Beantragung und Nutzung des digitalen Zertifikates

Aus HSMWiki
Wechseln zu: Navigation, Suche

Zertifikat für digitale Signatur beantragen und nutzen

Die Hochschule Mittweida ist Teil der PKI (Public-Key-Infrastruktur) des DFN und Zertifizierungsstelle für die Angehörigen der Hochschule.

Damit haben alle Angehörige der Hochschule die Möglichkeit, ein persönliches Zertifikat beim DFN zu beantragen. Die Zertifikate werden von der Hochschule nach Prüfung der Identität des Antragstellers freigeschaltet.

Das Verfahren zur Beantragung eines persönlichen Zertifikats muss von jeder Person selbst durchgeführt werden, da es sich um vertrauliche Daten handelt, die mit Kennworten zu schützen sind. Mit Hilfe eines Zertifikates können E-Mails vom Absender digital signiert werden.

Digital signierte E-Mails geben dem Empfänger die Sicherheit, dass

  1. Der Absender der Mail verbindlich geprüft werden kann
  2. Der Inhalt der Mail während der Übertragung nicht geändert wurde.

An den Inhaber eines Zertifikats können verschlüsselte E-Mails gesendet werden, wenn dieser seinen öffentlichen Schlüssel veröffentlicht.

Folgende Aktionen bzw. Schritte sind erforderlich, um das Zertifikat zu erstellen

  1. Beantragung des Zertifikats auf der PKI-Seite des DFN
    • Festlegen eines Kennworts für den Schutz des Browser-Speichers
    • Angabe ihrer Daten, für das Zertifikat gültig sein soll
    • Festlegung einer PIN (eines Kennworts) zum Sperren des Zertifikats
    • Entscheidung über die Veröffentlichung des Zertifikats
  2. Zertifikatsantrag bearbeiten
    • Drucken und Unterschrieben des Antrags
    • Prüfung des Antrags beim Teilnehmerservice (NCC)
    • Zertifikat erstellen (wird vom Teilnehmerservice durchgeführt)
  3. Zertifikatsdatei erstellen
    • Zertifikatsdatei erzeugen und Kennwort zum Schutz festlegen
    • Zertifikatsdatei abspeichern (*name*.p12)

Für diesen Vorgang benötigen Sie drei verschiedene Kennworte. Da während der Beantragung des Zertifikats der persönliche Schlüssel generiert und im Browser gespeichert wird, müssen alle Schritte auf dem selben Endgerät und mit dem selben Browser durchgeführt werden.

Beantragung des Zertifikats auf der PKI-Seite des DFN

Link zu der Seite. Die Seiten enthalten detaillierte Erläuterungen. Nehmen sie sich Zeit, diese zu lesen.

Nutzung digitale sig01.png

Da das Schlüsselpaar schon bei der Beantragung generiert wird, müssen sie den privaten Schlüssel schützen. Das geschieht mit einem Kennwort für den Browser-Speicher, in dem der private Schlüssel abgelegt wird.

Nutzung digitale sig02.png

Dann geht es wirklich los.

Nutzung digitale sig03.png


Die Daten für das Zertifikat müssen eingegeben werden. Auch eine PIN (ein Kennwort), mit der sie das Zertifikat sperren können. Das NCC enpfiehlt die Veröffentlichung des Zertifikats. Informationen dazu können sie hier nachlesen.

Nutzung digitale sig04.png


Die Daten werden in den Antrag übernommen und nochmals dargestellt. Der Zeritfikatsantrag muss nach dem Anzeigen ausgedruckt werden. Dann ist erst einmal Schluss am PC.

Nutzung digitale sig05.png

Den Antrag unterschreiben und persönlich zur Prüfung vorlegen. Die Prüfung der Identität des Antragstellers erfolgt im NCC anhand des Personalausweises.

Nutzung digitale sig06.png


Nach der Prüfung und Bestätigung im NCC erhalten sie eine E-Mail. Sie enthält ihren öffentlichen Schlüssel und den Link zur weiteren Bearbeitung. Die E-Mail ist signiert! Die Bearbeitung muss auf dem selben Endgerät mit dem selben Browser fortgesetzt werden, mit dem der Antrag gestellt wurde.

Nutzung digitale sig07.png

Sie sehen dann ihren Zertifikatsantrag und können die Bearbeitung fertigstellen, in dem sie die Zertifikatsdatei erzeugen. Sie benötigen dazu

Nutzung digitale sig08.png

Nutzung digitale sig09.png

Nutzung digitale sig10.png

Jetzt wird die Datei mit ihrem persönlichen Schlüssel erzeugt. Diese schützen sie mit einem Kennwort.

Nutzung digitale sig11.png

Nutzung digitale sig12.png

Wenn Sie wollen, dass Ihnen Partner verschlüsselte E-Mails schicken können, müssen Sie einer Veröffentlichung des Zertifikats im Verzeichnisdienst des DFN zustimmen. Das NCC empfiehlt die Veröffentlichung. Das Zertifikat wird dann per E-Mail vom DFN an den Antragsteller gesendet. Es muss im Browser über den in der Mail mitgelieferten Link registriert werden. Aus dem Browser kann das Zertifikat exportiert und im E-Mail Client (Outlook, Thunderbird o.ä.) importiert und zur Signatur verwendet werden.

Export im Firefox:

  1. Menü "Erweitert"
  2. "Zertifikate" auswählen
  3. Zertifikat
  4. Zertifikate anzeigen
  5. Ihre Zertifikate
  6. Auswählen und sichern

Import im Outlook Im Sicherheitscenter Zertifikat importieren und für Signatur registrieren.

Verwendung des Zertifikats im Outlook zum Signieren von Nachrichten

Der private Schlüssel muss Outlook zur Verfügung gestellt werden, damit Nachrichten signiert werden können. Die Einstellungen lassen sich mit folgenden Schritten öffnen:

  1. In der Menüleiste auf "Datei" klicken
  2. Optionen auswählen
  3. Anschließend "Trust Center"
  4. Einstellungen für das Trust Center öffnen
  5. E-Mail-Sicherheit auswählen
  6. "Digitale ID Importieren/Exportieren"
  7. Anschließend die Datei mit dem privaten Schlüssel auswählen (Kennwort erforderlich!)

Mit der Option „Ausgehenden Nachrichten digitale Signatur hinzufügen“ kann das Signieren von Nachrichten als Standardeinstellung vereinbart werden. Von der gewählten Standardeinstellung kann im Outlook bei einer E-Mail unter Optionen -> Signieren abgewichen werden.

Was bedeutet die Veröffentlichung von Zertifikaten?

Bei der Veröffentlichung von Zertifikaten muss grundsätzlich zwischen Nutzer- und Serverzertifikaten unterschieden werden.

Für Nutzerzertifikate gilt:

Wenn Sie der Veröffentlichung Ihres Nutzerzertifikats zustimmen, wird dieses zum Verzeichnisdienst der DFN-PKI hinzugefügt, der im Internet frei zugänglich ist. Der Vorteil einer Veröffentlichung besteht darin, dass jeder, der Ihnen eine verschlüsselte E-Mail senden möchte, dies leicht tun kann, da das entsprechende Zertifikat frei verfügbar ist. Da Nutzerzertifikate den Namen und die E-Mail Adresse des Zertifikatnehmers enthalten, sind diese Daten bei einer Zustimmung zur Veröffentlichung frei verfügbar.

Die Veröffentlichung eines Nutzerzertifikats ist vergleichbar mit einer Telefonnummer, die Sie in ein öffentliches Telefonverzeichnis eintragen lassen können. Stimmen Sie der Eintragung zu, so kann jeder (ob gewünscht oder ungewünscht) Sie ohne vorherige Kontaktaufnahme telefonisch erreichen.

Bitte beachten Sie:

  • Sie können Ihre Zustimmung zur Veröffentlichung Ihres Zertifikats jederzeit mit Wirkung für die Zukunft durch eine E-Mail an dfnpca@dfn-cert.de widerrufen. Nennen Sie uns in der E-Mail bitte die Seriennummer des Zertifikats und die ausstellende Zertifizierungsstelle. Diese Informationen sind aus den Zertifikatdetails ersichtlich.
  • Wenn Sie der Veröffentlichung Ihres Nutzerzertifikats nicht zustimmen, kann dies nachträglich nicht geändert werden. Sie müssen dann ein neues Zertifikat beantragen und dafür der Veröffentlichung zustimmen.

Für Serverzertifikate gilt: Serverzertifikate werden in der DFN-PKI in Certificate Transparency Logs veröffentlicht. Dies sind von Dritten betriebene Systeme, die der Transparenz und damit der Sicherheit der Web-PKI dienen. Ohne die Veröffentlichung wären Serverzertifikate nicht mehr in Google Chrome funktionsfähig. Die Veröffentlichung von Serverzertifikaten kann nicht zurückgenommen werden. Certificate Transparency Logs werden von Dritten betrieben, auf die der DFN keinen Einfluss hat. Darüber hinaus basiert Certificate Transparency auf Datenstrukturen, die durch digitale Signaturen inhärent gegen nachträgliche Änderungen gesichert ist. Weitere Erläuterungen finden Sie im Blog der DFN-PKI