Fraunhofer DFN-PKI

2013-01-09T11:13:21+01:00

Fraunhofer DFN-PKI

Aufgrund der Verkettung des Fraunhofer Root CA 2007 Zertifikats mit dem Deutsche Telekom Root CA 2 Zertifikat bestand die Notwendigkeit, dass die Zertifizierungsstellen der Fraunhofer-PKI Version 2 ab dem 01. Juli 2012 die so genannten Baseline Requirements for the Issuance and Management of Publicly-Trusted Certificates des CA/Browser-Forums in der jeweils aktuell gültigen Fassung erfüllen. Es handelt sich dabei um zahlreiche Anforderungen an externe Zertifzierungsstellen mit Browser-integrierter Stammzertizierungsstelle, wie es auf die Fraunhofer-PKI Version 2 zutrifft.

Die Anforderungen der Baseline Requirements bezogen sich seinerzeit auf Zertifizierungsstellen, die Standard SSL/TLS-Zertifikate sowie sogenannte Extended Validation (EV) SSL/TLS bzw. Code Signing Zertifikate ausstellten.

Insbesondere ist es gemäß der Baseline Requirements erforderlich, jährlich ein sehr aufwändiges WebTrust- oder ETSI-konformes Audit durchzuführen. Vor diesem Hintergrund hat Fraunhofer beschlossen, die Fraunhofer Service CA 2007 der Fraunhofer-PKI Version 2 sukzessive stillzulegen. Ab dem 01. Oktober 2012 wurden keine SSL/TLS-Zertifikate für Server mehr von dieser Zertifizierungsstelle ausgestellt und Zertifikate für Services (E-Mail-Dienste), Endgeräte sowie Code-Signung wurden nur bis maximal Ende Februar 2014 ausgestellt.

Als Ersatz hatte das CC-PKI im Sommer 2012 eine neue PKI - die Fraunhofer DFN-PKI - beim DFN-Verein aufgebaut und in Betrieb genommen. Zu dieser PKI gehörte zunächst insbesondere die Fraunhofer Service CA - G01, die ab 2012 sukzessive die Ausstellung von Zertifikaten für Server und Services, Endegeräte und Code Signing übernommen hat.

Im Mai 2014 sind weitere Anforderungen an externe Zertifzierungsstellen mit Browser-integrierter Stammzertizierungsstelle seitens Mozilla in Kraft getreten. Zudem bestand die Notwendigkeit, bis Ende 2016 alle Zertifikate, die den SHA-1 Hashalgorithmus verwenden, auszutauschen, um sie weiterhin im Windows-Umfeld verwenden zu können. Um diesen neuen Forderungen Rechnung zu tragen, wurde die Fraunhofer DFN-PKI im Frühjahr 2014 durch eine weitere Zertifizierungsstelle, die Fraunhofer User CA - G01 ergänzt. Diese hat ab Mitte September 2014 die Ausstellung von Zertifikaten für Fraunhofer-Mitarbeitende übernommen, also der Zertifikate für die Smartcards.

Sowohl die Fraunhofer Service CA - G01 als auch die Fraunhofer User CA - G01 waren unterhalb der Zertifizierungsstelle DFN-Verein PCA Global - G01 des Deutschen Forschungsnetzes angeordnet, die von der Deutschen Telekom Root CA 2 signiert wurde. Somit war auch für die von der Fraunhofer Service CA - G01 bzw. der Fraunhofer User CA - G01 ausgestellten Zertifikate die automatische Anerkennung im Außenraum sichergestellt.

Ab Juli 2016 wurden aus der Fraunhofer DFN-PKI keine weiteren neuen Zertifikate für Fraunhofer-Mitarbeitende bzw. für Server und Services mehr ausgestellt. Da das Deutsche Telekom Root CA 2 Anfang Juli 2019 abgelaufen ist, konnten neu ausgestellte Zertifikate der Fraunhofer User CA – G01 bzw. der Fraunhofer Service CA – G01 ab Juli 2016 nämlich nicht mehr die bisher übliche maximale Laufzeit (drei Jahre bei Smartcards bzw. 38 Monate für Server und Service-Zertifikate) besitzen. Aus diesem Grund wurden ab diesem Zeitpunkt alle neuen Zertifikate nur noch aus der Fraunhofer DFN-PKI 2016 ausgestellt. Mit dem Ablauf des Deutsche Telekom Root CA 2 Zertifikats im Juli 2019 sind alle Zertifikate der Fraunhofer DFN-PKI abgelaufen und ungültig geworden.

Zielgruppen waren:

alle Fraunhofer-Mitarbeitende. Sie erhielten einen Mitarbeiterausweis in Form einer multifunktionalen Smartcard, mit der zahlreiche Vorgänge abgesichert werden können:
- sichere E-Mail (Verschlüsselung und Signatur)
- Nutzung des Mitarbeiterportals, etwa für elektronische Zeitaufschreibung, Urlaubsanträge
- Windows-Logon und VPN mit Smartcard anstelle von Benutzername / Passwort
- Schutz von Notebooks mit Hilfe der Smartcard
- elektronische Signatur von Dokumenten / Anträgen
- ...
Die Multifunktionalität wurde erweitert durch zusätzliche Nutzungsmöglichkeiten über einen optionalen Magnetstreifen und / oder RFID-Chip (z. B. für Gebäude- / Raumzugang, Bezahlsysteme etc.).

Aus arbeitsrechtlichen Gründen unterschieden sich die Smartcards für interne und externe Mitarbeitende farblich (grüner bzw. gelber Hintergrund); technisch gab es jedoch keine Unterschiede.

Fraunhofer-Institute und Einrichtungen, die für dienstliche Zwecke Zertifikate für Systeme bzw. Services benötigten, die sich im Besitz der Fraunhofer-Gesellschaft befinden bzw. von ihr betrieben werden. Es wurden Zertifikate für folgende Anwendungssysteme bzw. -zwecke angeboten:
- SSL/TLS Zertifikate für Web-, E-Mail- und GRID-Server, VPN-Geräte, Domain-Controller
- Authentisierungszertifikate für Endgeräte
- Zertifikate für Verschlüsselung und ggfs. Signaturfunktionalität für E-Mail-Basisdienste (Funktionsadressen) und Mailing-Listen
- Zertifikate für Code Signing

Sicherheitsniveau: hoch

Mitarbeitende mussten sich bei der Abholung ihrer Smartcard durch ein amtliches Ausweisdokument mit Lichtbild identifizieren
kryptographisches Schlüsselmaterial von Mitarbeitenden war besonders geschützt, da es auf einer Smartcard vorlag
Die Antragstellung für Zertifikate für Server und Services setzte den Besitz einer Fraunhofer-Smartcard voraus, die nur nach persönlicher Identifikation mit Hilfe eines amtlichen Ausweisdokuments mit Lichtbild ausgegeben wurde.
unmittelbare Überprüfbarkeit der Zertifikate durch Außenstehende über die Zertifizierung durch die T-Systems

Certificate Policy (CP) und Certification Practice Statement (CPS):

Weitere Details siehe Policies der DFN-PKI.

Zertifizierungsstelle(n):

In dieser PKI waren die Aufgaben auf mehrere Zertifizierungsstellen (CAs) verteilt (Zertifikate und Sperrlisten).

Die Fraunhofer User CA - G01 zertifizierte zwischen Mitte September 2014 und Mitte Juli 2016 Fraunhofer-Mitarbeitende und gab für diese Smartcards aus.
Die Fraunhofer Service CA - G01 stellte zwischen Juli 2012 und Anfang Juli 2016 Zertifikate für Server und Services (E-Mail-Basisdienste), Endgeräte und Code-Signing aus.
Beide CAs waren der DFN-Verein PCA Global - G01 untergeordnet, von der sie ihr Zertifikat erhalten hatten.
Die DFN-Verein PCA Global - G01 CA war wiederum der Deutsche Telekom Root CA 2 untergeordnet.