Zertifikatsrichtlinie (CP)
Eine Zertifikatsrichtlinie beschreibt die Maßnahmen zur Validierung des Zertifikatsinhabers vor der Ausstellung sowie die beabsichtigten Zwecke des Zertifikats. Für viele Organisationen entscheidet die Zertifikatsrichtlinie darüber, ob dem vorgelegten Zertifikat vertraut wird. Die Richtlinie informiert Benutzer und PKI- Administratoren außerdem über die Beantragung von Zertifikaten, die Namenskonventionen für Zertifikate und weitere Details. Die Zertifikatspraxisrichtlinie (Certificate Practice Statement, CPS) orientiert sich an den in der Richtlinie festgelegten Standards.
Inhalt einer Zertifikatsrichtlinie
Eine Zertifikatsrichtlinie sollte die folgenden Informationen enthalten:
Die Methode, mit der die Identität des Benutzers während der Zertifikatsregistrierung validiert wird
Das Verfahren zur Identifizierung eines legitimen Benutzers muss definiert werden. Dies kann über eine Kombination aus Benutzername und Passwort oder andere Identifikationsformen erfolgen, die Antragsteller/Benutzer zur Bestätigung vorlegen müssen.
Der Verwendungszweck des Zertifikats
Der Zweck, für den das Zertifikat beantragt wurde, muss in der Richtlinie klar angegeben werden. Wird das Zertifikat beispielsweise zur Authentifizierung im Netzwerk oder zur Signierung von Bestellungen verwendet? Falls es zur Signierung von Bestellungen dient, gibt es einen maximal zulässigen Wert? Solche Fragen sollten in der Zertifikatsrichtlinie beantwortet werden.
Der Gerätetyp, auf dem der private Schlüssel des Zertifikats gespeichert ist
Der private Schlüssel wird auf der lokalen Festplatte des Computers im Benutzerprofil oder auf einem Hardwaregerät wie einer Smartcard gespeichert. Weitere Maßnahmen, wie beispielsweise ein starker Schutz des privaten Schlüssels oder die Verwendung eines Passworts für den Zugriff darauf, können ebenfalls in diese Informationen aufgenommen werden.Die Verantwortung des Inhabers für den privaten Schlüssel, der mit dem Zertifikat verknüpft ist, wenn der private Schlüssel kompromittiert wird oder verloren geht
Ist der Benutzer für alle Aktionen verantwortlich, die mit dem erworbenen privaten Schlüssel ausgeführt werden, wenn der private Schlüssel kompromittiert wird oder eine Sicherungskopie des privaten Schlüssels verloren geht? Diese Entscheidung kann dazu führen, dass die Archivierung oder der Export des mit dem Zertifikat verknüpften privaten Schlüssels verhindert wird.
Widerrufsrichtlinien, -verfahren und -verantwortlichkeiten
Es umfasst die Handlungen oder Ereignisse, die zum Entzug eines Zertifikats führen, wie der Entzugsprozess eingeleitet wird und wer das eigentliche Entzugsverfahren durchführt.
Zertifikatspraxiserklärung (CPS)
Eine Zertifizierungspraxisrichtlinie (Certification Practice Statement, CPS) definiert die Maßnahmen zur Sicherung des Betriebs einer Zertifizierungsstelle (CA) und zur Verwaltung der von ihr ausgestellten Zertifikate. Eine CPS kann als Vereinbarung zwischen der CA-Verwaltungsorganisation und den Nutzern der von der CA ausgestellten Zertifikate verstanden werden. Während die Zertifizierungsrichtlinie (CP) dem Nutzer oder Zertifikatsverwalter vorschreibt , was zu tun ist, beschreibt die CPS die Umsetzung. Die CPS einer CA ist ein öffentliches Dokument, das allen Beteiligten leicht zugänglich sein sollte, damit ein vertrauender Nutzer feststellen kann, ob die von dieser CA ausgestellten Zertifikate seinen Sicherheitsanforderungen entsprechen. Die CPS kann folgende Informationen enthalten:
- Wie die Zertifizierungsstelle die erforderlichen Maßnahmen zur Validierung des Zertifikatsgegenstands gemäß den Anforderungen der Zertifikatsrichtlinie durchsetzen wird.
- Die Haftung der Organisation, wenn eine betrügerische Handlung gegen den durch das Zertifikat geschützten Dienst begangen wird und sich herausstellt, dass der Fehler mit dem Zertifikat zusammenhängt.
- Die Umstände, unter denen ein Zertifikat vor seinem Ablauf widerrufen werden kann.
RFC 3647 empfiehlt ein standardisiertes CPS-Format, das die folgenden neun Abschnitte umfasst:
Einführung
Die Einführung eines CPS bietet einen Überblick über die Zertifizierungsstelle sowie über die Arten von Benutzern, Computern, Netzwerkgeräten oder Diensten, die Zertifikate erhalten. Außerdem enthält sie Informationen zur Zertifikatsverwendung.
Veröffentlichungs- und Repositoriumspflichten
Dieser Abschnitt enthält Details darüber, wer die Komponenten der Public-Key-Infrastruktur betreibt und wer für die Veröffentlichung des CP oder CPS verantwortlich ist.
Identifizierung und Authentifizierung (I&A)
In diesem Abschnitt werden die Namensformate beschrieben, die den von der Zertifizierungsstelle ausgestellten Zertifikaten zugewiesen und verwendet werden. Außerdem werden die von der Zertifizierungsstelle implementierten Zertifikatsrichtlinien und Sicherheitsstufen beschrieben und die Identifizierungsverfahren für diese beschrieben.
Erstregistrierung für ein Zertifikat
Die Maßnahmen zur Überprüfung der Identität des Zertifikatsantragstellers.
Erneuerung eines Zertifikats
Werden bei der Erneuerung eines Zertifikats die Maßnahmen der Erstregistrierung wiederholt? In manchen Fällen reicht der Besitz eines bestehenden Zertifikats und des privaten Schlüssels als Identitätsnachweis aus, um bei der Erneuerung ein neues Zertifikat zu erhalten.
Anträge auf Widerruf
Wenn ein Zertifikat widerrufen werden muss, welche Maßnahmen werden ergriffen, um sicherzustellen, dass der Antragsteller berechtigt ist, den Widerruf eines Zertifikats zu beantragen?
Betriebsanforderungen für den Lebenszyklus des Zertifikats
In diesem Abschnitt werden die Betriebsverfahren für die CA-Verwaltung, die Ausstellung von Zertifikaten und die Verwaltung ausgestellter Zertifikate definiert.
Anlagen-, Management- und Betriebskontrollen
Es beschreibt die physischen, verfahrenstechnischen und personellen Kontrollen, die in der Zertifizierungsstelle für die Schlüsselerzeugung, die Subjektauthentifizierung, die Zertifikatsausstellung, den Zertifikatswiderruf , die Prüfung und die Archivierung implementiert sind. Diese Kontrollen können von der Beschränkung des physischen Zugangs zur Zertifizierungsstelle auf bestimmte Personen bis hin zur Sicherstellung reichen, dass jedem Mitarbeiter nur eine einzige PKI-Verwaltungsrolle zugewiesen wird.
Technische Sicherheitskontrollen
Darin sind die Sicherheitsmaßnahmen enthalten, die die CA zum Schutz ihrer kryptografischen Schlüssel und Aktivierungsdaten ergreift.
Zertifikat-, CRL- und OCSP-Profile
Es wird verwendet, um drei Arten von Informationen anzugeben:
- Informationen zu den von der CA ausgestellten Zertifikatstypen Werden beispielsweise von einer Zertifizierungsstelle Zertifikate für die Benutzerauthentifizierung, EFS oder Codesignatur ausgestellt?
- Informationen zu CRL-Inhalten Dies sollte Informationen zu den für CRLs unterstützten Versionsnummern und den in den CRL-Objekten enthaltenen Erweiterungen bereitstellen.
- OCSP-Profile Dieser Abschnitt sollte Informationen darüber enthalten, welche Versionen von Online Certificate Status Protocol (OCSP) verwendet werden (z. B. welche RFCs von der OCSP-Implementierung unterstützt werden) und welche OCSP-Erweiterungen in ausgestellten Zertifikaten enthalten sind.
Compliance-Audit und andere Beurteilungen
In diesem Abschnitt wird detailliert beschrieben, was bei einem Compliance-Audit geprüft wird, wie oft das Compliance-Audit durchgeführt werden muss, wer das Audit durchführt (wird das Audit vom internen Team oder von einem Dritten durchgeführt?), welche Maßnahmen zu ergreifen sind, wenn die Compliance-Prüfung nicht positiv ausfällt, und wer berechtigt ist, den endgültigen Auditbericht einzusehen.
Sonstige geschäftliche und rechtliche Angelegenheiten
Es regelt allgemeine geschäftliche und rechtliche Aspekte der CP und CPS. Zu den geschäftlichen Aspekten gehören die Gebühren für Dienstleistungen und die finanzielle Verantwortung der PKI-Teilnehmer. Zu den rechtlichen Aspekten gehören der Schutz der von der PKI erfassten personenbezogenen Daten, geistige Eigentumsrechte, Garantien, Haftungsausschlüsse, Haftungsbeschränkungen und Freistellungen.
Fazit
Die Zertifikatsrichtlinie ist ein Dokument, das die Standards der PKI definiert, und die CPS legt die in der PKI verwendeten Verfahren fest.
