschreibt die notwendige Hardware-Plattform und detailliert die organisatorischen Arbeitsabläufe.
Welche Schlüsselwörter charakterisieren die Arbeit?
Wichtige Begriffe sind Public-Key-Kryptographie, Zertifizierungsstelle, Signaturgesetz, PGP, X.509 und IT-Sicherheits-Policy.
Warum wird PGP als primärer Schwerpunkt gewählt?
PGP wurde aufgrund seiner hohen Verbreitung unter den Universitätsangehörigen und der bereits bestehenden Nachfrage für diese Art der Verschlüsselung ausgewählt.
Warum wird Linux als Betriebssystem für den Zertifizierungsrechner empfohlen?
Linux wird aufgrund seiner Stabilität, der Verfügbarkeit des Quellcodes und der effektiven Sicherheitsfeatures im Vergleich zu kommerziellen Systemen als idealer Kandidat angesehen.
- Quote paper
- Ingmar Camphausen (Author), 1999, Entwurf eines Konzepts für eine Zertifizierungsstelle für die Freie Universität Berlin, Munich, GRIN Verlag, https://www.grin.com/document/58
