3ureohph - IT-Dienstleistungszentrum Berlin

ç Was bietet der LIT seinen Kunden?
Der Fachbereich KISS vom LIT hat eine PKI mit den entsprechenden
Zertifizierungsinstanzen auf der Basis von Open Source Software (Linux, OpenSSL)
und dem Standard X.509v3 aufgebaut, um seinen Kunden die Sicherung der
zertifikatbasierten Kommunikation für die IT-Anwendungen E-Mail, Web-Verkehr
und VPN zu bieten. Die PKI besteht aus drei CAs (CA E =E-Mail, CA W =Web-Server,
CA M =Maschinen) und einer RA. Für die Identitätsprüfung von E-Mail-
Zertifikatnehmern wurden zusätzlich lokale RAs (LRA) eingerichtet. Die E-Mail-
Zertifizierung wird vorerst als Pilot-Projekt erprobt, und ein Anschluss an die
Verwaltungs-PKI ist geplant.
Die Verschlüsselung des Inhalts (content) und die elektronische Signatur einer E-
Mail erfolgt mit dem S/MIME-Verfahren. S/MIME ist in dem Industriestandard
MailTrusT (MTTv2) als interoperables Datenaustauschformat für signierte und
verschlüsselte Daten definiert und dient der sicheren Übertragung von E-Mail. Zur
Erreichung einer sicheren Kommunikation zwischen Client (Web-Browser) und
Server (HTTP-Server) wird das kryptografische Protokoll SSL zur verschlüsselten
Datenübertragung eingesetzt. IPSec ist das Protokoll, das Authentisierung und
Verschlüsselung in IP-Netzen ermöglicht und die Grundlagen für die Einrichtung
von Virtuellen Privaten Netzwerken (VPN) bietet. Die Produkte MS Outlook 2000
und Outlook Express (Version 5.5), MS Internet Explorer (Version 5.5), SafeGuard
VPN und NetScreen können beim Einsatz von Zertifikaten verwendet werden.
Abbildung 2
Wie sind die Arbeitsabläufe zur Erstellung von E-Mail Zertifikaten innerhalb
der LIT-PKI?
Interessierte LIT-Kunden benennen einen lokalen Zertifikatsoperator (LRA) zur
Beantragung von E-Mail Zertifikaten für Mitarbeiter(innen) ihrer Behörde. Der
LRA-Operator sendet eine beglaubigte Liste mit den geprüften Identitätsangaben
der Zertifikatnehmer aus der Behörde per persönlicher Post an die LIT-RA. Der
LRA-Operator bekommt von der LIT-RA einen Benutzernamen sowie ein Passwort
2/01 2 5
und erhält damit Zugang zum Web-
Formular (unter der URL: https://
kissis.lit.verwalt-berlin.de/ra/) für die
Beantragung von Zertifikaten.
Das ausgefüllte Web-Formular ist der
Zertifikatsantrag bei dem u. a. die Art
des Antrages (Neuausstellung, Widerruf,
Verlängerung) ausgewählt wird. Das
Formular wird vom Web-Server der RA
als E-Mail an den RA-Operator gesandt.
Der Antrag und die Identität des Antragstellers
wird von der RA aufgrund
der schriftlich eingereichten Liste der
LRA geprüft und an die CA E (E-Mail)
per signierter Mail weitergeleitet.
Es gibt bei der CA E eine Trennung zwischen
online- und offline-Betrieb (diese
Trennung besteht bei jeder CA im LIT).
Die Erstellung der Zertifikate erfolgt
ausschließlich mit der offline-CA E , um
den geheimen Schlüssel der CA E vor
Kompromittierung zu schützen. Die
online-CA E erhält den Zertifikatsantrag
von der RA, kopiert den Antrag auf
Diskette, nachdem sie den Antrag auf
die Eindeutigkeit des Namens in Form
eines X.500 Distinguished Name geprüft
hat. Die offline-CA E legt die Diskette
dazu ein, generiert die asymmetrischen
Schlüsselpaare und beglaubigt den
öffentlichen Schlüssel mit ihrer elektronischen
Signatur. Das Zertifikat und der
geheime Schlüssel werden als PSE (Personal
security environment) mit einem
Transportschlüssel verschlüsselt und in
eine Disketten-Datei kopiert. Das Passwort
für den Transportschlüssel wird in
einem PIN-Schreiben an den
Zertifikatnehmer ausgedruckt und an
die RA gegeben. Die online-CA E legt die
Diskette dazu ein und sendet die PSE
per signierter E-Mail an die RA, damit
diese es an den Zertifikatnehmer weiterleiten
kann. Der PIN-Brief mit dem
Transport-Passwort wird per vertraulicher
Post an den Zertifikatnehmer gesandt.
Was ist die Verwaltungs-PKI?
Der Bund hat die Verwaltungs-PKI (die
PKI-1-Verwaltung genannt wird) für die
gesamte öffentliche Verwaltung è
7