TELETRUST MailTrusT Spezifikation - Secorvo Security Consulting ...

4.2.5 Online-Dienste
Die MailTrust-Spezifikation geht in der vorliegenden Version nicht von der Verfügbarkeit und
Nutzung eines X.500-Verzeichnisses aus. Eine Integration von X.500-Diensten wird im Rahmen
dieser Spezifikation nicht gefordert.
Gemäß [RFC1422] und [RFC1424] werden für die Kommunikation zwischen Teilnehmern
und ihren zugehörigen CAs und entsprechend zwischen CAs, PCAs und TLCA folgende
zusätzlichen Austauschformate spezifiziert:
• Zertifizierungsanfrage zur Zertifizierung eines durch den Teilnehmer generierten
Schlüssels durch die zuständige CA
• zugehörige Zertifizierungsantwort
• Abruf einer Sperrliste
• Übermittlung einer Sperrliste
Im Rahmen dieser Spezifikation ist zur Zeit nicht definiert, wie Zertifikate automatisch von
einer zentralen Stelle (Zertifizierungsstelle oder Verzeichnisdienst) angefordert werden
können. Die Zertifikate selbst sind im Rahmen eines solchen Dienstes stets in einem der in
Kapitel 3 spezifizierten Nachrichtenformate auszuliefern.
Typischerweise werden Zertifikate jeweils in den PEM- bzw. MTT-Nachrichten mitgeliefert
oder sind bei Bedarf als PEM- oder MTT-Nachricht von dem gewünschten Teilnehmer
anzufordern.
4.2.5.1 Zertifizierungsanfrage
Eine Zertifizierungsanfrage ist eine „MIC-CLEAR“- oder „MIC-ONLY“- Nachricht, die als
„Originator-Certificate“ ein vom Teilnehmer selbst unterschriebenes Zertifikat über seinen
eigenen, zur Zertifizierung vorgelegten öffentlichen Schlüssel enthält („self-signed
certificate“).
Die Felder dieses selbst unterschriebenen Zertifikats sind wie folgt zu belegen:
version 0 (X.509v1-Zertifikat)
serialNumber beliebig, Vorschlag: 0
signature Algorithmus, mit dem der Teilnehmer das selbst erzeugte
Zertifikat signiert hat.
issuer X.500-Distinguished-Name des Teilnehmers
validity beliebig, Vorschlag: notBefore = notAfter = 1. Januar 1970, 12:00
subject X.500-Distinguished-Name des Teilnehmers (wie „issuer“)
subjectPublicKeyInfo zu zertifizierender öffentlicher Schlüssel des Teilnehmers
Der in „signature“ angegebene Algorithmus muß asymmetrisch sein und eine Hashfunktion
beinhalten, zu deren Berechnung kein kryptographischer Schlüssel erforderlich ist, damit
das Zertifikat von Externen ohne weitere Informationen oder Schlüssel geprüft werden kann.
4.2.5.2 Zertifizierungsantwort
Die Zertifizierungsantwort entsteht aus der Zertifizierungsanfrage dadurch, daß das in der
Anfrage noch vom Teilnehmer selbst unterschriebene Zertifikat durch das neue Zertifikat der
CA ersetzt wird und gegebenenfalls weitere, zum Zertifizierungspfad des Teilnehmers
gehörende „Issuer-Certificate“-Felder eingefügt werden. Nachrichteninhalt und Signatur der
Nachricht bleiben unverändert.
MailTrusT-Spezifikation Seite 36 von 52
Mttspc11.doc Stand: 15. Dezember 1997