3ureohph - IT-Dienstleistungszentrum Berlin

Aufbau einer Public
Key Infrastructure für
sichere E-Mail in der
Berliner Verwaltung
Ziel des Aufbaues einer Public
Key Infrastructure (PKI) im
LIT ist es, die bestehenden
sicherheitsrelevanten Dienste (z. Z. Verschlüsselung
mit VPN und sicheren
Web-Verkehr) um sichere E-Mail zu
erweitern und in eine verwaltungskonforme
Zertifizierungsinfrastruktur
zu integrieren. Die PKI wird als zentrale
IT-Infrastrukturdienstleistung eingesetzt,
wodurch der LIT seinen Kunden
eine hohe Kommunikationssicherheit
bei IT-Anwendungen anbieten kann. Der
Artikel informiert über die allgemeingültige
Struktur einer PKI, nimmt Bezug
auf die Angebote des LIT und deren
PKI, stellt die Verwaltungs-PKI vor und
gibt einen Ausblick auf weitere Planungen
im LIT.
Was ist eine PKI?
Eine PKI ist eine Vertrauensinfrastruktur,
bei der die Gültigkeit des
öffentlichen Schlüssels eines
Zertifikatnehmers mit den dazugehörenden
Identifikationsmerkmalen (wie
Schlüsselinhaber, beglaubigende Stelle,
Gültigkeitszeitraum etc.) durch die elektronische
Signatur der Zertifizierungsinstanz
(CA) beglaubigt wird.
Mit den Zertifikaten, die auf einer funktionsfähigen
PKI nach dem Standard
X.509v3 und der asymmetrischen Kryptografie
mit dem RSA-Algorithmus zur
Herstellung asymmetrischer Schlüsselpaare
basieren, wird die elektronische
Kommunikation vor unberechtigter Einsichtnahme
durch Verschlüsselung (Vertraulichkeit)
gesichert und die Authentizität
des angegebenen Kommunikationspartners
ist durch die elektronische Signatur
gewährleistet. Eine PKI besteht
aus verschiedenen Zertifizierungsinstanzen
mit unterschiedlichen Aufgaben.
2
Die Policy Certification Authority (PCA) ist die höchste Zertifizierungsinstanz
(Wurzelzertifizierungsstelle), die die technischen, organisatorischen und personellen
Sicherheitsrichtlinien (Policy) für die Erzeugung und Verwaltung von Zertifikaten
festlegt. Sie unterschreibt ein selbsterzeugtes Wurzelzertifikat und signiert damit
ausschließlich die öffentlichen Schlüssel der in der PKI angeschlossenen Certification
Authorities (CAs). Die Zertifikate der beteiligten CAs wie auch die Widerrufslisten
(CRL) gesperrter Zertifikate werden veröffentlicht (z.B. auf einem Verzeichnisserver).
Jede CA kann Registration Authorities (RAs) aber auch weitere untergeordnete CAs
in die Zertifizierungshierarchie integrieren, wenn diese die Sicherheitsrichtlinien der
PCA akzeptieren. Dadurch kann sich die Zertifizierungshierarchie in den untergeordneten
Instanzen erweitern.
Die RA nimmt den Antrag des Zertifikatnehmers entgegen, prüft dessen Identität
und leitet den Antrag an die CA weiter. Die Aufgabe der CA besteht darin, nach
vorheriger Prüfung des Zertifikatsantrages auf Einhaltung des Namenskonzeptes,
indem jeder Zertifikatnehmer einen eindeutigen Namen in Form eines X.500
Distinguished Name (DN) bekommt, ein asymmetrisches Schlüsselpaar (öffentlicher
und geheimer Schlüssel) für den Zertifikatnehmer zu generieren. Danach wird
die Gültigkeit des öffentlichen Schlüssels des Zertifikatnehmers von der CA beglaubigt
und im Verzeichnisdienst veröffentlicht. Bei einem Software-Zertifikat wird der
bestätigte öffentliche Schlüssel des Zertifikatnehmers zusammen mit seinem geheimen
Schlüssel verschlüsselt in eine Datei gespeichert, die als PSE (Personal security
environment = Persönliche Sicherheitsumgebung) bezeichnet wird. Die PSE und
der erstellte PIN-Brief, der das Passwort für den Transportschlüssel der PSE enthält,
wird an die RA gesandt. Beim Einsatz von Chip-Karten wird der geheime Schlüssel
auf den Chip gespeichert.
Nachdem die RA das PSE (Zertifikat und geheimer Schlüssel) und den PIN-Brief
von der CA erhalten hat, übergibt sie dieses an den Zertifikatnehmer. è
Abbildung 1
2/01 2 4