TELETRUST MailTrusT Spezifikation - Secorvo Security Consulting ...

PCA: Eine Policy CA (PCA) ist zuständig für die Organisation und Kontrolle des Betriebs in
dem gesamten ihr nachgeordneten Teilbaum. Sie erläßt eine Security Policy, die den
Umgang mit Vorgängen und Komponenten innerhalb ihres Teilbaums regelt und die
für den gesamten nachgeordneten Teilbaum verbindlich ist.
Die PCA zertifiziert CAs und läßt diese damit für den Betrieb innerhalb des Teilbaums
und unter den Regeln der von ihr herausgegeben Security Policy zu.
CA: Die Certification Authorities (CAs) sind dafür zuständig, die eigentlichen Teilnehmerzertifikate
auszustellen und Teilnehmer damit für die Teilnahme innerhalb der Zertifizierungshierarchie
zuzulassen.
CAs können auch weitere nachgeordnete CAs zertifizieren, so daß die CAs selbst
wiederum mehrstufig gestaffelt sein können. Es wird jedoch empfohlen, aus Performance-
und Übersichtlichkeitsgründen die gesamte Zertifizierungshierarchie so flach
wie möglich zu halten.
TN: Die Teilnehmer sind die eigentlichen Nutzer der Zertifizierungsinfrastruktur. Sie haben
im Rahmen der Zertifizierungsinfrastruktur keine weiteren Aufgaben und nutzen
die innerhalb dieser Infrastruktur verteilten Zertifikate und Schlüsselinformationen
zum Schlüsselaustausch und zur sicheren Kommunikation mit anderen Teilnehmern.
Die hier definierte Hierarchie kann je nach Bedarf systemspezifisch gekürzt werden. In einer
konkreten Umsetzung kann eine solche Hierarchie statt auf der Ebene der TLCA auch auf
PCA- oder CA-Ebene beginnen.
Wichtig dabei ist, daß
• die Hierarchie stets mit einer für alle Teilnehmer gemeinsamen Wurzel beginnt.
• die Rollen der hier definierten Instanzen beibehalten werden, gegebenenfalls ergänzt
um Aufgaben, die durch den Wegfall höherer Hierarchieebenen zusätzlich übernommen
werden müssen.
• die Hierarchie stets so aufgebaut ist, daß zu jedem Teilnehmer ein eindeutiger Pfad von
der Wurzel der Hierarchie bis zu ihm selbst definiert ist.
In einer solchen Zertifizierungshierarchie genügt es einem Teilnehmer, den öffentlichen
Schlüssel der Wurzel der Hierarchie (kurz: Wurzelschlüssel) sicher zu kennen, um mit Hilfe
von Zertifikaten, die im Netz verteilt oder mit Nachrichten mitgeschickt werden, jeden anderen
öffentlichen Schlüssel eines beliebigen Teilnehmer sicher erhalten und überprüfen zu
können. Eine direkte Kontaktaufnahme zwischen Teilnehmern vor Aufnahme einer sicheren
Kommunikation ist dabei nicht erforderlich.
Um einen beliebigen öffentlichen Schlüssel erhalten und überprüfen zu können, benötigt ein
Teilnehmer den zu diesem Schlüssel gehörenden Zertifizierungspfad. Der Zertifizierungspfad
besteht aus der Folge aller Zertifikate von dem fraglichen Schlüssel bis zur Wurzel der
Zertifizierungshierarchie. Für die Überprüfung eines Teilnehmerschlüssels in der oben aufgezeichneten
Hierarchie würde dafür beispielsweise benötigt:
• das Zertifikat der CA über den öffentlichen Teilnehmerschlüssel
• das Zertifikat der PCA über den öffentlichen CA-Schlüssel
• das Zertifikat der TLCA über den öffentlichen PCA-Schlüssel
(In obigem Bild entspricht ein Zertifikat jeweils einer Verbindungslinie, d.h. dem Übergang
von einer Instanz auf die vor- bzw. nachgeordnete)
Der Teilnehmer prüft dann mit Hilfe des ihm sicher bekannten Wurzelschlüssels das Zertifikat
der TLCA über den PCA-Schlüssel und erhält so auf sichere Weise den öffentlichen
Schlüssel der PCA. Mit diesem prüft er das Zertifikat der PCA über den CA-Schlüssel und
erhält so auf sichere Weise den öffentlichen Schlüssel der CA. Mit diesem wiederum kann er
MailTrusT-Spezifikation Seite 30 von 52
Mttspc11.doc Stand: 15. Dezember 1997