PKI der HSH GmbH
Zertifizierungsinstanz der HSH GmbH
für elektronische Zertifikate

 

Zertifizierungsrichtlinie (Policy) der HSH-CA

[ OID:  1.3.6.1.4.1.26436.53.2.1.1 ]

Inhalt

  1. Einleitung
  2. Zertifizierungsinstanz der HSH GmbH
  3. Inhalt der HSH GmbH-Zertifikate
  4. Registrierungsinstanzen der HSH GmbH
  5. Zertifikatnehmer der HSH GmbH
  6. Zertifizierungsvorgang
  7. Sperrung von Zertifikaten
  8. Management von Zertifikaten
  9. Regeln für die Namensgebung
  10. Dokumentation und Datenschutz

  1. Einleitung

    CPS - (Certification Practice Statement), Germany, HSH Soft- und Hardware Vertriebs GmbH - http://www.hsh-berlin.com/certification . Das Ziel der Zertifizierungsinstanz der HSH GmbH für elektronische Zertifikate (HSH-CA) liegt in der Schaffung der technischen Voraussetzungen für eine gesicherte elektronische Kommunikation. Die HSH GmbH sowie die Betreiber der HSH-CA übernehmen keinerlei Gewährleistung. Insbesondere wird keine Haftung für eventuelle Schäden, die durch die Inanspruchnahme der Dienste der HSH-CA entstanden sind, übernommen. Alle Aufgaben werden von den Mitarbeitern der HSH-CA nach bestem Wissen und Gewissen durchgeführt. Eine Zertifizierung durch die HSH-CA zieht keinerlei rechtliche Bedeutung nach sich, da die HSH GmbH ist kein Zertifizierungsdienstanbieter ist. In Anlehnung an allgemeine Richtlinien für Zertifizierungen und Empfehlungen des BSI, stellt die HSH-CA Zertifikate nach einer Richtlinie Zertifikate für Benutzer, Systeme und untergeordneten CA's in Teststellungen aus, nach dieser es Kommunikationspartnern und Benutzern möglich ist, Qualität und Güte selbst einzuschätzen.

    Der ASN.1 Object Identifier (OID) für diese Zertifizierungsrichtlinie ist: 1.3.6.1.4.1.26436.53.2.1.1
    top

  2. Zertifizierungsinstanz der HSH Soft- und Hardware Vertriebs GmbH

    Die Zertifizierungsinstanz der HSH Soft- und Hardware Vertriebs GmbH (HSH-CA) hat folgende Adresse:
              HSH  Soft- und Hardware Vertriebs GmbH
    Abteilung Technik, HSH-CA

    Rudolf-Diesel-Str. 2
    D-16356 Ahrensfelde

    Tel:+49 30 94 004 151
    Fax:+49 30 94 004 110
    eMail:zertifizierungsinstanz@hsh-berlin.com
    eHome:http://www.hsh-berlin.com/certification
    DN (X.509):
    • CN=HSH Soft- und Hardware Vertriebs GmbH, Class 1 CA - RootCA
    • O=HSH Soft- und Hardware Vertriebs GmbH
    • C=DE

    Die HSH-CA zertifiziert nur Mitarbeiter/ -innen oder serverbasierte Dienste der HSH GmbH.

    Die HSH-CA ist eine Offline-CA und arbeitet

    Die HSH-CA stellt im Sinne des Signaturgesetzes (anlehnend) nur Zertifikate für fortgeschrittene elektronische Signaturen und keine qualifizierten elektronische Zertifikate aus; die rechtliche Relevanz dieser Zertifikate wird im Einzelfall festzustellen sein.

    Die Zertifikate für fortgeschrittene elektronische Signaturen werden als

    ausgegeben. Die Inhalte dieser Zertifikate unterscheiden sich "nur" im Kommentar, der auf die jeweilige Zertifizierungsstufe hinweist.

    Als ein mittelständiges Unternehmen mit weniger als 150 Mitarbeitern (incl. Aussendienstmitarbeitern/-innen), einem geograpisch zentralen Standort und der somit gegebenen Überschaubarkeit übernimmt die HSH-CA auch die Funktion der HSH-RA (Registrierungsauthorität) zur Prüfung der Zertifikatsnehmer.

    Die HSH-CA erfüllt folgende Bedingungen:

    top

  3. Inhalt der HSH-CA Zertifikate

    Die von der HSH-CA ausgestellten Zertifikate enthalten:

     
    für Benutzerzertifikate für Server-Zertifikate Name der Zertifizierungsinstanz
    E=Benutzer-E-Mail, i.d.R. <vorname.nachname@hsh-berlin.com>
    CN=<Vorname Nachname>
    OU=Optional, i.d.R. User
    OU=Optional
    O=HSH Soft- und Hardware Vertriebs GmbH
    L=Optional, i.d.R. Brandenburg / Lindenberg
    S=Optional, i.d.R. Germany
    C=DE     		E=Optional
    CN=<Systemname> FQDN
    OU=Optional, i.d.R. Services
    OU=Optional
    O=HSH Soft- und Hardware Vertriebs GmbH
    L=Optional, i.d.R. Brandenburg / Lindenberg
    S=Optional, i.d.R. Germany
    C=DE    		 CN=HSH Soft- und Hardware Vertriebs GmbH, Class 1 CA - RootCA
    O=HSH Soft- und Hardware Vertriebs GmbH
    C=DE
     

    top

  4. Registrierungsinstanzen der HSH Soft- und Hardware Vertriebs GmbH

    5. Die Registrierungsinstanz bildet in der Regel die Schnittstelle der Benutzer bzw. Zertifikatnehmer zur Zertifizierungsinstanz.
    Da die HSH GmbH zentral ansässig ist und keine weiteren Institutionen zur Gesellschaft zählen, ist es nicht notwendig eine gesonderte, zuständige Registrierungsinstanz (HSH-RA) zu benennen.

    Diese Aufgabe übernimmt die HSH-CA vor Ort und selbst, indessen Zuge die Identitätsüberprüfung der Zertifikatnehmer und der Zertifikatanforderungen sowie die Übermittelung/Bearbeitung der Zertifikatanforderungen an die HSH-CA erfolgt.

    Die HSH-CA/RA erfüllt folgende Bedingungen:

    Die HSH-CA/RA führt folgende Aufgaben durch:

    1. Überprüfung der Identität der HSH-Mitarbeiter/-innen.
    2. ggf. die Überprüfung des Fingerprints der Zertifikatanforderung mit dem auf dem Ausdruck der Schlüsselgenerierung.
    3. ggf. die Überprüfung des Namens in dem öffentlichen Schlüssel, ggf. nach Rücksprache mit der HSH-CA, entsprechend den Regeln für die Namensgebung
    4. ggf. werden Zertifikatnehmer darauf hingewiesen, dass nur Zertifikate mit einer Schlüssellänge von mindestens 1024 Bit zertifiziert werden.
    5. ggf. signierte und verschlüsselte Übermittelung der Zertifikatsanforderung an die HSH-CA.
    6. Festlegung des Gültigkeitszeitraums für das Zertifikat.
    top

  5. Zertifikatnehmer der HSH Soft- und Hardware Vertriebs GmbH

    Folgende Anforderungen werden an die Zertifikatnehmer der HSH GmbH gestellt:

    top

  6. Zertifizierungsvorgang

    Für die Funktion der HSH-CA als Zertifizierungsinstanz, die "nur" Zertifizierungsanforderungen von Zertifikatnehmern zertifiziert, sind folgende Schritte vorzunehmen:

    1. Die HSH-CA/RA erhält von dem Zertifikatnehmer den Zertifizierungsrequest (PKCS#10, SPKC) im DER- und auch im TXT-Format (ASCII).
    2. Die HSH-CA/RA überprüft, ob der Name in der Zertifizierungsanforderung mit den Daten für die Regeln der Namensgebung der HSH GmbH übereinstimmt.
    3. Die HSH-CA/RA überzeugt sich von der Identität des Zertifikatnehmers.
    4. Der Zertifikatnehmer hat vor der Zertifizierung seines öffentlichen Schlüssels durch die HSH-CA der Teilnehmererklärung der HSH-CA, in der der Zertifizierungsrichtlinie der HSH-CA, zugestimmt und ggf. diese zu unterzeichnen. Dabei erhält er den öffentlichen Zertifizierungsschlüssel der HSH-CA (Zertifikat Fingerprint).
    5. Die HSH-CA/RA überprüft, ob der Zertifizierungsrequest über eine Schlüssellänge von mindestens 1024 Bits verfügt.
    6. Die HSH-CA zertifiziert die Zertifizierungsanforderung und übermittelt die Zertifizierungsantwort (PKCS#7) an den Zertifikatnehmer.

    Für die Funktion der HSH-CA als Trust-Center, welche das asymmetrische Schlüsselpaar zentral für den Zertifikatnehmer erstellt, sind folgende Schritte vorzunehmen:

    1. Der Zertifikatnehmer meldet sich mit dem Zertifizierungswunsch bei der HSH-CA/RA .
    2. Die HSH-CA erzeugt für diese Daten das Personal Security Environment (PSE), indem sie ein asymetrisches Schlüsselpaar generiert und den öffentlichen Teil des Schlüsselpaares zertifiziert.
    3. Die HSH-CA übermittelt die PSE als PKCS#12-Datei auf  gesichertem Wege bzw. persönlichen Übergabe durch die HSH-CA/RA an den Zertifikatnehmer
    4. ...und überzeugt sich dabei von der Identität des Zertifikatnehmers.
    5. Der Zertifikatnehmer hat handschriftlich die Teilnehmererklärung der HSH-CA, in der der Empfang der PSE bestätigt und der Zertifizierungsrichtlinie der HSH-CA zustimmt wird, zu unterzeichnen. Dabei erhalten Sie den öffentlichen Zertifizierungsschlüssel der HSH-CA (Zertifikat Fingerprint).
    6. Die HSH-CA vernichtet bei sich die PSE des Zertifikatnehmers nachhaltig.

    Die von der HSH-CA ausgestellten Zertifikate sind bei einer Schlüssellänge von 1024 Bit nur bis Ende 2008 und bei einer Schlüssellänge von 2048 Bit zunächst bis Ende 2009 gültig. Die HSH-CA/RA kann ggf. auch einen kürzeren Zeitraum festlegen.

    Die Zertifikate werden nicht automatisch durch die HSH-CA erneuert. Die Zertifikatnehmer/-innen müssen sich rechtzeitig um die Re-Zertifizierung durch die HSH-CA selbst kümmern.

    top

  7. Sperrung von Zertifikaten

    Die HSH-CA behält sich vor, von ihr erteilte Zertifikate jederzeit vor Ablauf der Gültigkeitsdauer mit expliziter Angabe von Gründe zu sperren. Ursachen für die Sperrung eines Zertifikats können beispielsweise sein:

    Jeder Zertifikatnehmer kann von der HSH-CA/RA auch ohne Angabe von Gründen verlangen, dass diese sein Zertifikat sperrt. Gründe könnten sein:

    Die HSH-CA/RA hat diesem Verlangen nachzukommen, sobald sie sich durch geeignete Schritte davon überzeugt hat, dass der Antrag vom Zertifikatnehmer selbst stammt bzw. von ihm autorisiert ist. Eine rückwirkende Sperrung ist nicht möglich. Einmal gesperrte Zertifikate können nicht erneuert werden. Jedoch hat jeder Teilnehmer der HSH-CA die Möglichkeit, ein neues Zertifikat anzufordern.

    Die gesperrten Zertifikate werden unverzüglich von der HSH-CA auf der Sperrliste, der sog. Certificate Revocation List (CRL), veröffentlicht, damit die entsprechenden Schlüssel nicht irrtümlicherweise benutzt werden. Gesperrte Zertifikate bleiben solange auf der CRL, bis die ursprüngliche Gültigkeitsdauer überschritten wurde.
    top

  8. Management von Zertifikaten

    Die Zertifikate der HSH-CA werden zunächst in einer lokalen Datenbank auf dem dedizierten, explizit geschütztem System der HSH-CA, der zur Zertifizierung eingesetzt ist, gespeichert.

    Die Zertifikate und Certificate-Revocation-Lists (CRLs) der HSH-CA werden auf den WEB-Seiten der HSH-CA veröffentlicht.
    top

  9. Regeln für die Namensgebung

    Zur Identifizierung der Zertifikate wird den Zertifikatnehmern der HSH-CA ein eindeutiger Name, ein "Distinguished Name" (DN), wie er in den X.509 bzw. X.500 definiert ist, zugeordnet. Da die HSH-CA nur Zertifikatnehmer des Unternehmens zertifiziert, sind "Distinguished Name" und ggf. E-Mail Adresse für den Zertifikatnehmer vorgegeben. Der "Distinguished Name" ist hierarchisch strukturiert und wird durch eine geordnete Folge von eindeutig kennzeichnenden Namensattributen definiert.

     

    "DN - Distinguished Name" und E-Mail-Adresse eines Zertifikatnehmers werden als "Subject Name" bzw. "Subject alternative Name" in den Zertifikaten verwendet. 

    top

  10. Dokumentation und Datenschutz

    Alle Arbeiten im Rahmen dieser Policy werden, soweit technisch durchführbar, dokumentiert. Die bei der Zertifizierung anfallenden Daten werden vertraulich behandelt und die für sie geltenden Datenschutzrichtlinien einhalten.
    top

Verantwortlich für diese Seite: HSH GmbH - HSH-CA