Signtrust CPS Signtrust CERT 1 3 - Deutsche Post€¦ · Version: 1.3 Stand: 01.07.2014 Status: Zur Freigabe . Deutsche Post Signtrust und DMDA GmbH - b - Handbücher und Software

Deutsche Post Signtrust und DMDA GmbH

- a -

Certification Practice Statement (CPS) für Class2- und Class3-Zertifikate der Produktlinie

Signtrust CERT

Zertifizierungsdiensteanbieter Deutsche Post Signtrust und DMDA GmbH

Version: 1.3

Stand: 01.07.2014

Status: Zur Freigabe


- b -

Handbücher und Software sind urheberrechtlich geschützt und dürfen nicht ohne schriftliche Genehmigung der Deutsche Post Signtrust und DMDA GmbH kopiert, vervielfältigt, gespeichert, übersetzt oder anderweitig reproduziert werden. Dies

gilt sinngemäß auch für Auszüge. Alle Rechte bleiben vorbehalten.

Deutsche Post Signtrust und DMDA GmbH ist berechtigt, ohne vorherige Ankündigungen Änderungen vorzunehmen oder die Dokumente/ Software im Sinne des technischen Fortschritts weiterzuentwickeln.

Irrtümer vorbehalten. Warennamen werden ohne Gewährleistung der freien Verwendbarkeit benutzt.

Alle Waren- und Produktnamen sind Warenzeichen oder eingetragene Warenzeichen der jeweiligen Eigentümer.

Bei der Zusammenstellung von Texten und Abbildungen wurde mit größter Sorgfalt vorgegangen. Trotzdem können Fehler nicht vollständig ausgeschlossen werden. Verbesserungsvorschläge und Hinweise auf Fehler sind willkommen. Zu diesem Zweck befindet sich ein Formular am Ende dieses Handbuches. Sollte es fehlen, richten Sie bitte Ihre Anmerkungen an:

© 2014 Deutsche Post Signtrust und DMDA GmbH

Charles-de-Gaulle-Str. 20 53113 Bonn

Tel.: 0228-182-0 Fax: 06151 908-8530

Inhaltsverzeichnis 1 Einleitung 7

1.1 Überblick 7 1.1.1 Signtrust CERT 7

1.2 Zielsetzung 7 1.3 Dokumentidentifikation 7 1.4 Teilnehmer und Instanzen 8

1.4.1 Zertifizierungsdienst und -instanzen 8 1.4.2 Registrierungsinstanz 9

1.4.2.1 Class3 9 1.4.2.2 Class2 9

1.4.3 Zertifikatserwerber 9 1.4.3.1 Corporate CA 9 1.4.3.2 Trusted Third Party CA 10

1.4.4 Zertifikatsinhaber 10 1.4.5 Sonstige Teilnehmer 10

1.5 Verwendung von Zertifikaten 10 1.5.1 Vorgesehene Verwendung der Zertifikate 10 1.5.2 Nicht vorgesehene Verwendung der Zertifikate 10

1.6 Policy-Verwaltung 11 1.6.1 Organisation für die Verwaltung dieses Dokuments 11 1.6.2 Kontakt 11 1.6.3 Anerkennung anderer CPS 11

2 Bekanntmachung und Verzeichnisdienst 12 2.1 Verzeichnisdienst 12

2.1.1 Zentraler Verzeichnisdienst 12 2.1.2 Auskunftsdienst für den Zertifikatsstatus 12

2.2 Veröffentlichung von Informationen der PKI-Instanzen 12 2.3 Häufigkeit und Zyklen für Veröffentlichungen 12 2.4 Zugriffskontrolle auf Verzeichnisse 13

3 Identifizierung und Authentisierung 14 3.1 Namensgebung 14

3.1.1 Namenstypen 14 3.1.2 Pseudonyme für Zertifikatsinhaber 14 3.1.3 Eindeutigkeit von Namen 15 3.1.4 Erkennung und Authentisierung von geschützten Namen 15

3.2 Erstmalige Registrierung 15 3.2.1 Schlüssel- und Zertifikatserzeugung 15 3.2.2 Antragsprüfung Organisationsangaben 15 3.2.3 Antragsprüfung Personenangaben 15

3.2.3.1 Class3 15 3.2.3.2 Class2 15

3.3 Sperrung eines Zertifikats 16

4 Anforderungen an den Lebenszyklus des Zertifikats 17 4.1 Antragstellung auf Zertifizierung 17 4.2 Antragsbearbeitung 17

4.2.1 Durchführung der Identifikation 17 4.2.2 Annahme bzw. Ablehnung eines Antrags 17

4.3 Zertifikatserstellung 17 4.3.1 Tätigkeit des Zertifizierungsdienstes 17 4.3.2 Benachrichtigung des Zertifikatsinhabers 17

4.4 Zertifikatsübergabe und -annahme 17 4.4.1 Zertifikats- und PIN-Übergabe 17

4.4.1.1 Class3 17 4.4.1.2 Class2 18


- 4 -

4.4.2 Veröffentlichung des Zertifikats 18 4.4.3 Benachrichtigung anderer Stellen, Organisationseinheiten o.ä. 18

4.5 Nutzung des Schlüsselpaares und des Zertifikates 18 4.6 Zertifikatsverlängerung 18 4.7 Schlüsselerneuerung von Zertifikaten 18 4.8 Modifizierung eines Zertifikats 18 4.9 Sperrung und Suspendierung von Zertifikaten 19 4.10 Auskunftsdienst über den Zertifikatsstatus 19 4.11 Kündigung eines Zertifikats 19 4.12 Treuhänderische Schlüsselhinterlegung 19

5 Physikalische, organisatorische und personelle Sicherheitsmaßnahmen 20

5.1 Physikalische Sicherheitsmaßnahmen 20 5.1.1 Lage und Aufbau des Standortes 20 5.1.2 Zugangskontrolle 20 5.1.3 Stromversorgung und Klimakontrolle 20 5.1.4 Schutz vor Wasserschäden 20 5.1.5 Brandschutz 20 5.1.6 Aufbewahrung von Datenträgern 20 5.1.7 Abfallentsorgung 20

5.2 Organisatorische Sicherheitsmaßnahmen 21 5.2.1 Sicherheitskritische Rollen 21 5.2.2 Anzahl benötigter Personen bei sicherheitskritischen Aufgaben 21 5.2.3 Identifikation und Authentisierung von Rollen 21 5.2.4 Trennung von Rollen und Aufgaben 21

5.3 Personelle Sicherheitsmaßnahmen 21 5.3.1 Anforderungen an Qualifikation und Erfahrung 21 5.3.2 Sicherheitsüberprüfungen des Personals 22 5.3.3 Anforderungen an die Schulung 22 5.3.4 Wiederholungen der Schulungen 22 5.3.5 Job-Rotationen 22 5.3.6 Sanktionen bei unzulässigen Handlungen 22 5.3.7 Vertragsbedingungen mit dem Personal 22

5.4 Protokollierung sicherheitskritischer Ereignisse 22 5.5 Archivierung von Protokolldaten 22 5.6 Wiederanlauf nach Katastrophen 23

5.6.1 Notfallprozeduren 23 5.6.2 Wiederherstellung nach Kompromittierung von Ressourcen 23 5.6.3 Kompromittierung von Schlüsseln des Zertifizierungsdienstes 23 5.6.4 Notbetrieb im Katastrophenfall 23

5.7 Einstellung des Zertifizierungsdienstes 23

6 Technische Sicherheitsvorkehrungen 24 6.1 Erzeugung und Installation von Schlüsselpaaren 24

6.1.1 Erzeugung von Schlüsselpaaren 24 6.1.2 Übergabe öffentlicher Schlüssel an die Zertifizierungsinstanz 24 6.1.3 Übergabe des Schlüsselpaars an die Schlüsselbenutzer 24 6.1.4 Schlüssellängen 24

6.2 Schutz der privaten Schlüssel und der kryptographischen Module 24 6.2.1 Standards und Schutzmechanismen der kryptographischen Module

Die eingesetzten HSMs wurden mindestens nach FIPS-140 Level 3 zertifiziert. 24

6.2.2 Aufteilung der Kontrolle über private Schlüssel auf mehrere Personen 24 6.2.3 Treuhänderische Hinterlegung privater Schlüssel 24


- 5 -

6.2.4 Sicherung und Wiederherstellung privater Schlüssel 24 6.2.5 Archivierung privater Schlüssel 25 6.2.6 Speicherung privater Schlüssel 25

6.3 Weitere Aspekte der Schlüsselverwaltung 25 6.3.1 Archivierung öffentlicher Schlüssel 25 6.3.2 Verwendungsdauern von Zertifikaten und Schlüsselpaaren 25

6.4 Aktivierungsdaten 25 6.4.1 Erzeugung und Installation von Aktivierungsdaten 25 6.4.2 Schutzmaßnahmen für Aktivierungsdaten 25

6.5 Sicherheitsbestimmungen für Computer 25 6.5.1 Spezifische Sicherheitsanforderungen für Computer 25 6.5.2 Bewertung der Computersicherheit 26

6.6 Technische Kontrollen des Software-Lebenszyklus 26 6.6.1 Sicherheitsmaßnahmen bei der Systementwicklung 26 6.6.2 Sicherheitsmanagement 26 6.6.3 Bewertung der Maßnahmen zur Kontrolle des Lebenszyklus 27

6.7 Maßnahmen zur Netzwerksicherheit 27 6.8 Zeitstempel 27

7 Profile 28 7.1 Zertifikatsprofile 28

7.1.1 Versionsnummer 28 7.1.2 Erweiterungen 28 7.1.3 OID für kryptographische Algorithmen 28 7.1.4 Namensformen 28 7.1.5 Namensform-Einschränkungen 28

8 Revision und andere Bewertungen 29 8.1 Häufigkeiten von Revisionen 29 8.2 Identität und Qualifikation des Revisors 29 8.3 Beziehungen zwischen Revisor und zu untersuchender Partei 29 8.4 Umfang der Prüfung 29 8.5 Maßnahmen bei Mängeln 29 8.6 Veröffentlichung der Ergebnisse 29

9 Weitere geschäftliche und rechtliche Regelungen 30 9.1 Preise 30 9.2 Vertraulichkeit betrieblicher Informationen 30

9.2.1 Art der geheim zu haltenden Information 30 9.2.2 Öffentliche Informationen 30

9.3 Vertraulichkeit personenbezogener Informationen 30 9.3.1 Geheimhaltung 30 9.3.2 Vertrauliche personenbezogene Daten 30 9.3.3 Nicht geheime Informationen 30 9.3.4 Verantwortlichkeit für den Schutz privater Informationen 30 9.3.5 Einverständniserklärung zur Nutzung privater Informationen 31 9.3.6 Weitergabe von Informationen an Ermittlungsinstanzen oder

Behörden 31 9.4 Geistiges Eigentum 31 9.5 Haftung des Zertifizierungsdiensteanbieters 31 9.6 Pflichten des Zertifikatsinhabers 31 9.7 Gültigkeit des CPS 31

9.7.1 Gültigkeitszeitraum 31 9.7.2 Vorzeitiger Ablauf der Gültigkeit 31

9.8 Kommunikation mit den Teilnehmern 31 9.9 Änderungen/Ergänzungen des CPS 31


- 6 -

9.9.1 Verfahren für die Änderung/Ergänzung des CPS 31 9.9.2 Benachrichtigungsverfahren und Veröffentlichungsperioden 32 9.9.3 OID-Änderungsbedingungen 32

9.10 Anwendbares Recht 32 9.11 Sonstige Bestimmungen 32

9.11.1 Schriftlichkeitsgebot 32 9.11.2 Übertragung 32


- 7 -

1 Einleitung

1.1 Überblick Das Deutsche Post Signtrust und DMDA GmbH betreibt als akkreditierter Zertifizierungsdiensteanbieter (ZDA) einen signaturgesetzkonformen Zertifizierungsdienst (ZD) für qualifizierte elektronische Zertifikate. Darüber hinaus werden auch Zertifikate herausgegeben die nicht unter die Akkreditierung fallen.

Das Ziel der vorliegenden Zertifizierungsrichtlinie besteht darin, die Umsetzung der Beantragung, Generierung, Auslieferung und Verwaltung von Software-Zertifikaten derart festzulegen, dass eine sichere und zuverlässige Durchführung der angebotenen Zertifizierungsdienstleistungen sowie der Anwendung der ausgegebenen Zertifikate gewährleistet ist.

Eine Zertifizierungsrichtlinie gibt Auskunft über die Praktiken der Zertifizierungsstellen zur Herausgabe von Zertifikaten. Sie dient dazu, die Praktiken intern zu fixieren und den Anwendern die Vorgehensweise der Zertifizierungsstelle zu erläutern. Somit können sich die Anwender ein Bild von den vorhandenen Sicherheitsmaßstäben machen.

Die Gliederung dieses Dokuments orientiert sich an dem internationalen Standard für Zertifizierungsrichtlinien (RFC 3647 Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework) der Internet Society.

1.1.1 Signtrust CERT

Die Ausgabe der Signtrust CERT-Zertifikate beruht auf den Vorgaben des Signaturgesetzes. Ein solches Zertifikat kann an jeden ausgegeben werden, der die Anforderungen erfüllt.

Ein Schlüsselpaar, dessen öffentlicher Schlüssel mittels eines Signtrust CERT-Zertifikats einer Person zugeordnet wurde, kann für verschiedene Zwecke eingesetzt werden:

• für die elektronische Signatur

• zur Verschlüsselung von Daten

• zur elektronischen Authentifizierung

1.2 Zielsetzung Nach [RFC 3647] legt das „Certification Practice Statement“ (CPS) die Praktiken dar, die ein Zertifizierungsdienst bei der Ausgabe der Zertifikate anwendet. Dem entsprechend beschreibt dieses Dokument das Vorgehen des Zertifizierungsdiensteanbieters Deutsche Post Signtrust und DMDA GmbH bei der Beantragung, Generierung, Auslieferung und Verwaltung der von ihm erzeugten Signtrust CERT-Zertifikate.

1.3 Dokumentidentifikation Bezeichnung des Dokuments: Certification Practice Statement (CPS) für Class2- und Class3-

Zertifikate der Produktlinie Signtrust CERT, Zertifizierungsdiensteanbieter Deutsche Post Signtrust und DMDA GmbH, Version 1.3 vom 01.07.2014


- 8 -

Der ASN.1 Object Identifier (OID) für dieses Dokument ist 1.3.18.9.2.2.2.1 Die letzte Ziffer steht dabei für die volle Stelle (vor dem Punkt) der Versionsnummer.

1.4 Teilnehmer und Instanzen

1.4.1 Zertifizierungsdienst und -instanzen

Der Zertifizierungsdienst im Sinne dieses CPS sind die technischen Einrichtungen und organisatorischen Einheiten, mit denen die Deutsche Post Signtrust und DMDA GmbH die Zertifikate ausstellt. Der Zertifizierungsdienst verwendet für die Erstellung der verschiedenen Zertifikatstypen jeweils eine Zertifizierungsinstanz – eine logische Einheit, die jeweils einem oder mehreren Schlüsselpaaren zur Signierung der Zertifikate zugeordnet ist. Durch die Zertifizierungsinstanzen des Zertifizierungsdienstes und die von ihnen ausgestellten Zertifikate wird die in Abbildung 1 dargestellte Zertifizierungshierarchie definiert.

Root

CAClass2

Class2-Zertifikat

ZDA Signtrust

CAClass3

Endnutzer Class3-Zertifikat

Abbildung 1: Zertifizierungshierarchie

Auf der obersten Stufe der Zertifizierungshierarchie befindet sich die Root-CA. Um die Offline-Prüfung der Zertifikatskette in älteren Systemumgebungen zu ermöglichen, wurde eine Cross-Zertifizierung mit einer anderen CA vorgenommen.

Verantwortlich für den Betrieb dieser Cross-CA ist: Comodo Group New Court, Regents Place, Regent Road, Manchester M5 4HB United Kingdom Tel: +44 (0) 161 874 7070 Fax: +44 (0) 161 877 1767 www.comodogroup.com


- 9 -

Auf der zweiten Hierarchieebene befinden sich die folgenden Instanzen:

• Zertifizierungsinstanzen für Class2- und Class3-Zertifikate (CA-Zertifikate)

• OCSP-Responder, der Informationen zum Sperrstatus der Zertifikate bereitstellt

• Signierer der Sperrliste (CRL)

Auf der untersten Hierarchieebene befinden sich die Endanwender-Zertifikate, die der Endanwender für verschiedenste Anwendungen verwendet.

Anmerkung: Eine Instanz kann aus Performancegründen verschiedene Schlüsselpaare nutzen. Um die Anwendung bei der Konstruktion eines Zertifizierungspfades zu unterstützen, werden dann in den entsprechenden Zertifikaten die Namen mit einer laufenden Nummer versehen.

1.4.2 Registrierungsinstanz

1.4.2.1 Class3

Die Antragstellung für die Class3-Zertifikate erfolgt über einen frei zugänglichen Online-Antrag. Die anschließende Registrierung wird durch die Registrierungsinstanz des Zertifizierungsdienstes der Deutschen Post Signtrust und DMDA GmbH durchgeführt. Dieses umfasst insbesondere die Prüfung und Bearbeitung der eingereichten Anträge.

1.4.2.2 Class2

Die Antragstellung für die Class2-Zertifikate erfolgt normalerweise von einer autorisierten Person der gleichen Organisation, die bereits über ein Signtrust CERT Class3-Zertifikat verfügt. Die Antragstellung über einen von Signtrust autorisierten Dritten ist ebenfalls möglich.

1.4.3 Zertifikatserwerber

Die Zertifikate können von Jedermann beantragt werden. Der Zertifikatserwerber kann ein Class3-Zertifikat nur für sich selber beantragen, d.h. er ist gleichzeitig auch Zertifikatsinhaber. Class2-Zertifikate können auch im Auftrag für Dritte beantragt werden. Dies erfolgt im Rahmen unterschiedlicher Szenarien, für die der Zertifikatserwerber bei Antragstellung durch Signtrust eingestuft wird.

1.4.3.1 Corporate CA

Der Zertifikatserwerber beantragt Zertifikate ausschließlich für Mitglieder der eigenen Organisation und handelt auf Anweisung der Organisation (z.B. der Personalabteilung). Der Zertifikatsinhaber ist innerhalb der Organisation bekannt.

Signtrust kann verlangen, dass der Zertifikatserwerber nur Class2-Zertifikate für E-Mail-Adressen beantragt, die aus bestimmten E-Mail-Domains stammen, die der Class3-Inhaber kontrolliert. Signtrust kann hierzu geeignete Nachweise fordern.

Signtrust kann zur Bestätigung, dass ein Zertifikat vom Zertifikatserwerber beantragt wurde, diesem eine Bestätigungsmail zusenden. Durch seine Mitwirkung an einem geeigneten Prüfprozess bestätigt dieser die Richtigkeit der gemachten Angaben und die Urheberschaft des Antrags. Erst nach erfolgreicher Prüfung wird das Zertifikat erstellt.


- 10 -

1.4.3.2 Trusted Third Party CA

Der Zertifikatserwerber beantragt Zertifikate für beliebige Dritte außerhalb der eigenen Organisation. Die Organisation muss mit dem Zertifikatsinhaber in einer Vertragsbeziehung stehen bzw. im Zuge des Zertifikatserwerbs eine solche schließen. Der Zertifikatserwerber hat sich durch geeignete Maßnahmen von der Richtigkeit der persönlichen Angaben zu überzeugen und gewährleistet dies durch die Einreichung eines Zertifikatsantrags.

Signtrust kann zur Bestätigung, dass ein Zertifikatsantrag durch den Zertifikatserwerber mit Wissen bzw. auf Veranlassung des Zertifikatsinhabers erstellt wurde, eine Bestätigungsmail an den Zertifikatsinhaber versenden. Dieser bestätigt durch seine Mitwirkung an einem geeigneten Prüfprozess die inhaltliche Richtigkeit der gemachten Angaben und die Veranlassung des Antrags. Erst nach erfolgreicher Bestätigung wird das Zertifikat erstellt.

1.4.4 Zertifikatsinhaber

Inhaber der verschiedenen Zertifikate sind für Class3- Zertifikate stets natürliche Personen. Für Class2-Zertifikate sind auch funktionale Zertifikate z.B. für Gruppenpostfächer möglich, sofern diese durch den Class3-Zertifikatsinhaber bestätigt werden (vgl. 3.2.3)

1.4.5 Sonstige Teilnehmer

Im Rahmen ihrer zulässigen Anwendung werden die Zertifikate durch beliebige Dritte für die Verifikation der entsprechenden Signaturen genutzt.

1.5 Verwendung von Zertifikaten

1.5.1 Vorgesehene Verwendung der Zertifikate

Zertifikate werden üblicherweise für das Signieren und/oder Verschlüsseln von E-Mails oder sonstige Daten verwendet. Auch die sichere Anmeldung (Client-Authentisierung) an Anwendungen ist eine häufig genutzte Einsatzmöglichkeit.

Zertifikatsklasse Sicherheitsniveau Verwendung

Niedrig Mittel Hoch Signatur Verschlüsselung Authentisierung

Class2

Class3

Zertifikate können auch für weitere, hier nicht genannte Zwecke, eingesetzt werden, solange die Verwendung nicht gegen diese Policy oder gesetzliche Regelungen verstößt.

1.5.2 Nicht vorgesehene Verwendung der Zertifikate

Die Zertifikate sind nicht prinzipiell auf bestimmte Anwendungen eingeschränkt. Da sie jedoch für Anwendungen mit mittlerem bis hohen Sicherheitsbedarf vorgesehen sind, sollten die Zertifikate nur in Anwendungsbereichen verwendet werden, die ihre Sicherheit nicht kompromittieren können.

Zertifikate dürfen nur unter geltendem Recht eingesetzt werden. Der Einsatz von Zertifikaten für Systeme, die bei Ausfällen oder Störungen zu direkter Lebensgefahr, persönlichen Verletzungen oder


- 11 -

Umweltkatastrophen führen können, ist nicht erlaubt. Beispiele hierfür sind z.B. Atomkraftwerke, Chemiewerke, Luftfahrtsysteme, Rüstungstechnologie usw.

1.6 Policy-Verwaltung

1.6.1 Organisation für die Verwaltung dieses Dokuments

Für die Verwaltung dieses Certification Practice Statement ist die Deutsche Post Signtrust und DMDA GmbH zuständig.

1.6.2 Kontakt

• Schriftlich:

Deutsche Post Signtrust und DMDA GmbH Charles-de-Gaulle-Str. 20 53113 Bonn

• Telefonisch:

0700/744687878

• E-Mail:

[email protected]

• Internet:

http://www.signtrust.de

1.6.3 Anerkennung anderer CPS

Die Anerkennung anderer CPS beschließt das geschäftsführende Organ der Deutsche Post Signtrust und DMDA GmbH.


- 12 -

2 Bekanntmachung und Verzeichnisdienst

2.1 Verzeichnisdienst

2.1.1 Zentraler Verzeichnisdienst

Die zu veröffentlichenden Zertifikate werden in einem zentralen Verzeichnisdienst veröffentlicht und können über LDAP abgefragt werden. Das Verzeichnis ist über das Internet unter der URL

ldap://ldap.signtrust.de/o=SCA Deutsche Post Signtrust,c=de bzw.

ldap://ldap.signtrust.de/o=SCA Deutsche Post Com GmbH,c=de (für Zertifikate, die vor dem 30.1.2013 veröffentlicht wurden)

über Port 389 (ohne SSL) ansprechbar.

Der zentrale Verzeichnisdienst ist konform zu LDAPv3 nach [RFC 2251]. Die in Abschnitt 2.2 von [CommonPKI], Part 4 definierten Zugriffsoperationen werden unterstützt.

2.1.2 Auskunftsdienst für den Zertifikatsstatus

Der Status der Zertifikate kann beim Auskunftsdienst für den Zertifikatsstatus über OCSP abgefragt werden. Dieser ist unter

http://ocsp.signtrust.de/ocsp/signtrust/nqsig

erreichbar.

2.2 Veröffentlichung von Informationen der PKI-Instanzen Allgemeine Informationen sowie das vorliegende CPS werden auf der Web-Seite der Deutsche Post Signtrust und DMDA GmbH

http://www.signtrust.de/

veröffentlicht. Das Sicherheitskonzept des Zertifizierungsdiensteanbieters der Deutsche Post Signtrust und DMDA GmbH, auf dem Teile der Aussagen in diesem CPS beruhen, ist vertraulich und wird daher nicht veröffentlicht.

Die Veröffentlichung der CA-Zertifikate des ZDA der Deutsche Post Signtrust und DMDA GmbH erfolgt über die Signtrust-Webseite (http://www.signtrust.de).

2.3 Häufigkeit und Zyklen für Veröffentlichungen Die Veröffentlichung des vorliegenden CPS erfolgt jeweils unmittelbar nach Erstellung bzw. Aktualisierung des Dokumentes.

Die Veröffentlichung der Statusinformationen erfolgt unmittelbar nach Erstellung des betreffenden Zertifikates bzw. nach Änderung des Zertifikatsstatus.


- 13 -

2.4 Zugriffskontrolle auf Verzeichnisse Im zentralen Verzeichnisdienst (LDAP) ist der lesende Zugriff auf die Zertifikate nicht beschränkt, es können jedoch Mengeneinschränkungen bei Listenabfragen erfolgen.

Der Zugriff auf den Auskunftsdienst für den Zertifikatsstatus (OCSP-Responder) ist nicht beschränkt.


- 14 -

3 Identifizierung und Authentisierung

3.1 Namensgebung

3.1.1 Namenstypen

Die Namen der Zertifikatsinhaber in den vom Zertifizierungsdienst ausgestellten Zertifikaten sind Distinguished Names nach X.501. Dabei werden die folgenden Attribute (Namensbestandteile) verwendet:

• commonName (cn)

• surName (sn)

• givenName (g)

• countryName (c)

• emailAddress

• serialNumber

Als optionale Erweiterung können auch noch die folgenden Attribute (Namensbestandteile) verwendet werden:

• organizationName (o)

• organizationUnitName (ou)

• localityName (l)

• state (s)

Für ein Class3-Zertifikat ist eine weitere optionale Erweiterung zulässig:

• postalAddress

Der Name des Zertifikatsinhabers kann Umlaute und Sonderzeichen enthalten (UTF8 Unicode).

3.1.2 Pseudonyme für Zertifikatsinhaber

Anstelle des Personennamens kann auch frei wählbares Pseudonym als Name des Zertifikatsinhabers verwendet werden. Dabei werden dann die folgenden Attribute (Namensbestandteile) im Zertifikat verwendet.

• commonName (cn)

• pseudonym

• emailAddress

• serialNumber

Bei Verwendung eines Pseudonyms kann ein Rückschluss auf eine natürliche Person nur durch den Zertifizierungsdienst erfolgen.

Die Verwendung eines Pseudonyms ist nur für Class3-Zertifikate zulässig.


- 15 -

3.1.3 Eindeutigkeit von Namen

Der Name des Zertifikatsinhabers im Zertifikat ist immer eindeutig, da bei ansonsten identischen Namensbestandteilen unterschiedliche Seriennummern (serialNumber) vergeben werden.

3.1.4 Erkennung und Authentisierung von geschützten Namen

Bei Verwendung eines Pseudonyms wird während der Antragsbearbeitung überprüft, ob der Antragsteller einen offensichtlich geschützten Namen verwenden will und ob er dazu berechtigt ist. Außerdem wird überprüft, ob das gewünschte Pseudonym offensichtlich gegen Rechtsnormen verstößt. Die Pseudonymerteilung ist jedoch immer vorbehaltlich Namensrechten oder -ansprüchen Dritter. Werden derartige Ansprüche verbindlich an uns herangetragen, werden Pseudonymzuteilungen verweigert oder nach bereits erfolgter Zuteilung entzogen und die mit dem Pseudonym verbundenen Zertifikate gesperrt.

3.2 Erstmalige Registrierung

3.2.1 Schlüssel- und Zertifikatserzeugung

Wenn Schlüsselpaare vom Zertifikatsinhaber selbst erzeugt werden, sind die öffentlichen Schlüssel mittels PKCS#10 an die CA zu übermitteln. Alle Schlüsselpaare die von der CA erzeugt werden, werden im einem nach FIPS-140-1 Level 3 evaluierten Hardware Security Module (HSM) erzeugt und im PKCS#12-Format dem Zertifikatsinhaber übermittelt. Zertifikate werden entweder als PKCS#7-Datei oder als Bestandteil der PKCS#12-Datei dem Zertifikatsinhaber übermittelt.

3.2.2 Antragsprüfung Organisationsangaben

Während der Antragsbearbeitung wird durch den Zertifizierungsdienst überprüft, ob der Antragsteller berechtigt ist, die im Antrag gemachten Angaben zu verwenden. Für eine Firmenzugehörigkeit muss diese durch eine vertretungsberechtigte Person bestätigt werden. Auch andere Angaben müssen durch entsprechende Nachweise schriftlich belegt werden.

3.2.3 Antragsprüfung Personenangaben

Die Prozesse zur Prüfung der Identität einer Person sind unterschiedlich, abhängig von der Zertifikatsklasse.

3.2.3.1 Class3

Die Identifizierung für die Class3-Zertifikate erfolgt standardmäßig über PostIdent. In Absprache mit der Deutsche Post Signtrust und DMDA GmbH können auch andere (mit PostIdent vergleichbaren) Prozesse zugelassen werden.

3.2.3.2 Class2

Die Identifizierung für die Class2-Zertifikate erfolgt stellvertretend durch einen Angehörigen einer autorisierten Organisation. Diese autorisierte Person verfügt bereits über ein Signtrust CERT Class3-Zertifikat. Die Identifizierung durch die autorisierte Person erfolgt je nach Vertragsmodell für Personen, die der gleichen Organisation wie der Antragssteller angehören oder für Dritte, mit denen die autorisierte Organisation eine Vertragsbeziehung unterhält (vgl. 1.4.3).


- 16 -

3.3 Sperrung eines Zertifikats Um ein unerlaubtes Sperren eines Zertifikates zu verhindern, muss der Sperrende sich vorher identifizieren. Bei einer telefonischen Sperrung geschieht dies durch Nennung des bei der Antragstellung angegebenen Sperrkennworts. Bei einem schriftlichen Sperrbegehren muss dieses unterschrieben sein.


- 17 -

4 Anforderungen an den Lebenszyklus des Zertifikats

4.1 Antragstellung auf Zertifizierung Es gibt als einzige Einschränkung bei der Antragstellung die Notwendigkeit, dass der Zertifikatsinhaber volljährig sein muss. D.h. jeder Volljährige ist berechtigt, ein Zertifikat zu beantragen. Die Antragstellung erfolgt für die Class3-Zertifikate durch einen Online-Antrag auf der Webseite der Deutsche Post Signtrust und DMDA GmbH.

4.2 Antragsbearbeitung

4.2.1 Durchführung der Identifikation

Die Identifizierung des Antragstellers kann auf unterschiedliche Art und Weise erfolgen; dies ist im Kapitel 3.2 beschrieben.

4.2.2 Annahme bzw. Ablehnung eines Antrags

Alle Anträge, die vollständig und korrekt ausgefüllt sind, sowie den gesetzlichen Vorgaben entsprechen, werden angenommen. Die Deutsche Post Signtrust und DMDA GmbH behält sich aber vor, im Einzelfall die Annahme von Anträgen abzulehnen.

4.3 Zertifikatserstellung

4.3.1 Tätigkeit des Zertifizierungsdienstes

Nach Eingang eines Antrages auf Erstellung eines Zertifikats wird der Antrag durch den Zertifizierungsdienst überprüft. Wenn die Überprüfung erfolgreich durchgeführt wurde, wird ein Zertifikat gemäß den Daten der Zertifizierungsanfrage erstellt. Die Instanz des Zertifizierungsdienstes, die das Zertifikat ausstellt, hängt vom Typ des Zertifikates ab (siehe 1.4.1)

4.3.2 Benachrichtigung des Zertifikatsinhabers

Er erfolgt keine Benachrichtigung des Zertifikatsinhabers über die Zertifikatserstellung.

4.4 Zertifikatsübergabe und -annahme

4.4.1 Zertifikats- und PIN-Übergabe

4.4.1.1 Class3

Nachdem ein Schlüsselpaar und das Zertifikat generiert wurden, werden diese im PKCS#12-Format dem Antragsteller per E-Mail übermittelt. Die PIN zur Öffnung der PKCS#12-Datei wird per Brief zugesandt.


- 18 -

4.4.1.2 Class2

Nachdem das Zertifikat erzeugt wurde, wird dies im PKCS#7-Format dem Administrator des Antragstellers per E-Mail übermittelt.

4.4.2 Veröffentlichung des Zertifikats

Wenn der Zertifikatsinhaber bei der Antragsstellung einer Veröffentlichung seines Zertifikats nicht widersprochen hat, wird dieses nach der Übermittlung zum Antragsteller in den Verzeichnisdienst des Zertifizierungsdienstes eingestellt.

4.4.3 Benachrichtigung anderer Stellen, Organisationseinheiten o.ä.

Eine Benachrichtigung anderer Stellen o. ä. über die Erstellung der Zertifikate erfolgt nicht.

4.5 Nutzung des Schlüsselpaares und des Zertifikates Die Nutzung der Schlüssel ist sofort nach dem Erhalt möglich und zulässig.

Die Zertifikate können entsprechend den im Abschnitt 1.5 vorgesehenen Verwendungen benutzt werden. Personen, die sich auf die Richtigkeit der Angaben eines Zertifikats verlassen, wird empfohlen immer die Verwendung des Zertifikats im Kontext zu der im Zertifikat vorgesehenen Verwendung und zu der Wertigkeit der Aussage oder der Transaktion zu sehen.

Für die Verwendungen im Bereich von Willenserklärungen oder notwendiger Schriftformerfordernisse sind ausschließlich qualifizierte Zertifikate einzusetzen.

Die Class3- und Class2-Zertifikate sind ausdrücklich NICHT als qualifizierte Zertifikate nach SigG eingestuft.

4.6 Zertifikatsverlängerung Begriffserklärung: Bei einer Zertifikatsverlängerung handelt es sich um die Ersetzung eines Zertifikates durch ein Zertifikat mit neuer Gültigkeitsdauer, aber für den gleichen öffentlichen Schlüssel und sonst unveränderten Inhaltsdaten. In [RFC 3647] wird dieser Vorgang „certificate renewal“ genannt.

Eine Zertifikatsverlängerung ist nicht möglich.

4.7 Schlüsselerneuerung von Zertifikaten Begriffserklärung: Bei der Schlüsselerneuerung eines Zertifikates handelt es sich um die Ersetzung eines Zertifikates durch ein Zertifikat mit neuer Gültigkeitsdauer und für einen neuen öffentlichen Schlüssel aber sonst unveränderten Inhaltsdaten. In [RFC 3647] wird dieser Vorgang „certificate re-key“ genannt.

Eine Schlüsselerneuerung ist möglich.

4.8 Modifizierung eines Zertifikats Begriffserklärung: Bei der Modifizierung eines Zertifikates handelt es sich um die Ersetzung eines Zertifikates durch ein Zertifikat mit veränderten Inhaltsdaten und für einen neuen öffentlichen Schlüssel. In [RFC 3647] wird dieser Vorgang „certificate update“ genannt.

Eine Modifizierung eines Zertifikats ist nicht möglich.


- 19 -

4.9 Sperrung und Suspendierung von Zertifikaten Eine Sperrung der Zertifikate ist wie im Abschnitt 3.3 beschrieben möglich.

Eine anschließende Entsperrung ist nicht möglich.

Gesperrte Zertifikate werden in einer CRL geführt. Die CRL wird täglich aktualisiert bereitgestellt und ist zugänglich unter:

ldap://ldap.signtrust.de/o=SCA%20Deutsche%20Post%20Signtrust,c=de?certificateRevocationList;binary

4.10 Auskunftsdienst über den Zertifikatsstatus Für die Zertifikate existiert wie im Abschnitt 2.1 beschrieben ein Auskunftsdienst über den Zertifikatsstatus.

4.11 Kündigung eines Zertifikats Ein Zertifikat kann entsprechend den vertraglichen Vorgaben beim Zertifizierungsdienst gekündigt werden. Die Informationen über das Zertifikat werden aber entsprechend den gesetzlichen Vorgaben im Verzeichnisdienst des Zertifizierungsdienstes verfügbar gehalten.

4.12 Treuhänderische Schlüsselhinterlegung Eine treuhänderische Schlüsselhinterlegung wird vom Zertifizierungsdienst nicht angeboten oder durchgeführt.


- 20 -

5 Physikalische, organisatorische und personelle Sicherheitsmaßnahmen

5.1 Physikalische Sicherheitsmaßnahmen

5.1.1 Lage und Aufbau des Standortes

Der Zertifizierungsdienst der Deutschen Post Signtrust und DMDA GmbH wird in gesicherten Räumen am Standort Darmstadt betrieben. Die bauliche Infrastruktur ist derart gestaltet, dass ein hoher Schutz gegen Einbruch gewährleistet ist. Weiterhin wurden Vorkehrungen zum Schutz gegen Brand, Wasser und Blitzschlag getroffen.

5.1.2 Zugangskontrolle

Der Zugang zu dem Gebäude des Zertifizierungsdienstes ist durch einen Einlassdienst gesichert. Der Zugang zu den Systemräumen ist videoüberwacht und durch Alarmanlagen und Chipkarten basierten Zutrittskontrollanlagen mit Vereinzelungsschleuse gesichert.

5.1.3 Stromversorgung und Klimakontrolle

Die produktiven Systeme und die für ihren Schutz eingesetzten Systeme sind an eine ausfallsichere Stromversorgung mit redundanter Anbindung an den Energieversorger und unterbrechungsfreie Stromversorgungen angebunden. Die Klimatisierung der Technikräume und Rechner des Zertifizierungsdienstes ist durch separate, leistungsfähige Klimakontrollanlagen gewährleistet.

5.1.4 Schutz vor Wasserschäden

Der Standort und insbesondere die Technikräume sind durch bauliche Maßnahmen vor Wassereinbrüchen gesichert.

5.1.5 Brandschutz

Der Standort und insbesondere die Technikräume sind mit Brandmelde- und Feuerlöschanlagen ausgestattet.

5.1.6 Aufbewahrung von Datenträgern

Datenträger mit kritischen Informationen (z.B. Backups) werden ausschließlich in gegen unbefugten Zutritt sowie Wasser und Brand geschützten Räumlichkeiten oder Tresoren aufbewahrt.

5.1.7 Abfallentsorgung

Sämtliche für sicherheitskritische Systeme oder Informationen genutzte Datenträger und Chipkarten, werden vor der Entsorgung durch Schreddern des Datenträgers bzw. Chips physikalisch unbrauchbar gemacht. Dies gilt insbesondere für

• Chipkarten für die Zugangskontrolle zu den Räumlichkeiten des Zertifizierungsdienstes,

• Datenträger für den Transport von sensitiven Informationen und


- 21 -

• falsch personalisierte oder fehlerhafte Signaturkarten.

5.2 Organisatorische Sicherheitsmaßnahmen

5.2.1 Sicherheitskritische Rollen

Sämtliche sicherheitskritische Tätigkeiten sind zu Rollen zusammengefasst, die in einem internen Rollenkonzept beschrieben werden. Diese Tätigkeiten dürfen ausschließlich von Personen durchgeführt werden, die den entsprechenden Rollen zugewiesen sind. Das Rollenmodell umfasst folgende Typen von Rollen:

• Systemoperatoren

• Systemadministratoren

• Rollen auf Ebene des Managements

5.2.2 Anzahl benötigter Personen bei sicherheitskritischen Aufgaben

Die folgenden Tätigkeiten werden ausschließlich im Vier-Augen-Prinzip durchgeführt:

• Durchführung von Prozeduren der Key Ceremony

• Administration der Komponenten des Zertifizierungsdienstes

5.2.3 Identifikation und Authentisierung von Rollen

Die Identifikation und Authentisierung der Benutzer erfolgt beim Zutritt zu sicherheitsrelevanten Räumen und beim Zugriff auf sicherheitsrelevante Systeme mit Hilfe von Chipkarten und/oder Benutzername und Passwort. In den Kontrollsystemen wird die Berechtigung des Benutzers mit Hilfe von Rollen geprüft.

5.2.4 Trennung von Rollen und Aufgaben

Das Rollenkonzept regelt auch, welche Zuordnungen von Personen zu Rollen sich gegenseitig ausschließen. Dadurch ist gewährleistet, dass folgende Aufgaben jeweils von verschiedenen Personen durchgeführt werden:

• Administration und Operation eines Systems

• Betriebliche Tätigkeiten und Aufgaben des Managements

• Tätigkeiten bei der Personalisierung und beim PIN-Briefdruck

• Vergabe und Kontrolle von Zugangsberechtigungen

5.3 Personelle Sicherheitsmaßnahmen

5.3.1 Anforderungen an Qualifikation und Erfahrung

Der Zertifizierungsdienst beschäftigt nur zuverlässiges Personal mit den für die bereitgestellten Dienste erforderlichen Fachkenntnissen, Erfahrungen und Qualifikationen.


- 22 -

5.3.2 Sicherheitsüberprüfungen des Personals

Bei allen Personen, die sicherheitskritische Aufgaben wahrnehmen, wird vor Aufnahme der Tätigkeit eine Zuverlässigkeitsprüfung durchgeführt.

5.3.3 Anforderungen an die Schulung

Die Mitarbeiter des ZDAs werden vor Aufnahme der Tätigkeit ausreichend geschult. Die Schulung beinhaltet u. a. eine Sensibilisierung der Mitarbeiter hinsichtlich der Sicherheitsrelevanz ihrer Arbeit. Die Mitarbeiter werden im laufenden Betrieb auf ihre Fachkunde hin beurteilt, ggf. werden Nachschulungen veranlasst.

5.3.4 Wiederholungen der Schulungen

Je nach Aufgabe des Mitarbeiters werden die entsprechenden Schulungen regelmäßig oder bei Bedarf wiederholt.

5.3.5 Job-Rotationen

Die Trennung von Rollen und Aufgaben gemäß Abschnitt 5.2.4 und die Durchführung sicherheitskritischer Aufgaben im Vier-Augen-Prinzip gemäß Abschnitt 5.2.2, macht eine regelmäßige Rollenumverteilung nicht erforderlich.

5.3.6 Sanktionen bei unzulässigen Handlungen

Sollte ein Mitarbeiter des ZDAs die Anweisungen und Vorschriften verletzen, werden Maßnahmen zur Verhinderung zukünftiger Verletzungen ergriffen. In schweren Fällen beinhaltet dies auch arbeits- und strafrechtliche Maßnahmen.

5.3.7 Vertragsbedingungen mit dem Personal

Der Zertifizierungsdienst verpflichtet seine Mitarbeiter auf die Einhaltung von Anweisungen und gesetzlichen Vorschriften. Diese beinhalten insbesondere eine Verpflichtung, personenbezogene Daten vertraulich zu behandeln.

5.4 Protokollierung sicherheitskritischer Ereignisse Die folgenden Ereignisse werden schriftlich protokolliert:

• Protokolle sicherheitskritischer Prozeduren (z.B. Prozeduren von Key Ceremony, Notfallprozeduren, Modifikationen der Systeme)

• Zugang zu den geschützten Räumlichkeiten durch externes Personal

• Ausgabe von Zutritts-Chipkarten

• Zuweisung und Entzug von Rollen

5.5 Archivierung von Protokolldaten Die archivierten Daten werden entsprechend den gesetzlichen Vorgaben aufbewahrt.


- 23 -

5.6 Wiederanlauf nach Katastrophen

5.6.1 Notfallprozeduren

Es existiert ein interner Notfallplan, in dem die Prozeduren und Verantwortlichkeiten bei Notfällen und Katastrophen geregelt sind. Zielsetzung dieser Notfallprozeduren ist die Minimierung von Ausfällen der Zertifizierungsdienstleistungen bei gleichzeitiger Aufrechterhaltung der Sicherheit.

Die Notfallprozeduren sehen insbesondere die Protokollierung der einzelnen Maßnahmen und Tätigkeiten vor. Anhand dieser Protokolle kann die Einhaltung der Notfallprozeduren bei der Revision geprüft werden (siehe Abschnitt 8).

5.6.2 Wiederherstellung nach Kompromittierung von Ressourcen

Die Prozeduren zur Wiederherstellung nach einer Kompromittierung von Ressourcen sind in einem internen Recovery-Konzept festgelegt.

5.6.3 Kompromittierung von Schlüsseln des Zertifizierungsdienstes

Im Falle der Kompromittierung oder vermuteten Kompromittierung von privaten Schlüsseln des Zertifizierungsdienstes wird das jeweilige Zertifikat sofort gesperrt. Gleichzeitig werden alle mit Hilfe dieses Zertifikats direkt oder mittelbar ausgestellten Zertifikate gesperrt.

Sofern der Verdacht besteht, dass die für die Erzeugung und Anwendung des privaten Schlüssels eingesetzten Algorithmen, Parameter oder Geräte unsicher sind, wird vom Zertifizierungsdienst eine entsprechende Untersuchung durchgeführt.

Alle betroffenen Zertifikatsinhaber werden vom Zertifizierungsdienst benachrichtigt.

5.6.4 Notbetrieb im Katastrophenfall

Die Prozeduren für den Notbetrieb im Katastrophenfall sind in einem internen Recovery-Konzept festgelegt.

5.7 Einstellung des Zertifizierungsdienstes Im Falle der endgültigen Einstellung des Zertifizierungsdienstes werden die folgenden Maßnahmen ergriffen:

• Die bei Einstellung der Tätigkeit gültigen Zertifikate werden entweder an einen anderen Zertifizierungsdiensteanbieter übergeben oder gesperrt.

• Alle privaten Schlüssel der Zertifizierungsstelle werden vernichtet.

• Die Zertifikatsinhaber werden über die Einstellung des Zertifizierungsdienstes und die daraus resultierenden Folgen informiert.


- 24 -

6 Technische Sicherheitsvorkehrungen

6.1 Erzeugung und Installation von Schlüsselpaaren

6.1.1 Erzeugung von Schlüsselpaaren

Die Schlüsselpaare (Class3) werden mit einem HSM erzeugt.

6.1.2 Übergabe öffentlicher Schlüssel an die Zertifizierungsinstanz

Die öffentlichen Schlüssel werden für die Zertifikatserzeugung an die Zertifizierungsinstanz übertragen.

6.1.3 Übergabe des Schlüsselpaars an die Schlüsselbenutzer

Das Schlüsselpaar bei Class3-Zertififkaten wird innerhalb eines PKCS#12-Containers und mit dem Zertifikat an den Zertifikatsinhaber ausgeliefert.

6.1.4 Schlüssellängen

Schlüssel für Benutzerzertifikate sind RSA mit einer Länge bis zu 2048 Bit (Länge des geheimen Schlüssels).

Die vom Zertifizierungsdienst verwendeten CA-Schlüssel beruhen auf RSA mit einer Länge von mindestens 2048 Bit.

6.2 Schutz der privaten Schlüssel und der kryptographischen Module

6.2.1 Standards und Schutzmechanismen der kryptographischen Module Die eingesetzten HSMs wurden mindestens nach FIPS-140 Level 3 zertifiziert.

6.2.2 Aufteilung der Kontrolle über private Schlüssel auf mehrere Personen

Jeglicher administrative oder operative Zugriff auf die internen Signaturkarten und HSMs (CA, Verzeichnisdienst, Zeitstempeldienst, CRL) des Zertifizierungsdienstes wird im Vier-Augen-Prinzip durchgeführt.

6.2.3 Treuhänderische Hinterlegung privater Schlüssel

Eine treuhänderische Hinterlegung privater Schlüssel wird durch den Zertifizierungsdienst nicht durchgeführt.

6.2.4 Sicherung und Wiederherstellung privater Schlüssel

Die privaten Schlüssel, auf denen die Class3-Zertifikate beruhen, können bei Bedarf gesichert und auch wiederhergestellt werden.


- 25 -

6.2.5 Archivierung privater Schlüssel

Die privaten Schlüssel, auf denen die Class3-Zertifikate beruhen, können bei Bedarf archiviert werden.

6.2.6 Speicherung privater Schlüssel

Die Class3-Schlüsselpaare können bei Bedarf auch als Backup für die erneute Zertifizierung verschlüsselt und gesichert in einer internen Datenbank gespeichert werden.

6.3 Weitere Aspekte der Schlüsselverwaltung

6.3.1 Archivierung öffentlicher Schlüssel

Der Zertifizierungsdienst speichert die ausgestellten Zertifikate mit den öffentlichen Schlüsseln in seinem Verzeichnisdienst.

6.3.2 Verwendungsdauern von Zertifikaten und Schlüsselpaaren

Die Gültigkeit der vom ZDA Deutsche Post Signtrust und DMDA GmbH ausgestellten Class2- und Class3-Zertifikate wird im Zertifikat begrenzt („not before“, „not after“).

6.4 Aktivierungsdaten

6.4.1 Erzeugung und Installation von Aktivierungsdaten

Die PIN zur Sicherung des unversehrten Zustands der PKCS#12-Daten wird automatisiert in einem HSM auf Zufallszahlen beruhend erzeugt.

6.4.2 Schutzmaßnahmen für Aktivierungsdaten

Die erzeugte PIN gilt als schützenswert.

6.5 Sicherheitsbestimmungen für Computer

6.5.1 Spezifische Sicherheitsanforderungen für Computer

Für die Rechner, die die zentralen Funktionen des Zertifizierungsdienstes implementieren, insbesondere

• die Rechner der Zertifizierungsinstanzen,

• die Server des OCSP-Responders,

• die Verzeichnisdienst-Server,

• die für den Druck der PIN-Briefe eingesetzten Rechner,

• die für die Kommunikation der genannten Systeme verwendeten Rechner

sowie alle Rechner, die dem Schutz der Einrichtungen des Zertifizierungsdienstes dienen, gelten die folgenden Sicherheitsanforderungen:

• Auf dem Rechner ist nur die für die jeweilige Funktion notwendige Software installiert.


- 26 -

• Der Rechner besitzt nur die für die jeweilige Funktion notwendigen Kommunikationsschnittstellen. Insbesondere sind die Rechner nur in die für ihre Funktion notwendigen Teilnetzwerke integriert.

• Unnötige Funktionen des Betriebssystems und der installierten Software werden – sofern möglich – deaktiviert.

• Falls Sicherheitsrisiken in der verwendeten Software bekannt werden, ergreifen die Systemadministratoren die vom Hersteller bzw. von unabhängigen Experten empfohlenen Gegenmaßnahmen.

• Der Zugriff auf die Rechner ist auf das für den Betrieb des Zertifizierungsdienstes notwendige Maß beschränkt. Insbesondere werden die Rechner nur durch die verantwortlichen Systemadministratoren verwaltet.

• Nicht mehr benötigte Daten (z. B. nach Ablauf der Aufbewahrungsfristen) werden von den Rechnern gelöscht. Die Löschung erfolgt in einer Weise, die eine teilweise oder vollständige Rekonstruktion unmöglich macht.

• Sicherheitskritische Ereignisse auf den Rechnern werden protokolliert.

• Systeme mit hohen Verfügbarkeitsanforderungen sind redundant ausgelegt, so dass bei Ausfall eines Rechners die Funktion erhalten bleibt.

• Mittels unterbrechungsfreier Stromversorgungen werden Schwankungen in der Stromversorgung ausgeglichen und Stromausfälle bis zu einer Dauer von mehreren Stunden überbrückt.

• Modifikationen der Systeme werden zuerst an einem Testsystem erprobt und vor der Anwendung am Produktivsystem die relevanten Systemdaten gesichert.

6.5.2 Bewertung der Computersicherheit

Im Sicherheitskonzept des Zertifizierungsdienstes wurde eine Bedrohungsanalyse durchgeführt, welche die Wirksamkeit aller getroffenen Maßnahmen untersucht. Die Bedrohungsanalyse orientiert sich dabei an den Vorgaben des Signaturgesetzes für Zertifizierungsdienste, die qualifizierte Zertifikate ausstellen.

6.6 Technische Kontrollen des Software-Lebenszyklus

6.6.1 Sicherheitsmaßnahmen bei der Systementwicklung

Bei der Systementwicklung wurden die für die Entwicklung von IT-Sicherheitssystemen üblichen Sicherheitsmaßnahmen beachtet.

6.6.2 Sicherheitsmanagement

Im Sicherheitskonzept des Zertifizierungsdienstes sind umfassende Vorgaben für das Sicherheitsmanagement definiert.


- 27 -

6.6.3 Bewertung der Maßnahmen zur Kontrolle des Lebenszyklus

Im Sicherheitskonzept des Zertifizierungsdienstes wurde eine Bedrohungsanalyse durchgeführt, welche die Wirksamkeit aller getroffenen Maßnahmen untersucht. Die Bedrohungsanalyse orientiert sich dabei an den Vorgaben des Signaturgesetzes für Zertifizierungsdienste, die qualifizierte Zertifikate ausstellen.

6.7 Maßnahmen zur Netzwerksicherheit Die Zertifizierungsstelle implementiert die folgenden Maßnahmen zur Netzwerksicherheit:

• Die Netzwerke des Zertifizierungsdienstes sind durch Firewalls vom Internet getrennt.

• Sicherheitskritische Systeme, die vom Internet aus erreichbar sein müssen (z.B. OCSP-Responder, Verzeichnisdienst, Zeitstempeldienst), sind in einer DMZ untergebracht, die vom Internet und den internen Netzen des Zertifizierungsdienstes durch Firewalls getrennt sind. Alle anderen sicherheitskritischen Systeme befinden sich in den internen Netzen.

• Die internen Netzwerke des Zertifizierungsdienstes sind soweit möglich nach dem Schutzbedarf der Systeme aufgeteilt. Die Trennung in Teilnetze erfolgt durch Firewalls.

• Firewalls beschränken den Datenverkehr auf das für den Betrieb notwendige Maß.

6.8 Zeitstempel Der Zertifizierungsdienst betreibt einen eigenen Zeitstempeldienst.

Zeitangaben in Protokoll- und Anwendungsdaten (insbesondere in Zertifikaten und Antworten des Auskunftsdienstes für den Zertifikatsstatus) des Zertifizierungsdienstes basieren auf der Systemzeit des Systems, das diese Daten generiert. Die Systemzeiten der Systeme des Zertifizierungsdienstes werden permanent mit der Zeit der physikalisch technischen Bundesanstalt in Braunschweig synchronisiert.


- 28 -

7 Profile

7.1 Zertifikatsprofile Die ausgestellten Zertifikate sind X.509v3 nach Common PKI 2.0.

7.1.1 Versionsnummer

Alle Zertifikate werden nach X.509 Version 3 erstellt.

7.1.2 Erweiterungen

Die Erweiterungen (Extensions) der Zertifikate folgen der Common PKI-Spezifikation 2.0.

Die Bestimmungen zur Schlüsselverwendung finden sich in der Tabelle 1.

Class2 Zertifikat Class3 Zertifikat

Key Usage (critical)

digitalSignature

keyEncipherment

dataEncipherment

Extended Key Usage

ClientAuth

EmailProtection

Tabelle 1: Key Usage und Extended Key Usage

7.1.3 OID für kryptographische Algorithmen

Bei den vom Zertifizierungsdienst ausgestellten Zertifikaten enthält das Feld signatureAlgorithm entweder den ASN.1 Object Identifier (OID) sha1WithRSAEncryption oder sha256WithRSAEncryption.

7.1.4 Namensformen

Als Namensform werden Distinguished Names nach X.500/X.501, wie in Abschnitt 3.1.1 angegeben, verwendet. Die Namen der Ausstellers (issuer) entsprechen dabei den Namen des Inhabers (subject) im Zertifikat der ausstellenden CA.

7.1.5 Namensform-Einschränkungen

In Erfüllung der Vorgaben von Common PKI kann der Name (commonName) des Zertifikats-Inhabers maximal 64 Zeichen lang sein. Überlange Namen werden daher vom Zertifizierungsdienst gekürzt.


- 29 -

8 Revision und andere Bewertungen

8.1 Häufigkeiten von Revisionen Eine Revision des Zertifizierungsdienstes wird mindestens alle drei Jahre sowie bei Bedarf nach sicherheitskritischen Veränderungen und Vorfällen durchgeführt.

8.2 Identität und Qualifikation des Revisors Die Revision erfolgt durch eine von der Bundesnetzagentur anerkannte Prüf- und Bestätigungsstelle, die über umfangreiche Kenntnisse und Erfahrungen verfügt.

8.3 Beziehungen zwischen Revisor und zu untersuchender Partei Beim Revisor handelt es sich um einen von der Deutschen Post Signtrust und DMDA GmbH unabhängigen Dritten.

8.4 Umfang der Prüfung Zielsetzung der Revision ist die Überprüfung der Umsetzung der im Sicherheitskonzept des Zertifizierungsdienstes definierten Maßnahmen. Den Umfang der Revision legt der Revisor selbst fest. Dabei bezieht er alle Systeme, Einrichtungen, Verfahren und Informationen mit ein, die für die Umsetzung des Sicherheitskonzeptes relevant sind. Die Prüfung umfasst insbesondere die folgenden Bereiche:

• Einrichtungen zur physikalischen Sicherheit (z.B. Brandschutz, Zugangsschutz, Siegel)

• Konfigurationen der sicherheitskritischen Systeme

• Protokolle sicherheitskritischer Prozeduren (z.B. Prozeduren der Key Ceremony, Notfallprozeduren, Modifikationen der Systeme)

• Dokumentation der personellen Sicherheitsmaßnahmen (z.B. Schulungsnachweise, Dokumentation der Sicherheitsüberprüfungen)

• Dokumentationen von Prozeduren und Systemen (z.B. Notfallpläne, Systemhandbücher)

• Archivdaten

• Inventarlisten der eingesetzten Hard- und Software

8.5 Maßnahmen bei Mängeln Bei geringfügigen Mängeln vermerkt der Revisor diese im Revisionsbericht und stellt als Auflage für die Akkreditierung die Behebung der Mängel. Bei schwereren Mängeln wird die Akkreditierung des Zertifizierungsdienstes erst verlängert, wenn die festgestellten Mängel beseitigt wurden.

8.6 Veröffentlichung der Ergebnisse Die Ergebnisse der Revision dokumentiert der Revisor in einem Bericht an die Deutsche Post Signtrust und DMDA GmbH und an die Bundesnetzagentur als zuständige Behörde. Eine Veröffentlichung der Ergebnisse findet nicht statt.


- 30 -

9 Weitere geschäftliche und rechtliche Regelungen

9.1 Preise Die Preise ergeben sich aus der Preisliste in der jeweils gültigen Fassung.

9.2 Vertraulichkeit betrieblicher Informationen

9.2.1 Art der geheim zu haltenden Information

Als vertraulich gelten alle nicht veröffentlichten Zertifikate und alle Informationen, die nicht Bestandteil des Zertifikats sind, insbesondere Geschäfts- und Betriebsgeheimnisse des Zertifikatsinhabers.

9.2.2 Öffentliche Informationen

Als öffentlich gelten alle Informationen in ausgestellten und veröffentlichten Zertifikaten, die Widerrufslisten sowie alle veröffentlichten Versionen des CPS.

9.3 Vertraulichkeit personenbezogener Informationen

9.3.1 Geheimhaltung

Der Zertifizierungsdiensteanbieter beachtet die einschlägigen Vorschriften zur Geheimhaltung von vertraulichen Daten, insbesondere das Datenschutzgesetz.

9.3.2 Vertrauliche personenbezogene Daten

Als vertraulich gelten alle nicht veröffentlichten Zertifikate und alle personenbezogenen Daten, die nicht Bestandteil des Zertifikats sind.

9.3.3 Nicht geheime Informationen

Als öffentlich gelten alle Informationen in ausgestellten und veröffentlichten Zertifikaten sowie die Widerrufslisten.

9.3.4 Verantwortlichkeit für den Schutz privater Informationen

Der Zertifizierungsdiensteanbieter wird Daten des Zertifikatsinhabers, soweit sie in personenbezogener Form vorliegen, unter Einhaltung der einschlägigen Bestimmungen des Datenschutzgesetzes behandeln. Die Daten werden ausschließlich zum Zweck der Erbringung der Dienstleistungen des Zertifizierungsdiensteanbieters verarbeiten.

Verwendet der Zertifikatsinhaber ein Pseudonym, ist der Zertifizierungsdiensteanbieter berechtigt, die wahre Identität des Zertifikatsinhabers berechtigten Dritten preiszugeben.


- 31 -

9.3.5 Einverständniserklärung zur Nutzung privater Informationen

Der Zertifizierungsdiensteanbieter verarbeitet personenbezogene Daten allein zum Zweck der Erbringung der Dienstleistungen des Zertifizierungsdiensteanbieters. Eine weitergehende kommerzielle Nutzung dieser Daten durch die Deutsche Post Signtrust und DMDA GmbH findet nicht statt.

9.3.6 Weitergabe von Informationen an Ermittlungsinstanzen oder Behörden

Die Verpflichtung nach § 14 Abs 2 [SigG] zur Weitergabe von Informationen an Ermittlungsinstanzen und andere berechtigte Behörden wird vom Zertifizierungsdiensteanbieter eingehalten.

9.4 Geistiges Eigentum Bestand und Inhalt von Urheber- und sonstigen Immaterialgüterrechten richten sich nach den allgemeinen gesetzlichen Vorschriften.

9.5 Haftung des Zertifizierungsdiensteanbieters Die Haftung des Zertifizierungsdiensteanbieters richtet sich nach den jeweiligen gesetzlichen Bestimmungen, insbesondere nach dem Signaturgesetz sowie dem Schadenersatzrecht des Allgemeinen Bürgerlichen Gesetzbuches.

9.6 Pflichten des Zertifikatsinhabers Die Pflichten des Zertifikatsinhabers richten sich nach den Allgemeinen Geschäftsbedinungen (AGB).

9.7 Gültigkeit des CPS

9.7.1 Gültigkeitszeitraum

Dieses CPS ist vom Tage seiner Veröffentlichung an gültig. Seine Gültigkeit endet mit der Einstellung der Zertifizierungsdienste (siehe Abschnitt 5.7).

9.7.2 Vorzeitiger Ablauf der Gültigkeit

Die Gültigkeit dieses CPS endet vorzeitig mit der Veröffentlichung einer neuen Version.

9.8 Kommunikation mit den Teilnehmern Für Fragen und Anliegen bzgl. ihrer Zertifikate steht den Inhabern die Signtrust-Webseite sowie die in Abschnitt 1.6.2 angegebene Kontaktadresse zur Verfügung. Es werden dabei keine allgemeinen Anforderungen an die Form der Anfragen gestellt.

9.9 Änderungen/Ergänzungen des CPS

9.9.1 Verfahren für die Änderung/Ergänzung des CPS

Der Zertifizierungsdiensteanbieter behält sich die Änderung dieses Dokuments vor. Diese kann insbesondere durch eine Weiterentwicklung der technischen oder rechtlichen Gegebenheiten


- 32 -

erforderlich sein. Die Änderung erfolgt durch den Zertifizierungsdiensteanbieter. Der Zertifizierungsdiensteanbieter wird die neue Version dieses Dokuments gemäß dem Verfahren im CPS und, falls erforderlich, der zuständigen Aufsichtsbehörde anzeigen.

9.9.2 Benachrichtigungsverfahren und Veröffentlichungsperioden

Sollten die Änderungen sicherheitsrelevante Aspekte oder die Verfahren hinsichtlich der Zertifikatsinhaber betreffen, wie beispielsweise Änderungen des Registrierungsablaufs, des Verzeichnis- oder Sperrdienstes, der Kontaktinformationen oder der Haftung, wird der Zertifizierungsdiensteanbieter die Zertifikatsinhaber durch Veröffentlichung im Internet unter

http://www.signtrust.de

benachrichtigen.

Hinsichtlich übriger Änderungen, insbesondere der Verbesserung geringfügiger redaktioneller Versehen oder der Beifügung von Erläuterungen, kann eine Benachrichtigung der Zertifikatsinhaber unterbleiben.

9.9.3 OID-Änderungsbedingungen

Für dieses CPS wird die OID 1.3.18.9.2.2.2.x verwendet, wobei x für die Nummer der Revision des CPS steht. Das vorliegende Dokument wird somit über die OID 1.3.18.9.2.2.2.1 referenziert.

Bei Ergänzungen oder Modifikationen des CPS entscheidet die Zertifizierungsstelle, ob sich daraus signifikante Änderungen der Sicherheit der Zertifizierungsdienste, des Vertrauen, welches den Zertifikaten entgegengebracht werden kann, der Rechte und Pflichten der Teilnehmer oder der Anwendbarkeit der Zertifikate ergeben. Falls dies der Fall ist, wird die Versionsnummer auf die nächste volle Nummer erhöht (z.B. von 1.2 auf 2.0); in diesem Fall wird die OID dieses CPS entsprechend Abschnitt 1.2 angepasst. Anderenfalls bleibt die OID unverändert.

9.10 Anwendbares Recht Es ist keine eigenständige Regelung über das anwendbare Recht vorhanden. Die Auslegung von unklaren Bestimmungen hat primär im Sinne der einschlägigen Vorschriften des [SigG] und der [SigV] zu erfolgen. Dabei ist zu beachten, dass die in diesem Dokument gewählten Begriffe vorwiegend technische Regeln betreffen und daher allenfalls in Details vom allgemeinen Sprachgebrauch abweichen können. Dieses Dokument darf daher nicht alleine nach den Regeln juristischer Textinterpretation gelesen werden.

9.11 Sonstige Bestimmungen

9.11.1 Schriftlichkeitsgebot

Die jeweils aktuelle Schriftversion dieses Textes ersetzt sämtliche vorhergehende Versionen. Mündliche Kundmachungen erfolgen nicht.

9.11.2 Übertragung

Der Zertifizierungsdiensteanbieter ist berechtigt, einzelne oder alle seiner Rechte und Pflichten unter seiner Verantwortung an Dritte zu übertragen.


- 33 -

Referenzen

Common PKI Common PKI Specification, Version 2.0, T7 & TeleTrusT, 20.01.2009 RFC 2251 RFC 2251: Lightweight Directory Access Protocol (v3), Dezember 1997 RFC 3647 RFC 3647: Internet X.509 Public Key Infrastructure Certificate Policy and

Certification Practices Framework, November 2003 SigG Gesetz über Rahmenbedingungen für elektronische Signaturen und zur

Änderung weiterer Vorschriften vom 16.05.2001 zuletzt geändert am 17.07.2009 SigV Verordnung zur elektronischen Signatur vom 16.11.2001 zuletzt geändert am

15.11.2010


- 34 -

Verzeichnis der Abkürzungen

ASN.1 Abstract Syntax Notation number One Bundesnetzagentur Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, Post und

Eisenbahnen CA Certification Authority (Zertifizierungsdienst) CPS Certification Practice Statement CRL Certificate Revocation List (Sperrliste) DMZ Demilitarisierte Zone DN Distinguished Name DP Com Deutsche Post Com GmbH HSM Hardware Security Module IETF Internet Engineering Task Force ITU International Telecommunication Unit LDAP Lightweight Directory Access Protocol OCSP Online Certificate Status Protocol OID Object Identifier PIN Personal Identification Number (Persönliche Identifizierungsnummer) PKCS Public-Key Cryptography Standards PKI Public Key Infrastructure RFC Request for Comments SCA Selbstsignierter CA-Signaturschlüssel SigG Signaturgesetz SSL Secure Socket Layer TSS Time Stamp Service (Zeitstempeldienst) URL Uniform Resource Locator ZD Zertifizierungsdienst ZDA Zertifizierungsdiensteanbieter


- 35 -

Glossar

Asymmetrische Kryptografieverfahren Methoden, die auf zwei verschiedenen Schlüsseln basieren, wobei einer öffentlich und einer privat (geheim) ist. Dadurch ist es möglich, dass jemand mit dem öffentlichen Schlüssel eine Nachricht verschlüsselt, die nur der Besitzer des geheimen Schlüssels wieder entschlüsseln kann. Damit ist das Problem des Austausches und des Verteilens von geheimen symmetrischen Schlüsseln beseitigt, und es sind Verfahren wie die elektronische Signatur möglich.

Authentisierung, Authentifizierung

Vorgang des Nachweises der Echtheit einer Entität oder der Urheberschaft von Daten durch kryptografische Verfahren. Durch ein festgelegtes Verfahren wird festgestellt (Authentifizierung), ob jemand wirklich derjenige ist, der er vorgibt zu sein (Authentisierung), bzw. dass die Daten wirklich von einer bestimmten Person stammen.

Authentizität Echtheit einer Nachricht bzw. ihrer Urheberschaft. Certification Authority (CA) englischer Begriff für einen Zertifizierungsdienst oder

Zertifizierungsinstanz Certification Practice Statement (CPS)

Darlegung der Praktiken, die ein Zertifizierungsdienst bei der Ausgabe der Zertifikate anwendet.

Certificate Revocation List (CRL) englischer Begriff für Sperrliste Distinguished Name (DN) Namensform nach X.501. Ein DN besteht aus verschiedenen

Attributen und entsprechenden Werten und soll eine Entität eindeutig kennzeichnen. Die wichtigsten Attribute in diesem CPS sind CommonName (cn), Organization (o) und Country (c).

Elektronische Signatur Daten, die mit anderen elektronischen Daten logisch verknüpft sind, und mit denen sich deren Authentizität und Integrität prüfen lassen. D.h., mittels einer elektronischen Signatur kann sowohl die Unverfälschtheit einer Nachricht als auch der Unterzeichner eines elektronischen Dokumentes verifiziert werden. Die Sicherheit einer elektronischen Signatur hängt dabei von den verwendeten Parametern des Kryptografieverfahrens, der Geheimhaltung des privaten Schlüssels und der Zuordnung des öffentlichen Schlüssels zum Signator (z.B. durch ein Zertifikat) ab.

Fehlbedienungszähler Zähler zur Kontrolle der maximal erlaubten aufeinander folgenden, fehlerhaften Eingaben einer PIN.

Hashfunktion Funktion zur Berechnung von Prüfsummen. Für elektronische Signaturen werden Hashfunktionen verwendet, die kollisionsresistent sind, d.h. zu denen sich nach heutigem Kenntnisstand keine zwei Eingaben finden lassen, deren Funktionswert gleich ist.

Integrität Unverfälschtheit von Daten oder Systemen. Lightweight Directory Access Protocol (LDAP)

Von der IETF standardisiertes Protokoll zum Zugriff auf Verzeichnisse.

Online Certificate Status Protocol (OCSP)

Von der IETF standardisiertes Protokoll zur Online-Abfrage von Statusinformation von Zertifikaten.

OCSP-Responder Server, der über OCSP Auskünfte zum Sperrstatus von Zertifikaten erteilt

Öffentlicher Schlüssel Nicht-geheimer Teil eines Schlüsselpaares bei asymmetrischen Schlüsselpaaren

PKI Public Key Infrastructure – englischer Begriff für das technische und organisatorische Umfeld bei asymmetrischen Kryptografieverfahren.

PIN Personal Identification Number – Geheimzahl zur Authentisierung eines Individuums z.B. gegenüber einer Chipkarte.

Personalisierung Sub-System der Zertifizierungsstelle, das die Kartenpersonalisierung durchführt.

Privater Schlüssel Geheimer Teil eines Schlüsselpaares bei asymmetrischen


- 36 -

SchlüsselpaarenRegistrierungsinstanz Stelle eines Zertifizierungsdienstes, die die Zertifikatsbewerber und -

inhaber erfasst und identifiziert, sowie die Anträge auf Ausstellung der Zertifikate entgegennimmt und bearbeitet.

RSA Asymmetrisches Kryptografieverfahren für Verschlüsselung und elektronischer Signatur, benannt nach Rivest, Shamir, Adleman.

Sperrliste Liste, in der ein Anbieter eines Zertifizierungsdienstes die Sperrinformation der von ihm ausgestellten Zertifikate veröffentlicht.

SSL Secure Socket Layer – Protokoll zur sicheren Kommunikation z.B. über das Internet.

Verzeichnisdienst Dienst über den Zertifikate abgerufen werden können Sperrung Endgültige Sperrung eines Zertifikates. Eine Sperrung eines Zertifikats

wird in die Sperrliste aufgenommen. X.501 Von der ITU definierter Standard, der die Struktur von Verzeichnissen

und entsprechende Namensformen zur Identifizierung der Objekte in Verzeichnissen festlegt.

X.509 Von der ITU definierter Standard, der unter anderem die heute überwiegend verwendeten Datenformate für Zertifikate und Sperrlisten definiert.

Zertifikat Eine elektronische Bescheinigung, mit der ein öffentlicher Signaturschlüssel dem Zertifikatsinhaber zugeordnet wird und dessen Identität bestätigt wird. Ein Zertifikat enthält Angaben zum Inhaber (Name, Alternativer Name), zum Aussteller (Name, Sperrliste) und zur Nutzung des Zertifikates (anwendbare Certificate Policies, zulässige Schlüsselnutzung), sowie den öffentlichen Schlüssel des Inhabers (mit Angaben zum Kryptografieverfahren). Außerdem enthält das Zertifikat eine elektronische Signatur (mit Angaben zum Kryptografieverfahren), welche die Authentizität und Integrität der im Zertifikat enthaltenen Daten sicherstellt.

Zertifikatsinhaber Entität, für die das Zertifikat ausgestellt wird. Der Zertifikatsinhaber ist im Zertifikat als „Subject“ eingetragen.

Zertifizierungsdienst Entität, die Zertifikate ausstellt. Im Sinne dieses CPS die Gesamtheit aller technischen Einrichtungen und organisatorischen Einheiten, mit denen die Deutsche Post Com die Zertifikate für die Signtrust-Signaturkarten bzw. Softwarezertifikate ausstellt.

Zertifizierungshierarchie Baumartige Struktur bestehend aus den Zertifizierungsinstanzen und den von ihnen ausgestellten Zertifikaten. Auf der untersten Hierarchie-Ebene stehen die Zertifikate der Endanwender. Unter jeder Zertifizierungsinstanz hängen an entsprechenden Ästen die Entitäten, für die sie Zertifikate ausstellen. Die oberste Zertifizierungsinstanz nennt man Root-CA.

Zertifizierungsinstanz Logische Einheit eines Zertifizierungsdienstes zur Ausstellung (Signierung) von Zertifikaten. Jeder Zertifizierungsinstanz sind jeweils ein oder mehrere Schlüsselpaare zur Signierung der Zertifikate zugeordnet.

Documents

Signtrust CPS Signtrust CERT 1 3 - Deutsche Post€¦ · Version: 1.3 Stand: 01.07.2014 Status: Zur Freigabe . Deutsche Post Signtrust und DMDA GmbH - b - Handbücher und Software