Certification Practice Statement

Version 1.0, Stand: 2015/12/03 09:40

Dieses Dokument beschreibt den Betrieb der „Certification Authority“ des datenkollektiv.net. Es handelt sich um eine Version, die noch geändert und ergänzt werden kann, so lange die Grundsätze dieses Dokumentes nicht verletzt werden.

Zweck des CPS

Mit diesem Dokument möchten wir nach außen nachvollziehbar machen

warum wir eine CA betreiben

auf welche Prozeduren wir uns geeinigt haben, um sicher zu arbeiten

für wen wir unter welchen Umständen Zertifikate ausstellen

Um das CPS nachvollziehen zu können ist eine Idee davon, wie und wozu Zertifikate genutzt werden hilfreich.

Warum arbeiten wir mit einem eigenen Rootzertifikat?

Die Verschlüsselungsinfrastruktur des Netzes beruht auf Vertrauen - Regionalisierung bietet eine Chance für gerechtfertigtes Vertrauen. Im regionalen Umfeld sind viele Mittel (z.B. Flyer mit Fingerprint) möglich, um die Echtheit der Zertifikate zu prüfen.

Wie stellen wir Zertifikate aus?

Um sicherzugehen, dass

a) unsere Zertifikate ein gewisses Maß an Sicherheit bieten und
b) niemand ausser uns Zertifikate in unserem Namen ausstellt

haben wir uns auf bestimmte Verfahrensweisen geeinigt, die wir im Folgenden für Euch und uns dokumentieren.

Offline CA

Unsere CA wird auf extra dafür eingerichteten und nur zu diesem Zweck genutzten Systemen ohne Zugang zum Netzwerk betrieben.

Algorithmen

Unser Stammzertifikat hat eine Schlüssellänge von 4096 bit. Als Signaturalgorithmus verwenden wir SHA-256 + RSA.

Laufzeiten

Das Stammzertifikat hat eine Laufzeit von 32 Jahren, die Zwischenzertifikate von 4 Jahren.

4-Augen-Prinzip

Die privaten Schlüssel für unsere CA's sind verschlüsselt und verteilt abgelegt. Nur wenn wenigstens zwei von uns zusammenkommen kann eine Zertifikatsanfrage unterschrieben werden. Jede/r besitzt ein anderes Stück des privaten Schlüssels. Dieser wird vor dem Gebrauch zusammengesetzt und danach wieder gelöscht. Es kann also keine/r allein im Namen des Datenkollektivs Zertifikate generieren.

Selbstbeschränkung der Möglichkeiten

Wo möglich schränken wir die von uns generierten Zertifkate ein, um Mißbrauch zu erschweren. Da geschieht zum Beipiel, indem wir die möglichen Verwendungsarten (z.B. als Serverzertifikat) oder auch die Anzahl der möglichen Zwischeninstanzen beschränken.

Backup

Für den Fall der Fälle existiert ein Backup unserer PKI bei einem Treuhänder, das nur unter klar definierten Bedingungen herausgegeben wird und nur bei Kenntnis des geheimen Schlüssel-Passwortes von Nutzen ist.

Für wen stellen wir Zertifikate aus?

Primärer Zweck unserer CA ist es, unsere eigenen Dienste abzusichern. Wir halten uns jedoch die Möglichkeit offen, auch für andere Menschen oder Institutionen Zertifikate zu generieren. Zertifikate werden nur bei persönlichem Kontakt ausgestellt und wenn sichergestellt werden kann, dass die Person/Institution über die Domain verfügt.