Deutsche Telekom MailPass Benutzerhandbuch

77HOH6HF0DLO3DVV
7UXVW&HQWHU6HUYLFHIUVLFKHUH(0DLO
%HQXW]HUKDQGEXFK
9HUVLRQ
Stand: 76\VWHPV
096\VWHPV77HOH6HF
8QWHUH,QGXVWULHVWUD‰H
1HWSKHQ
†
'HXWVFKH
7HOHNRP
†
,1+$/769(5=(,&+1,6
(,1/(,781* 3.,*581'/$*(1 6FKOVVHOXQG=HUWLILNDWH 'DV7UXVW&HQWHUXQGGHU'RPDLQ%HWUHLEHU
6PDUWFDUGVXQG6RIWZDUH36(V
6LQJOH.H\'XDO.H\ $8)*$%(1'(6%(187=(56 .20321(17(1 9RUDXVVHW]XQJHQ
%HQXW]HU:HE6FKQLWWVWHOOH (LQJHVFKUlQNWH%HQXW]HU:HE6FKQLWWVWHOOH 0DLO5HTXHVW6FKQLWWVWHOOH
/'$36FKQLWWVWHOOH
2&636FKQLWWVWHOOH 6XE5HJLVWUDWRU =HQWUDOH6SHUU+RWOLQH
0DLO3DVV9HUDQWZRUWOLFKHU 352=(66( 5.1.1
5.1.2
5.1.3
5.1.4
5.1.5
%HDQWUDJHQHLQHV=HUWLILNDWV
Zentrale Registrierung beim Einsatz von Smartcards ....................................................................14
Zentrale Registrierung beim Einsatz von Software-PSEs ..............................................................15
Dezentrale Registrierung über die Web-Schnittstelle beim Einsatz von Smartcards.....................16
Dezentrale Registrierung über die Web-Schnittstelle beim Einsatz von Software-PSEs...............23
Dezentrale Registrierung über die Mail-Request-Schnittstelle ......................................................30
5.2.1
6SHUUHQHLQHV=HUWLILNDWV
Sperren eines Zertifikats über die (eingeschränkte) Benutzer-Web-Schnittstelle ..........................31
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 2 von 86
09.08.2002
†
5.2.2
5.2.3
Sperren eines Zertifikats über den Sub-Registrator .......................................................................39
Sperren eines Zertifikats über die Sperr-Hotline............................................................................39
5.3.1
5.3.2
(UQHXHUQHLQHV=HUWLILNDWV
Einsatz von Smartcards..................................................................................................................40
Einsatz von Software-PSEs............................................................................................................44
5.4.1
5.4.2
5.4.3
5.4.4
5.4.5
5.4.6
:HLWHUH3UR]HVVH
Zertifikat suchen ............................................................................................................................57
Zertifikat prüfen .............................................................................................................................58
Sperrlisten abholen.........................................................................................................................59
Telekom Root laden.......................................................................................................................64
MailPass CA Zertifikat laden.........................................................................................................66
Richtlinien laden ............................................................................................................................66
5.5.1
5.5.2
([SRUWHLQHU3.&6'DWHL Netscape Navigator ........................................................................................................................66
Microsoft Internet Explorer ...........................................................................................................68
+LQZHLVH]XP(LQVDW]GHV,QWHUQHW([SORUHUV 6,&+(5+(,76+,1:(,6( ,KUH6PDUWFDUG ,KU6RIWZDUH36( :HLWHUH5LFKWOLQLHQ 352%/(0(81'/g681*(1 */266$5 Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 3 von 86
09.08.2002
†
(,1/(,781*
Viele Unternehmen und Organisationen nutzen heute die Vorteile, die sich aus Anwendungen wie dem
Informationsaustausch mittels E-Mail, dem Dateitransfer oder Web-Services (zum Beispiel über
Portale) ergeben. Die Vorteile, die mit der Nutzung elektronischer Medien einhergehen, werden häufig
durch Gefahren und Einschränkungen gemindert oder gar aufgehoben. So wird geschäftliche
Korrespondenz oft unverschlüsselt mittels E-Mail abgewickelt, Bestellungen werden nicht
elektronisch signiert und Benutzer von Web-Seiten können nicht eindeutig identifiziert werden.
Vergleicht man diese neuen elektronischen Geschäftsprozesse mit den konventionellen, werden die
Risiken augenscheinlich: Niemand käme auf die Idee, Geschäftsbriefe in Klarsichthüllen oder auf
Postkarten zu versenden. Eine Bestellung ohne Unterschrift und eindeutigen Absender würde wohl
niemand bearbeiten.
Es ist daher erforderlich, Lösungen zu finden, welche die zentralen Sicherheitsziele eines
Unternehmens für elektronische Geschäftsprozesse erfüllen:
• 9HUWUDXOLFKNHLW Daten sollen vor unberechtigter Einsichtnahme geschützt werden. Dies kann
durch sichere Verschlüsselung erreicht werden.
• ,QWHJULWlW Daten sollen vor Manipulation geschützt werden. Mit Hilfe digitaler Signaturen
können Änderungen an Daten erkannt werden.
• $XWKHQWL]LWlW Die Herkunft von Daten soll zweifelsfrei erkannt werden können. Mit Hilfe
digitaler Signaturen können Daten bestimmten Personen zugeordnet werden. Ebenso können
Personen beim Zugriff auf geschützte Web-Seiten identifiziert werden.
Mit dem Einsatz von Public-Key-Verfahren auf Basis digitaler Zertifikate können diese Ziele erreicht
werden.
Mit T-TeleSec MailPass bietet die Deutsche Telekom die Infrastruktur und den Service für die
Ausstellung und die Verwaltung entsprechender digitaler Zertifikate an.
Das vorliegende Handbuch wendet sich an die Benutzer des MailPass-Service der Deutschen Telekom
TeleSec. Neben einer kurzen Einführung werden die dem Benutzer zur Verfügung stehenden
Komponenten und deren Bedienung erläutert. Hauptbestandteil dieses Handbuchs ist eine detaillierte
Beschreibung der vom Benutzer auszuführenden Aufgaben. Weitere Kapitel widmen sich Hinweisen
zur Sicherheit sowie der Behandlung häufig auftretender Probleme.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 4 von 86
09.08.2002
†
3.,*581'/$*(1
2.1 Schlüssel und Zertifikate
Für den sinnvollen Einsatz von Verschlüsselungs-, Signatur- und Authentifizierungsverfahren werden
digitale Zertifikate benötigt. Ein =HUWLILNDW ist eine Art elektronischer Ausweis, mit dem die Identität
des Inhabers überprüft werden kann. Zertifikate kommen zum Beispiel zum Einsatz, wenn Sie Ihre EMails signieren, Dateien verschlüsseln oder sich an einem Web-Server gesichert anmelden
Grundlage für den Einsatz zertifikatsbasierter Verfahren ist ein Schlüsselpaar, bestehend aus einem
privaten Schlüssel und einem öffentlichen Schlüssel. Diese beiden Schlüssel sind so voneinander
abhängig, dass sie einander eindeutig zugeordnet werden können. Der private Schlüssel ist vom
Besitzer unbedingt geheim zu halten. Der öffentliche Schlüssel hingegen muss dem
Kommunikationspartner (im Fall von E-Mail-Verschlüsselung und -Signatur) bzw. dem Web-Server
(im Fall einer Authentifizierung) bekannt gemacht werden. Für die Zuordnung des Schlüsselpaares zu
einem Besitzer werden digitale Zertifikate verwendet. Diese enthalten neben dem Namen und dem
öffentlichen Schlüssel des Besitzers einige weitere Angaben, wie beispielsweise eine Gültigkeitsdauer.
Um die korrekte Zuordnung des Schlüssels zum Besitzer zu gewährleisten, werden solche Zertifikate
von einer Zertifizierungsinstanz (CA) – einer Art elektronischer Ausweisbehörde – ausgestellt und
signiert.
2.2 Das Trust Center und der Domain-Betreiber
Die Zertifizierungsinstanz, die Ihr Zertifikat ausstellt, heißt 0DLO3DVV&$ und wird von der Deutschen
Telekom im 7HOHNRP7UXVW&HQWHU betrieben. Dies ist ein anerkanntes Trust Center mit langjährigen
Erfahrungen im Bereich Zertifizierungsdienste. Qualifiziertes Personal sowie bauliche, technische und
organisatorische Sicherheitsmaßnahmen sorgen dafür, dass Ihr Zertifikat höchsten
Sicherheitsansprüchen genügt.
Die Organisation, welche den MailPass-Service des Telekom Trust Centers nutzt, wird als DomainBetreiber bezeichnet. Der Domain-Betreiber ist also Ihr Unternehmen oder Ihre Behörde. Hier gibt es
als Ansprechpartner einen MailPass-Verantwortlichen.
Bevor im Trust Center Ihr Zertifikat generiert wird, müssen Sie sich registrieren lassen. Dadurch wird
verhindert, dass eine unberechtigte Person ein Zertifikat in Ihrem Namen erhält. Die Registrierung
wird von einem Mitarbeiter des Domain-Betreibers, dem so genannten Sub-Registrator, durchgeführt.
Hierfür gibt es zwei Möglichkeiten: Bei einer ]HQWUDOHQ 5HJLVWULHUXQJ werden Sie persönlich von
dem Sub-Registrator anhand von Ausweisdokumenten identifiziert. Danach sendet der Sub-Registrator
Ihren Zertifikatsantrag an das Trust Center. Falls Sie dem Sub-Registrator schon bekannt sind, zum
Beispiel anhand bereits erfasster Personaldaten, kann auch eine GH]HQWUDOH 5HJLVWULHUXQJ
durchgeführt werden. In diesem Fall stellen Sie selbst den Zertifikatsantrag an das Trust Center. Der
Sub-Registrator braucht dann nur noch dem Trust Center bestätigen, dass Sie berechtigt sind, dieses
Zertifikat zu erhalten. Welche dieser Registrierungsmöglichkeiten für Sie in Frage kommt, teilt Ihnen
Ihr MailPass-Verantwortlicher mit.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 5 von 86
09.08.2002
†
2.3 Smartcards und Software-PSEs
Das Sicherheitsniveau der MailPass-Zertifikate hängt nicht nur von den Sicherheitsmaßnahmen des
Trust Centers und der Registrierung der Zertifikatsinhaber ab. Ein wesentlicher Punkt ist die
Geheimhaltung des privaten Schlüssels. Hierfür wird dieser in einem speziell gesicherten Bereich
gespeichert. Eine Möglichkeit hierfür sind Software-PSEs. Ein Software-PSE ist eine verschlüsselte
passwortgeschützte Datei. Um einen maximalen Schutz des privaten Schlüssels zu gewährleisten,
sollte dieser jedoch auf einer Smartcard gespeichert werden.
$EELOGXQJ(LQH6PDUWFDUGLVWDQHLQHU.RQWDNWIOlFKHDXV0HWDOO]XHUNHQQHQ
Eine Smartcard ist eine Plastikkarte im Scheckkartenformat auf der ein Computerchip angebracht ist.
Dieser Computerchip ist an einer Kontaktfläche aus Metall zu erkennen. Der Chip einer Smartcard ist
ein Computer im Kleinformat, der – wie ein größerer Computer auch – Daten speichern und mit ihnen
rechnen kann. Eine Smartcard eignet sich hervorragend, um darauf einen privaten Schlüssel zu
speichern, der anschließend nicht mehr auslesbar ist. Auch die Rechenoperationen, für die der private
Schlüssel benötigt wird, lassen sich auf dem Chip durchführen. Die Verwendung von Smartcards ist
somit eine besonders sichere Form der Schlüsselspeicherung, da der Schlüssel nur einmal existiert,
nicht kopiert werden kann und die Karte nicht verlässt.
Die Deutsche Telekom stellt im Rahmen des MailPass-Services NetKey E4 Smartcards zur
Verfügung. Diese sind von unabhängigen Stellen geprüft und genügen höchsten
Sicherheitsanforderungen.
2.4 Single Key / Dual Key
Beim Anlegen eines Zuständigkeitsbereichs (Sub-Domain) wird festgelegt, ob die Benutzer dieses
Zuständigkeitsbereichs Dual Key oder Single Key verwenden.
Wenn für Ihren Zuständigkeitsbereich 6LQJOH .H\ konfiguriert wurde, verwenden Sie HLQ
Schlüsselpaar. Für dieses erhalten Sie HLQ Zertifikat. Das Zertifikat können Sie sowohl zur Signatur als
auch für Verschlüsselung einsetzen.
Wenn für Ihren Zuständigkeitsbereich 'XDO.H\ konfiguriert wurde, verwenden Sie ]ZHLJHWUHQQWH
Schlüsselpaare. Für MHGHV erhalten Sie HLQ Zertifikat. Sie haben also zwei Zertifikate für verschiedene
Verwendungszwecke – je eins für Signatur und Verschlüsselung. Die Verwaltung der beiden
Zertifikate erfolgt synchron: Sie werden gemeinsam beantragt, bei (vorläufiger) Sperrung des einen
Zertifikats erfolgt automatisch auch die (vorläufige) Sperrung des anderen Zertifikats und auch die
Erneuerung erfolgt nur für beide Zertifikate zusammen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 6 von 86
09.08.2002
†
$8)*$%(1'(6%(187=(56
Als Benutzer sind Sie verantwortlich für verschiedene Aufgaben im Umgang mit Ihrem Zertifikat.
Dies beinhaltet insbesondere die Beantragung, die Sperrung und die Erneuerung Ihres Zertifikats. Wie
Sie diese Aufgaben wahrnehmen können und welche Komponenten Ihnen dafür zur Verfügung stehen,
ist in den Kapiteln 4 und 5 beschrieben.
Das Sicherheitsniveau hängt auch wesentlich von der Sorgfalt beim Umgang mit Ihrem privaten
Schlüssel ab. Kapitel 6 enthält einige Hinweise, die Sie zur Gewährleistung eines hohen
Sicherheitsniveaus beachten müssen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 7 von 86
09.08.2002
†
.20321(17(1
Für die Aufgaben, welche Sie im Umgang mit Ihrem Zertifikat haben, stehen Ihnen verschiedene
Komponenten zur Verfügung. Je nach dem von Ihrem Domain-Betreiber gewählten
Registrierungsmodell steht Ihnen die Benutzer-Web-Schnittstelle oder die eingeschränkte BenutzerWeb-Schnittstelle zur Verfügung. Dies sind Web-Seiten, auf denen Sie wichtige Funktionen rund um
Ihr Zertifikat finden. Weiterhin besteht die Möglichkeit, über die Mail-Request-Schnittstelle
Zertifikate zu beantragen. Die LDAP-Schnittstelle bietet Ihnen die Möglichkeit, Zertifikate und
Sperrlisten vom Verzeichnisdienst abzurufen. Die OCSP-Schnittstelle bietet Ihnen die Möglichkeit,
Zertifikate online zu prüfen.
Bei Ihrem Domain-Betreiber gibt es außerdem einen Sub-Registrator, welcher für das Management
Ihres Zertifikats verantwortlich ist. Auch über diesen können Sie verschiedene Aktionen veranlassen.
Für Notfälle gibt es eine Hotline, über die Sie Ihr Zertifikat sperren lassen können. Für weitere Fragen
steht Ihnen ein MailPass-Verantwortlicher des Domain-Betreibers zur Verfügung. Die einzelnen
Komponenten werden in diesem Kapitel beschrieben.
4.1 Voraussetzungen
Um die Web-Schnittstellen für die Zertifikatsdienste von T-TeleSec MailPass nutzen zu können, muss
Ihr Arbeitsplatz folgende Voraussetzungen erfüllen:
• Web-Browser
• Smartcard-Leser (nur, wenn Smartcards zum Einsatz kommen)
• E-Mail-Account
Genaue Informationen zu den eingesetzten Produkten erfahren Sie von Ihrem MailPassVerantwortlichen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 8 von 86
09.08.2002
†
4.2 Benutzer-Web-Schnittstelle
$EELOGXQJ6WDUWVHLWHGHU%HQXW]HU:HE6FKQLWWVWHOOH
Die Benutzer-Web-Schnittstelle steht Ihnen zur Verfügung, wenn Ihr Domain-Betreiber das dezentrale
Registrierungsmodell gewählt hat. Diese Komponente können Sie mit Ihrem Browser aufrufen. Dabei
werden Sie aufgefordert, einen Benutzernamen und ein Passwort einzugeben. Die erforderlichen
Daten können Sie dem Informationsblatt entnehmen, welches Ihnen Ihr MailPass-Verantwortlicher
übergeben hat.
Auf diesen Web-Seiten stehen Ihnen folgende Funktionen zur Verfügung:
•
•
•
•
•
•
=HUWLILNDWEHDQWUDJHQMit Hilfe dieses Online-Formulars können Sie Ihr persönliches Zertifikat
beantragen.
=HUWLILNDWDEKROHQNach erfolgter Zertifizierung werden Sie vom Telekom Trust Center per EMail darüber informiert, dass Sie Ihr Zertifikat abholen können. Dafür steht Ihnen diese Funktion
zur Verfügung.
=HUWLILNDW VSHUUHQ Wenn Ihr privater Schlüssel in falsche Hände gelangt ist oder ein anderer
wichtiger Grund vorliegt, können Sie über diesen Menüpunkt die Sperrung Ihres Zertifikats
veranlassen.
=HUWLILNDW HUQHXHUQ Ihr Zertifikat hat eine begrenzte Gültigkeitsdauer. Bevor diese abläuft,
werden Sie vom Telekom Trust Center per E-Mail daran erinnert, das Zertifikat zu erneuern. Die
Erneuerung können Sie über dieses Online-Formular anfordern.
=HUWLILNDWSUIHQHier können Sie prüfen, ob Ihr Zertifikat gültig ist.
6SHUUOLVWHQDEKROHQDie Sperrung von Zertifikaten wird über eine Sperrliste bekannt gemacht.
Mit dieser Funktion können Sie eine aktuelle Liste der gesperrten Benutzerzertifikate (CRL,
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 9 von 86
09.08.2002
†
•
•
•
•
Certificate Revocation List) bzw. der gesperrten CA-Zertifikate (ARL, Authority Revocation List)
anfordern.
=HUWLILNDW VXFKHQ Hier können Sie ein Zertifikat im Verzeichnisdienst suchen. Ist das
Verzeichnis zugriffsgeschützt, müssen Sie einen Benutzernamen und ein Passwort angeben. Diese
Daten erhalten Sie von Ihrem MailPass-Verantwortlichen.
7HOHNRP5RRWODGHQHier können Sie das Zertifikat der Zertifizierungsinstanz laden, welche das
MailPass CA Zertifikat ausgestellt hat.
0DLO3DVV3DVV&$ODGHQHier können Sie das Zertifikat der Zertifizierungsinstanz laden, welche
Ihr Zertifikat ausstellt.
'RNXPHQWH ODGHQ Hier steht Ihnen ein Dokument mit den Zertifizierungsrichtlinien (CPS) der
Deutschen Telekom für den MailPass-Service sowie das Benutzerhandbuch zur Verfügung.
4.3 Eingeschränkte Benutzer-Web-Schnittstelle
$EELOGXQJ6WDUWVHLWHGHUHLQJHVFKUlQNWHQ%HQXW]HU:HE6FKQLWWVWHOOH
Die eingeschränkte Benutzer-Web-Schnittstelle steht Ihnen zur Verfügung, wenn Ihr DomainBetreiber das zentrale Registrierungsmodell gewählt hat. Diese Komponente können Sie mit Ihrem
Browser aufrufen. Dabei werden Sie aufgefordert, einen Benutzernamen und ein Passwort einzugeben.
Die erforderlichen Daten können Sie dem Informationsblatt entnehmen, welches Ihnen der SubRegistrator übergeben hat.
Auf diesen Web-Seiten stehen Ihnen folgende Funktionen zur Verfügung:
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 10 von 86
09.08.2002
†
•
•
•
•
•
•
•
•
•
=HUWLILNDWDEKROHQNach erfolgter Zertifikatserneuerung werden Sie vom Telekom Trust Center
per E-Mail darüber informiert, dass Sie Ihr Zertifikat abholen können. Dafür steht Ihnen diese
Funktion zur Verfügung.
=HUWLILNDW VSHUUHQ Wenn Ihr privater Schlüssel in falsche Hände gelangt ist oder ein anderer
wichtiger Grund vorliegt, können Sie über diesen Menüpunkt die Sperrung Ihres Zertifikats
veranlassen.
=HUWLILNDW HUQHXHUQ Ihr Zertifikat hat eine begrenzte Gültigkeitsdauer. Bevor diese abläuft
werden Sie vom Telekom Trust Center per E-Mail daran erinnert, das Zertifikat zu erneuern. Die
Erneuerung können Sie über dieses Online-Formular anfordern.
=HUWLILNDWSUIHQHier können Sie prüfen, ob Ihr Zertifikat gültig ist.
6SHUUOLVWHQDEKROHQDie Sperrung von Zertifikaten wird über eine Sperrliste bekannt gemacht.
Mit dieser Funktion können Sie eine aktuelle Liste der gesperrten Benutzerzertifikate (CRL,
Certificate Revocation List) bzw. der gesperrten CA-Zertifikate (ARL, Authority Revocation List)
anfordern.
=HUWLILNDW VXFKHQ Hier können Sie ein Zertifikat im Verzeichnisdienst suchen. Ist das
Verzeichnis zugriffsgeschützt, müssen Sie einen Benutzernamen und ein Passwort angeben. Diese
Daten erhalten Sie von Ihrem MailPass-Verantwortlichen.
7HOHNRP5RRWODGHQHier können Sie das Zertifikat der Zertifizierungsinstanz laden, welche das
MailPass CA Zertifikat ausgestellt hat.
0DLO3DVV&$ODGHQHier können Sie das Zertifikat der Zertifizierungsinstanz laden, welche Ihr
Zertifikat ausstellt.
'RNXPHQWH ODGHQ Hier steht Ihnen ein Dokument mit den Zertifizierungsrichtlinien (CPS) der
Deutschen Telekom für den MailPass-Service sowie das Benutzerhandbuch zur Verfügung.
4.4 Mail-Request-Schnittstelle
Die Mail-Request-Schnittstelle erlaubt Ihnen die dezentrale Registrierung per E-Mail. Zu diesem
Zweck müssen Sie zunächst mit einer geeigneten Client-Anwendung einen Zertifikatsantrag im
Format PKCS#10 erzeugen. Diesen schicken Sie dann per E-Mail an das Telekom Trust Center. Die
E-Mail-Adresse erhalten Sie von Ihrem MailPass-Verantwortlichen. Anschließend nehmen Sie
Kontakt mit Ihrem Sub-Registrator auf und handeln ein Sperrpasswort aus. Bei erfolgreicher
Bearbeitung Ihres Antrags wird Ihnen dann das Zertifikat direkt per E-Mail zugeschickt.
4.5 LDAP-Schnittstelle
Es besteht die Möglichkeit, mit einem LDAP-fähigen Client (zum Beispiel einer geeigneten E-MailLösung) Zertifikate und Sperrlisten über das LDAP-Protokoll vom Verzeichnisdienst direkt abzurufen.
Weitere Informationen zu dieser Schnittstelle erhalten Sie von Ihrem MailPass-Verantwortlichen.
4.6 OCSP-Schnittstelle
Mittels OCSP (Online Certificate Status Protocol) kann eine entsprechende Client-Anwendung, die
dieses Protokoll unterstützt, den Status von Zertifikaten online prüfen.
Weitere Informationen zu dieser Schnittstelle erhalten Sie von Ihrem MailPass-Verantwortlichen.
4.7 Sub-Registrator
Bei Ihrem Domain-Betreiber gibt es einen Sub-Registrator, welcher für das Management Ihres
Zertifikats verantwortlich ist. Er nimmt folgende Aufgaben wahr:
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 11 von 86
09.08.2002
†
•
•
•
•
=HUWLILNDW EHDQWUDJHQ Im Falle des zentralen Registrierungsmodells müssen Sie beim SubRegistrator vorstellig werden, um Ihr Zertifikat zu beantragen.
=HUWLILNDWVDQWUlJHEHDUEHLWHQWenn Ihr Domain-Betreiber das dezentrale Registrierungsmodell
gewählt hat, bearbeitet der Sub-Registrator Ihren Zertifikatsantrag.
9RUOlXILJH =HUWLILNDWVVSHUUXQJHQ EHDUEHLWHQ Wenn Sie eine Zertifikatssperrung über die
Sperr-Hotline beantragt haben, muss diese durch den Sub-Registrator bearbeitet werden.
=HUWLILNDWVSHUUHQSie können beim Sub-Registrator per E-Mail (oder ggf. auch telefonisch oder
persönlich) die Sperrung Ihres Zertifikats anfordern. Die E-Mail-Adresse und Telefonnummer
entnehmen Sie bitte dem bei der Registrierung erhaltenen Informationsblatt.
4.8 Zentrale Sperr-Hotline
Falls es Ihnen nicht möglich ist, Ihr Zertifikat über die Benutzer-Web-Schnittstelle bzw. die
eingeschränkte Benutzer-Web-Schnittstelle oder über den Sub-Registrator zu sperren, können Sie die
Sperrung auch über eine Sperr-Hotline veranlassen. Die Nummer dieser Hotline entnehmen Sie bitte
dem Informationsblatt, welches Sie bei der Registrierung erhalten haben.
4.9 MailPass-Verantwortlicher
Der MailPass-Verantwortliche Ihres Domain-Betreibers ist Ihr Ansprechpartner für MailPassspezifische Probleme.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 12 von 86
09.08.2002
†
352=(66(
5.1 Beantragen eines Zertifikats
Wenn Sie ein Zertifikat beantragen wollen, müssen Sie von Ihrem Domain-Betreiber registriert
werden. Hierfür gibt es zwei verschiedene Abläufe:
• =HQWUDOH 5HJLVWULHUXQJ Um ein Zertifikat zu erhalten, müssen Sie persönlich von einem SubRegistrator registriert werden.
• 'H]HQWUDOH5HJLVWULHUXQJ Sie können einen Online-Zertifikatsantrag über die Web- oder MailRequest-Schnittstelle stellen. Dieser wird dann durch einen Sub-Registrator bearbeitet.
Eine weitere Unterscheidung der Abläufe ergibt sich durch den Einsatz von Smartcards oder SoftwarePSEs als Speichermedium für das Zertifikat und den privaten Schlüssel. Insgesamt gibt es also für das
Beantragen Ihres Zertifikats folgende Alternativen:
• Zentrale Registrierung beim Einsatz von Smartcards
• Zentrale Registrierung beim Einsatz von Software-PSEs
• Dezentrale Registrierung über die Web-Schnittstelle beim Einsatz von Smartcards
• Dezentrale Registrierung über die Web-Schnittstelle beim Einsatz von Software-PSEs
• Dezentrale Registrierung über die Mail-Request-Schnittstelle beim Einsatz von Smartcards
• Dezentrale Registrierung über die Mail-Request-Schnittstelle beim Einsatz von Software-PSEs
Für welche dieser Alternativen sich Ihr Domain-Betreiber entschieden hat und welche der im
Folgenden beschriebenen Abläufe für Sie maßgeblich sind, teilt Ihnen Ihr MailPass-Verantwortlicher
mit.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 13 von 86
09.08.2002
†
=HQWUDOH5HJLVWULHUXQJEHLP(LQVDW]YRQ6PDUWFDUGV
$EELOGXQJ%HDQWUDJXQJHLQHV%HQXW]HU]HUWLILNDWVPLW6PDUWFDUGEHL]HQWUDOHU5HJLVWULHUXQJ
Abbildung 4 verdeutlicht den Ablauf der Beantragung Ihres Zertifikats. Es müssen folgende Schritte
ausgeführt werden:
1) Sie werden vom MailPass-Verantwortlichen benachrichtigt, dass Sie ein Zertifikat beantragen
können. Dabei wird Ihnen der verantwortliche Sub-Registrator genannt.
2) Sie müssen persönlich beim Sub-Registrator erscheinen. Dort wird Ihre Identität anhand eines
Ausweisdokuments geprüft. Außerdem prüft der Sub-Registrator Ihre Berechtigung zur
Zertifikatsbeantragung anhand einer ihm vorliegenden Liste.
3) Der Sub-Registrator füllt den Zertifikatsantrag über ein Web-Formular aus. Dabei legen Sie ein
Sperrpasswort fest, welches mit in den Antrag eingeht. Dieses müssen Sie sich gut merken, da es
abgefragt wird, wenn Sie Ihr Zertifikat sperren lassen.
4) Beim Absenden des Zertifikatsantrags müssen Sie die PIN für Ihre Smartcard festlegen und am
Smartcard-Leser eingeben. Die PIN muss sechsstellig sein. Diese PIN müssen Sie sich gut
merken, da sie bei jeder Benutzung der Smartcard abgefragt wird.
5) Im Telekom Trust Center wird Ihr Zertifikat erzeugt und in einem Verzeichnisdienst gespeichert.
6) Der Sub-Registrator lädt das Zertifikat auf Ihre Smartcard. Dabei müssen Sie Ihre PIN am
Smartcard-Leser eingeben.
7) Der Sub-Registrator übergibt Ihnen die Smartcard und ein Informationsblatt. Dieses enthält:
• die Web-Adresse der eingeschränkten Benutzer-Web-Schnittstelle, über die Sie Ihr Zertifikat
sperren und erneuern können sowie einen dazugehörigen Benutzernamen und ein Passwort,
• die E-Mail-Adresse und ggf. eine Telefonnummer des Sub-Registrators, über den Sie die
Sperrung Ihres Zertifikats veranlassen können und
• die Telefonnummer der Sperr-Hotline, über die Sie die Sperrung Ihres Zertifikats veranlassen
können.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 14 von 86
09.08.2002
†
=HQWUDOH5HJLVWULHUXQJEHLP(LQVDW]YRQ6RIWZDUH36(V
$EELOGXQJ%HDQWUDJXQJHLQHV%HQXW]HU]HUWLILNDWVPLW6RIWZDUH36(EHL]HQWUDOHU
5HJLVWULHUXQJ
Abbildung 5 verdeutlicht den Ablauf der Beantragung Ihres Zertifikats. Es müssen folgende Schritte
ausgeführt werden:
1) Sie werden vom MailPass-Verantwortlichen benachrichtigt, dass Sie ein Zertifikat beantragen
können. Dabei wird Ihnen der verantwortliche Sub-Registrator genannt.
2) Sie müssen persönlich beim Sub-Registrator erscheinen. Dort wird Ihre Identität anhand eines
Ausweisdokuments geprüft. Außerdem prüft der Sub-Registrator Ihre Berechtigung zur
Zertifikatsbeantragung anhand einer ihm vorliegenden Liste.
3) Der Sub-Registrator füllt den Zertifikatsantrag über ein Web-Formular aus und sendet ihn
anschließend an das Trust Center ab. Dabei legen Sie ein Sperrpasswort fest. Dieses müssen Sie
sich gut merken, da es abgefragt wird, wenn Sie Ihr Zertifikat sperren lassen.
4) Im Telekom Trust Center wird Ihr Zertifikat erzeugt und in einem Verzeichnisdienst gespeichert.
5) Der Sub-Registrator speichert Ihr Zertifikat und den privaten Schlüssel in einer Datei (*.p12) auf
einer Diskette. Die Datei ist mit einem Passwort geschützt, welches Sie festlegen und eingeben
müssen (beachten Sie dabei bitte die Hinweise in Kapitel 6.2). Dieses Passwort müssen Sie sich
gut merken, da es beim Import Ihres privaten Schlüssels und des Zertifikats in ihre ClientSoftware abgefragt wird und Sie es auch später noch benötigen.
6) Der Sub-Registrator übergibt Ihnen die Diskette und ein Informationsblatt. Dieses enthält:
• die Web-Adresse der eingeschränkten Benutzer-Web-Schnittstelle, über die Sie Ihr Zertifikat
sperren und erneuern können sowie einen dazugehörigen Benutzernamen und ein Passwort,
• die E-Mail-Adresse und ggf. die Telefonnummer des Sub-Registrators, über den Sie die
Sperrung Ihres Zertifikats veranlassen können und
• die Nummer der Sperr-Hotline, über die Sie die Sperrung Ihres Zertifikats veranlassen
können.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 15 von 86
09.08.2002
†
'H]HQWUDOH 5HJLVWULHUXQJ EHU GLH :HE6FKQLWWVWHOOH EHLP (LQVDW]
YRQ6PDUWFDUGV
+LQZHLV:HQQ6LHGLH%HDQWUDJXQJPLWGHP1HWVFDSH1DYLJDWRUGXUFKIKUHQPVVHQ6LH]XQlFKVW
VLFKHUVWHOOHQGDVVGLH&RPPXQLFDWRU'DWHQEDQNPLWHLQHP3DVVZRUWJHVFKW]WLVW
$EELOGXQJ%HDQWUDJXQJHLQHV%HQXW]HU]HUWLILNDWVEHU:HE6FKQLWWVWHOOHPLW6PDUWFDUGEHL
GH]HQWUDOHU5HJLVWULHUXQJ
Abbildung 6 verdeutlicht den Ablauf der Beantragung Ihres Zertifikats. Es müssen folgende Schritte
ausgeführt werden:
1) Sie werden vom MailPass-Verantwortlichen benachrichtigt, dass Sie ein Zertifikat beantragen
können. Dabei wird Ihnen eine NetKey Smartcard übergeben. Außerdem erhalten Sie ein
Informationsblatt. Dieses enthält:
• die Web-Adresse der Benutzer-Web-Schnittstelle, über die Sie Ihr Zertifikat beantragen,
sperren und erneuern können sowie einen dazugehörigen Benutzernamen und ein Passwort,
• die E-Mail-Adresse und ggf. die Telefonnummer des Sub-Registrators, über den Sie die
Sperrung Ihres Zertifikats veranlassen können,
• die Nummer der Sperr-Hotline, über die Sie die Sperrung Ihres Zertifikats veranlassen können
und
• Vorgaben zum Ausfüllen des Zertifikatsantrags.
2) Sie rufen mit Ihrem Browser die Web-Seite der Benutzer-Web-Schnittstelle auf. Dabei werden Sie
aufgefordert, einen Benutzernamen und ein Passwort anzugeben. Diese Daten können Sie dem
Informationsblatt entnehmen, welches Ihnen der MailPass-Verantwortliche übergeben hat.
$EELOGXQJ$QPHOGXQJPLW%HQXW]HUQDPHXQG]XJHK|ULJHP3DVVZRUW
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 16 von 86
09.08.2002
†
3) Wählen Sie die Funktion =HUWLILNDW EHDQWUDJHQ. Nun
Zuständigkeitsbereich auswählen, der Ihnen mitgeteilt wurde.
müssen
Sie
zunächst
den
$EELOGXQJ$XVZlKOHQGHV=XVWlQGLJNHLWVEHUHLFKV
4) Nach Auswahl des Zuständigkeitsbereiches erscheint ein Online-Formular.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 17 von 86
09.08.2002
†
$EELOGXQJ$QWUDJIU%HQXW]HU]HUWLILNDW
Gehen Sie bitte wie folgt vor:
a) Stecken Sie Ihre Smartcard in den Smartcard-Leser ein.
b) Füllen Sie die Datenfelder aus. Beachten Sie dabei bitte die Vorgaben ihres MailPassVerantwortlichen. Beachten Sie des Weiteren, dass Vor- und Nachname keine Umlaute
enthalten dürfen. Gültige Zeichen sind: D]$=
" c) Tragen Sie die Authentifizierungsdaten ein. Von besonderer Wichtigkeit ist das
Sperrpasswort. Dieses müssen Sie sich gut merken, da es abgefragt wird, wenn Sie Ihr
Zertifikat sperren lassen.
d) Für das Feld zur Auswahl des Schlüsselgeneratorswählen Sie bitte folgende Einstellungen:
• Netscape Navigator: 9HUVFKOVVHOXQJKRKHU.RPSOH[LWlW
$EELOGXQJ(LQVWHOOHQGHU6FKOVVHOOlQJH1HWVFDSH
•
Dokument:
Version:
MS Internet Explorer: .RELO6PDUW&63
MailPass_BenutzerHB-0-5.doc
0.5
Seite 18 von 86
09.08.2002
†
$EELOGXQJ$XVZDKOGHU6PDUWFDUG]XU6FKOVVHOJHQHULHUXQJ,QWHUQHW([SORUHU
e) Klicken Sie auf den Button $EVHQGHQ.
Wenn Sie den Netscape Navigator verwenden, erscheint ein neues Fenster, in dem Sie die
Smartcard auswählen müssen (siehe Abbildung 12).
$EELOGXQJ%HL9HUZHQGXQJGHV1HWVFDSH1DYLJDWRUVPXVVGLH6PDUWFDUG]XU
6FKOVVHOJHQHULHUXQJDXVJHZlKOWZHUGHQ
f) Beim Absenden des Zertifikatsantrages müssen Sie die PIN ihrer Smartcard eingeben. Bei
erstmaliger Verwendung der Smartcard wird der Null-PIN-Status aufgehoben und Sie müssen
eine neue sechsstellige PIN setzen. Abbildung 13 zeigt diesen Vorgang für den Internet
Explorer. Bei Verwendung von Netscape erscheinen dazu zwei Fenster, wobei Sie ersteres
ohne Eingabe durch Klicken von 2. übergehen können (Abbildung 14). Im zweiten Fenster
legen Sie Ihre neue PIN fest (Abbildung 15). Die Dialoge unterscheiden sich in Ihrem
Aussehen je nach verwendeten Browser.
$EELOGXQJ*HEHQ6LHGLHJHZQVFKWH3,1HLQ,QWHUQHW([SORUHU
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 19 von 86
09.08.2002
†
$EELOGXQJ'LHVHV)HQVWHUN|QQHQ6LHRKQH(LQJDEHGXUFK.OLFNHQYRQ2.EHVWlWLJHQ
1HWVFDSH
$EELOGXQJ*HEHQ6LHGLHJHZQVFKWH3,1HLQ1HWVFDSH
g) Auf der Antwortseite in Ihrem Browser wird die Referenznummer Ihres Zertifikatsantrags
angezeigt. Nach dem Erscheinen der Antwortseite in Ihrem Browser können Sie die Smartcard
aus dem Smartcard-Leser entnehmen.
5) Nach der Erzeugung Ihres Zertifikats im Telekom Trust Center werden Sie per E-Mail
benachrichtigt. Die E-Mail enthält die Referenznummer Ihres Antrags und die Web-Adresse, über
die Sie Ihr Zertifikat abholen können.
6) Sie rufen mit Ihrem Browser die in der E-Mail angegebene Web-Seite auf. Alternativ können Sie
auch über die Benutzer-Web-Schnittstelle die Funktion =HUWLILNDWDEKROHQ aufrufen.
a) Tragen Sie die Referenznummer Ihres Zertifikatantrags in das vorgesehene Web-Formular ein.
Die Referenznummer können Sie der E-Mail entnehmen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 20 von 86
09.08.2002
†
$EELOGXQJ7UDJHQ6LHGLH5HIHUHQ]QXPPHU,KUHV=HUWLILNDWDQWUDJVHLQ
b) Nach Klicken auf den $EVHQGHQ-Button wird Ihr Zertifikat angezeigt.
c) Stecken Sie Ihre Smartcard in den Smartcard-Leser ein.
d) Klicken Sie auf den Button =HUWLILNDWDEKROHQ.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 21 von 86
09.08.2002
†
$EELOGXQJ$EKROHQGHV=HUWLILNDWV
Damit wird Ihr Zertifikat auf die Smartcard geschrieben.
7) Ihre personalisierte Smartcard können Sie nun für Ihre Client-Anwendung verwenden.
Beim Einsatz von 'XDO.H\ ist der Ablauf nahezu identisch. Der einzige Unterschied besteht beim
Laden des Zertifikats auf die Smartcard. Hier müssen beide Zertifikate separat durch Klicken der
entsprechenden Buttons abgeholt werden.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 22 von 86
09.08.2002
†
$EELOGXQJ/DGHQGHU=HUWLILNDWHEHL'XDO.H\
'H]HQWUDOH 5HJLVWULHUXQJ EHU GLH :HE6FKQLWWVWHOOH EHLP (LQVDW]
YRQ6RIWZDUH36(V
+LQZHLV:HQQ6LHGLH%HDQWUDJXQJPLWGHP1HWVFDSH1DYLJDWRUGXUFKIKUHQPVVHQ6LH]XQlFKVW
VLFKHUVWHOOHQGDVVGLH&RPPXQLFDWRU'DWHQEDQNPLWHLQHP3DVVZRUWJHVFKW]WLVW
$EELOGXQJ%HDQWUDJXQJHLQHV%HQXW]HU]HUWLILNDWVEHUGLH:HE6FKQLWWVWHOOHPLW6RIWZDUH
36(EHLGH]HQWUDOHU5HJLVWULHUXQJ
Abbildung 19 verdeutlicht den Ablauf der Beantragung Ihres Zertifikats. Es müssen folgende Schritte
ausgeführt werden:
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 23 von 86
09.08.2002
†
1) Sie werden vom MailPass-Verantwortlichen benachrichtigt, dass Sie ein Zertifikat beantragen
können. Dabei wird Ihnen ein Informationsblatt übermittelt. Dieses enthält:
• die Web-Adresse der Benutzer-Web-Schnittstelle über die Sie Ihr Zertifikat beantragen,
sperren und erneuern können sowie einen dazugehörigen Benutzernamen und ein Passwort,
• die E-Mail-Adresse und ggf. die Telefonnummer des Sub-Registrators, über den Sie die
Sperrung Ihres Zertifikats veranlassen können,
• die Nummer der Sperr-Hotline, über die Sie die Sperrung Ihres Zertifikats veranlassen können
und
• Vorgaben zum Ausfüllen des Zertifikatsantrags.
2) Sie rufen mit Ihrem Browser die Web-Seite der Benutzer-Web-Schnittstelle auf. Dabei werden Sie
aufgefordert, einen Benutzernamen und ein Passwort anzugeben. Diese Daten können Sie dem
Informationsblatt entnehmen, welches Ihnen der MailPass-Verantwortliche übergeben hat.
$EELOGXQJ$QPHOGXQJPLW%HQXW]HUQDPHXQG]XJHK|ULJHP3DVVZRUW
3) Wählen Sie die Funktion =HUWLILNDW EHDQWUDJHQ. Nun
Zuständigkeitsbereich auswählen, der Ihnen mitgeteilt wurde.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 24 von 86
müssen
Sie
zunächst
den
09.08.2002
†
$EELOGXQJ$XVZlKOHQGHV=XVWlQGLJNHLWVEHUHLFKV
4) Nach Auswahl des Zuständigkeitsbereichs erscheint ein Online-Formular.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 25 von 86
09.08.2002
†
$EELOGXQJ$QWUDJIU%HQXW]HU]HUWLILNDW
Gehen Sie bitte wie folgt vor:
a) Füllen Sie die Datenfelder aus. Beachten Sie dabei bitte die Vorgaben ihres MailPassVerantwortlichen. Beachten Sie des Weiteren, dass Vor- und Nachname keine Umlaute
enthalten dürfen. Gültige Zeichen sind: D]$=
" b) Tragen Sie die Authentifizierungsdaten ein. Von besonderer Wichtigkeit ist das
Sperrpasswort. Dieses müssen Sie sich gut merken, da es abgefragt wird, wenn Sie Ihr
Zertifikat sperren lassen.
c) Für das Feld zur Auswahl des Schlüsselgenerators wählen Sie bitte folgende Einstellungen:
• Netscape Navigator: 9HUVFKOVVHOXQJKRKHU.RPSOH[LWlW
$EELOGXQJ(LQVWHOOHQGHU6FKOVVHOOlQJH1HWVFDSH
•
Dokument:
Version:
MS Internet Explorer: 0LFURVRIW(QKDQFHG&U\SWRJUDSKLF3URYLGHU
MailPass_BenutzerHB-0-5.doc
0.5
Seite 26 von 86
09.08.2002
†
$EELOGXQJ(LQVWHOOHQGHU6FKOVVHOOlQJH,QWHUQHW([SORUHU
d) Klicken Sie auf den Button $EVHQGHQ.
Wenn Sie den Netscape Navigator verwenden, erscheint ein neues Fenster, in dem Sie die
Erzeugung Ihres privaten Schlüssels mit 2. bestätigen müssen.
$EELOGXQJ6WDUWGHU6FKOVVHOJHQHULHUXQJ
Sie müssen anschließend das Passwort für die Sicherheitsumgebung Ihres Browsers angeben.
Falls diese noch nicht durch ein Passwort geschützt ist, werden Sie aufgefordert ein Passwort
zu setzen. Da sich Ihr privater Schlüssel in dieser Sicherheitsumgebung befindet, sollten Sie
ein starkes Passwort wählen (beachten Sie hierbei bitte die Hinweise im Kapitel 6.2).
e) Auf der Antwortseite in Ihrem Browser wird die Referenznummer Ihres Zertifikatsantrags
angezeigt.
5) Nach der Erzeugung Ihres Zertifikats im Telekom Trust Center werden Sie per E-Mail
benachrichtigt. Die E-Mail enthält die Referenznummer Ihres Antrags und die Web-Adresse, über
die Sie Ihr Zertifikat abholen können.
6) Sie rufen mit Ihrem Browser die in der E-Mail angegebene Web-Seite auf. Alternativ können Sie
auch über die Benutzer-Web-Schnittstelle die Funktion =HUWLILNDWDEKROHQ aufrufen.
a) Tragen Sie die Referenznummer Ihres Zertifikatsantrags in das vorgesehene Web-Formular
ein. Die Referenznummer können Sie der E-Mail entnehmen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 27 von 86
09.08.2002
†
$EELOGXQJ7UDJHQ6LHGLH5HIHUHQ]QXPPHU,KUHV=HUWLILNDWDQWUDJVHLQ
b) Nach Klicken auf den $EVHQGHQ-Button wird Ihr Zertifikat angezeigt.
c) Klicken Sie auf den Button =HUWLILNDWDEKROHQ.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 28 von 86
09.08.2002
†
$EELOGXQJ=HUWLILNDWLP%URZVHUVSHLFKHUQ
Damit wird Ihr Zertifikat in Ihrem Browser gespeichert.
Beim Einsatz von 'XDO.H\ ist der Ablauf nahezu identisch. Der einzige Unterschied besteht beim
Laden des Zertifikats in die Browser-Datenbank. Hier müssen beide Zertifikate separat durch Klicken
der entsprechenden Buttons abgeholt werden.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 29 von 86
09.08.2002
†
$EELOGXQJ/DGHQGHU=HUWLILNDWHEHL'XDO.H\
Wenn Sie Ihr Zertifikat mit dem Internet Explorer beantragt und geladen haben, können Sie es nun mit
Microsoft Outlook verwenden. Wenn Sie Ihr Zertifikat mit dem Netscape Navigator beantragt und
geladen haben, können Sie es mit dem Netscape Messanger verwenden. Für den Fall, dass Sie nicht
den zum E-Mail-Programm korrespondierenden Browser verwendet haben oder Ihr Zertifikat mit
einer anderen Anwendungssoftware nutzen möchten, müssen Sie Ihren privaten Schlüssel und das
Zertifikat noch in eine PKCS#12-Datei exportieren. Dieser Ablauf ist in Kapitel 5.5 beschrieben.
'H]HQWUDOH5HJLVWULHUXQJEHUGLH0DLO5HTXHVW6FKQLWWVWHOOH
Die Mail-Request-Schnittstelle erlaubt Ihnen die dezentrale Registrierung per E-Mail. Zu diesem
Zweck müssen Sie zunächst mit einer geeigneten Client-Anwendung einen Zertifikatsantrag im
Format PKCS#10 erzeugen. Diesen schicken Sie dann per E-Mail an das Telekom Trust Center. Die
E-Mail-Adresse erfahren Sie von Ihrem MailPass-Verantwortlichen. Anschließend nehmen Sie
Kontakt mit Ihrem Sub-Registrator auf und handeln ein Sperrpasswort aus. Bei erfolgreicher
Bearbeitung Ihres Antrags wird Ihnen dann das Zertifikat direkt per E-Mail zugeschickt.
Nähere Informationen zum Erzeugen des Zertifikatsantrags im Format PKCS#10 bzw. zum Import des
erhaltenen Zertifikats in Ihre Client-Anwendung entnehmen Sie bitte den entsprechenden
Benutzerhandbüchern Ihrer Client-Anwendung.
Für weitere Fragen bezüglich der dezentralen Registrierung über die Mail-Request-Schnittstelle
wenden Sie sich bitte an Ihren MailPass-Verantwortlichen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 30 von 86
09.08.2002
†
5.2 Sperren eines Zertifikats
In bestimmten Fällen ist es erforderlich, dass Sie Ihr Zertifikat sperren lassen. Dies ist insbesondere
dann notwendig, wenn Ihr privater Schlüssel in fremde Hände gelangt ist. Im Folgenden werden alle
Gründe aufgelistet, bei denen Sie die Sperrung Ihres Zertifikats veranlassen müssen:
• Ihr privater Schlüssel ist kompromittiert, das heißt eine andere Person ist in den Besitz Ihres
privaten Schlüssels gekommen.
• Es besteht der Verdacht, dass Ihr privater Schlüssel kompromittiert wurde.
• Ihre Smartcard bzw. Ihr Software-PSE ist defekt und Sie können deshalb Ihren Schlüssel nicht
mehr nutzen.
• Sie haben die PIN für Ihre Smartcard bzw. das Passwort für Ihr Software-PSE vergessen.
• Die Angaben in Ihrem Zertifikat sind nicht mehr aktuell. Dies kann zum Beispiel der Fall sein,
wenn die im Zertifikat angegebene E-Mail-Adresse nicht mehr gültig ist oder wenn Sie einem
neuen Zuständigkeitsbereich zugeordnet werden.
Um Ihr Zertifikat sperren zu lassen, stehen Ihnen verschiedene Möglichkeiten zur Verfügung:
• %HQXW]HU:HE6FKQLWWVWHOOHHLQJHVFKUlQNWH%HQXW]HU:HE6FKQLWWVWHOOHDie Adresse dieser
Web-Seite können Sie dem Informationsblatt entnehmen, welches Sie von Ihrem MailPassVerantwortlichen bzw. Ihrem Sub-Registrator erhalten haben.
• 6XE5HJLVWUDWRU Sie können per E-Mail oder Telefon (ggf. auch persönlich) bei Ihrem SubRegistrator die Sperrung Ihres Zertifikats anfordern. Die E-Mail-Adresse und die Telefonnummer
können Sie ebenfalls dem Informationsblatt entnehmen. Des Weiteren sind diese Daten über die
Funktion =HUWLILNDWVSHUUHQder Benutzer-Web-Schnittstelle einsehbar.
• 6SHUU+RWOLQHUnter der im Informationsblatt angegebenen Rufnummer können Sie telefonisch
die vorläufige Sperrung Ihres Zertifikats veranlassen. Die Rufnummer kann außerdem der
Benutzer-Web-Schnittstelle entnommen werden.
6SHUUHQ HLQHV =HUWLILNDWV EHU GLH HLQJHVFKUlQNWH %HQXW]HU:HE
6FKQLWWVWHOOH
Voraussetzung des nachfolgend beschriebenen Ablauf ist die Kenntnis Ihres Sperrpassworts. Sollten
Sie Ihr Sperrpasswort vergessen haben, fordern Sie bitte die Sperrung persönlich bei Ihrem SubRegistrator an.
1) Sie rufen mit Ihrem Browser die Web-Seite der Benutzer-Web-Schnittstelle bzw. der
eingeschränkten Benutzer-Web-Schnittstelle auf. Dabei werden Sie aufgefordert, einen
Benutzernamen und ein Passwort anzugeben. Diese Daten können Sie dem Informationsblatt
entnehmen, welches Ihnen der MailPass-Verantwortliche bzw. der Sub-Registrator übergeben hat.
2) Wählen Sie die Funktion =HUWLILNDWVSHUUHQ.
:HQQ6LHHLQ6RIWZDUH36(YHUZHQGHQXQG,KU=HUWLILNDWVHOEVWPLW,KUHP%URZVHUJHODGHQKDEHQGDQQEHILQGHWVLFKLKUSULYDWHU6FKOVVHO
XQGGDV=HUWLILNDWQRFKLP%URZVHU6LHN|QQHQ,KUHQ6FKOVVHOXQGGDV=HUWLILNDWHUQHXWDXVGHP%URZVHULQHLQH'DWHLSVSHLFKHUQ,Q
GLHVHP)DOOEUDXFKHQ6LH,KU=HUWLILNDWQLFKWVSHUUHQ]XODVVHQ
:LH
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 31 von 86
09.08.2002
†
$EELOGXQJ$XVZDKOGHV=XVWlQGLJNHLWVEHUHLFKV
3) Wählen Sie Ihren Zuständigkeitsbereich aus der Auswahlliste.
$EELOGXQJ=HUWLILNDWVSHUUHQ
4) Sie haben verschiedene Kriterien zur Auswahl, über die Sie Ihr zu sperrendes Zertifikat angeben
können:
• 5HIHUHQ]QXPPHU: Hier müssen Sie die Referenznummer Ihres Zertifikatsantrags und Ihr
Sperrpasswort eingeben.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 32 von 86
09.08.2002
†
$EELOGXQJ6SHUUHQEHU$QJDEHGHU5HIHUHQ]QXPPHU
•
6HULHQQXPPHU: Hier müssen Sie die Seriennummer Ihres Zertifikats und Ihr Sperrpasswort
eingeben.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 33 von 86
09.08.2002
†
$EELOGXQJ6SHUUHQEHU$QJDEHGHU6HULHQQXPPHU
•
(0DLO$GUHVVH:
• Hier müssen Sie die im Zertifikat angegebene E-Mail-Adresse und Ihr Sperrpasswort
eintragen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 34 von 86
09.08.2002
†
$EELOGXQJ6SHUUHQEHU$QJDEHGHU(0DLO$GUHVVH
•
Dokument:
Version:
Wählen Sie das zu sperrende Zertifikat aus der Liste.
MailPass_BenutzerHB-0-5.doc
0.5
Seite 35 von 86
09.08.2002
†
$EELOGXQJ$XVZDKOGHV]XVSHUUHQGHQ=HUWLILNDWV
•
Dokument:
Version:
Es erfolgt eine automatische Weiterleitung zur Funktion Sperren über Seriennummer.
Dabei müssen Sie nochmals das Sperrpasswort eingeben.
MailPass_BenutzerHB-0-5.doc
0.5
Seite 36 von 86
09.08.2002
†
$EELOGXQJ(UQHXWH(LQJDEHGHV6SHUUSDVVZRUWV
5) Wenn Ihr Sperrpasswort korrekt ist, wird Ihnen Ihr Zertifikat angezeigt.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 37 von 86
09.08.2002
†
$EELOGXQJ)RUPXODU]XP6SHUUHQHLQHV=HUWLILNDWV±=HUWLILNDWVGDWHQ
a) Überprüfen Sie, ob es sich bei dem angezeigten Zertifikat um das zu sperrende Zertifikat
handelt.
b) Tragen Sie im dafür vorgesehenen Feld den Zeitpunkt ein, ab dem Ihr Zertifikat als ungültig
erklärt werden soll.
c) Wählen Sie einen Grund der Sperrung aus.
d) Klicken Sie auf den Button $EVHQGHQ.
$EELOGXQJ)RUPXODU]XP6SHUUHQHLQHV=HUWLILNDWV±=HLWSXQNWXQG6SHUUJUXQG
6) Ihr Zertifikat ist nun gesperrt und kann nicht mehr verwendet werden. Die Sperrung wird per EMail vom Telekom Trust Center bestätigt.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 38 von 86
09.08.2002
†
6SHUUHQHLQHV=HUWLILNDWVEHUGHQ6XE5HJLVWUDWRU
Bei der Registrierung haben Sie die E-Mail-Adresse und ggf. auch die Telefonnummer eines
verantwortlichen Sub-Registrators erhalten. Zum Sperren Ihres Zertifikats können Sie an diese
Adresse eine E-Mail mit folgendem Inhalt senden:
• Referenznummer Ihres Zertifikatsantrages, Seriennummer Ihres Zertifikats oder die E-MailAdresse, die in Ihrem Zertifikat enthalten ist
• Ihren Namen und die Abteilung
• Grund für die Sperrung Ihres Zertifikats
• Sperrpasswort
$EELOGXQJ%HLVSLHOIUHLQH(0DLO]XP6SHUUHQGHV%HQXW]HU]HUWLILNDWV
Der Sub-Registrator prüft anhand des angegebenen Sperrpassworts, ob Sie berechtigt sind, das
Zertifikat zu sperren. Danach veranlasst der Sub-Registrator die Sperrung Ihres Zertifikats. Die
Sperrung ist endgültig. Sie werden per E-Mail vom Trust Center über die Sperrung informiert.
Sollten Sie Ihr Sperrpasswort nicht mehr zur Verfügung haben, müssen Sie persönlich bei Ihrem SubRegistrator erscheinen. Dieser prüft dann Ihre Identität anhand eines Ausweisdokumentes und
veranlasst die Sperrung Ihres Zertifikats.
6SHUUHQHLQHV=HUWLILNDWVEHUGLH6SHUU+RWOLQH
Bei der Registrierung haben Sie die Telefonnummer einer Sperr-Hotline erhalten. Diese
Telefonnummer können Sie außerdem über die Funktion =HUWLILNDW VSHUUHQ der Benutzer-WebSchnittstelle erhalten. Zum Sperren Ihres Zertifikats können Sie dort anrufen. Folgende Angaben
werden zwingend benötigt:
• Ihr Name
• Name des Telekom-Services, hier also T-TeleSec MailPass
• Name Ihres Domain-Betreibers
• Art des zu sperrenden Zertifikats, in diesem Fall Benutzerzertifikat
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 39 von 86
09.08.2002
†
•
•
•
Referenznummer Ihres Zertifikatsantrages, Seriennummer Ihres Zertifikats oder die E-MailAdresse aus Ihrem Zertifikat
Grund für die Sperrung Ihres Zertifikats
Rufnummer, unter welcher Sie für Rückfragen zur Verfügung stehen
Das Hotline-Personal nimmt Ihren Sperrantrag entgegen. Wenn die von Ihnen angegebenen Daten auf
ein Zertifikat zutreffen, wird eine vorläufige Sperrung Ihres Zertifikats veranlasst.
Eventuell erfolgt noch ein Rückruf durch einen Sperr-Hotline-Operator, um unkorrekte Angaben
berichtigen zu können.
Um das Zertifikat endgültig sperren zu lassen, müssen Sie sich an Ihren Sub-Registrator wenden.
Befolgen Sie dafür bitte den in Kapitel 5.2.2 beschriebenen Ablauf.
5.3 Erneuern eines Zertifikats
Ihr Zertifikat hat eine begrenzte Gültigkeitsdauer. Vor Ablauf dieser Zeit werden Sie per E-Mail daran
erinnert, Ihr Zertifikat zu erneuern. Hierfür steht Ihnen die Benutzer-Web-Schnittstelle bzw. die
eingeschränkte Benutzer-Web-Schnittstelle zur Verfügung.
Die Prozesse der Erneuerung eines Zertifikats bei Verwendung von Smartcards und Verwendung von
Software-PSEs unterscheiden sich. Sie brauchen nur das für Sie relevante Kapitel betrachten.
(LQVDW]YRQ6PDUWFDUGV
'LHVHU$EODXINDQQQXUGXUFKJHIKUWZHUGHQZHQQ,KU]XHUQHXHUQGHV=HUWLILNDWJOWLJLVWXQG
PLWGHP]XJHK|ULJHQSULYDWHQ6FKOVVHODXIHLQHU6PDUWFDUGYRUOLHJW
Wenn Sie als Browser den Internet Explorer einsetzen, dann müssen Sie Ihr Zertifikat, welches sich
auf der Smartcard befindet, zunächst dem Browser bekannt machen. Falls dies noch nicht geschehen
ist, befolgen Sie bitte den Ablauf in Kapitel 5.5.
Um Ihr Zertifikat zu erneuern gehen Sie wie folgt vor:
1) Sie erhalten vom Telekom Trust Center eine E-Mail, in der Sie über den Ablauf Ihres Zertifikats
informiert werden.
2) Rufen Sie mit Ihrem Browser die Web-Seite der Benutzer-Web-Schnittstelle bzw. der
eingeschränkten Benutzer-Web-Schnittstelle auf. Dabei werden Sie aufgefordert, einen
Benutzernamen und ein Passwort anzugeben. Diese Daten können Sie dem Informationsblatt
entnehmen, welches Sie bei der Registrierung erhalten haben.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 40 von 86
09.08.2002
†
$EELOGXQJ*HEHQ6LH%HQXW]HUQDPHQXQG3DVVZRUWIUGLH%HQXW]HU:HE6FKQLWWVWHOOHHLQ
3) Stecken Sie Ihre Smartcard in den Smartcard-Leser ein.
4) Wählen Sie die Funktion =HUWLILNDWHUQHXHUQ. Bei Einsatz des Netscape Navigators wird nun Ihre
PIN abgefragt. Damit nur Sie in der Lage sind, Ihr Zertifikat zu erneuern, wird eine SSL-ClientAuthentifizierung durchgeführt. Hierfür müssen Sie das Zertifikat angeben, welches Sie erneuern
möchten. Wählen Sie dafür die Smartcard aus. Bei Einsatz des MS Internet Explorers müssen Sie
nun Ihre PIN eingeben.
$EELOGXQJ:lKOHQ6LHGDV]XHUQHXHUQGH=HUWLILNDWDXV1HWVFDSH
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 41 von 86
09.08.2002
†
$EELOGXQJ:lKOHQ6LHGDV]XHUQHXHUQGH=HUWLILNDWDXV,QWHUQHW([SORUHU
5) Es erscheint ein Online-Formular, auf dem Ihnen Ihr Zertifikat angezeigt wird.
$EELOGXQJ$QWUDJDXI(UQHXHUXQJHLQHV%HQXW]HU]HUWLILNDWV
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 42 von 86
09.08.2002
†
Gehen Sie bitte wie folgt vor:
a) Für das Feld zur Auswahl des Schlüsselgenerators wählen Sie bitte folgende Einstellungen:
• Netscape Navigator: 9HUVFKOVVHOXQJKRKHU.RPSOH[LWlW
$EELOGXQJ(LQVWHOOHQGHU6FKOVVHOOlQJH1HWVFDSH
•
MS Internet Explorer: .RELO6PDUW&63Y
$EELOGXQJ(LQVWHOOHQGHU6FKOVVHOOlQJH,QWHUQHW([SORUHU
b) Betätigen Sie den Button $EVHQGHQ.
Wenn Sie den Netscape Navigator verwenden, erscheint ein neues Fenster, in dem Sie die
Smartcard auswählen müssen.
$EELOGXQJ$XVZDKOGHV=HUWLILNDWVVSHLFKHUV6PDUWFDUG
c) Auf der Antwortseite in Ihrem Browser werden die Zertifikatsdaten angezeigt. Mit Klicken
auf den Button =HUWLILNDWDEKROHQ wird Ihr erneuertes Zertifikat auf die Smartcard geschrieben.
Bitte beachten Sie, dass es zu kurzen zeitlichen Verzögerungen kommen kann, da dies ein
Online-Prozess ist.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 43 von 86
09.08.2002
†
$EELOGXQJ/DGHQGHV=HUWLILNDWV
6) Sie können nun die Smartcard aus dem Smartcard-Leser entfernen.
Beim Einsatz von 'XDO.H\ ist der Ablauf nahezu identisch. Der einzige Unterschied besteht beim
Laden des Zertifikats auf die Smartcard. Hier müssen beide Zertifikate separat durch Klicken der
entsprechenden Buttons abgeholt werden.
Nach der Erzeugung Ihres Zertifikats im Telekom Trust Center werden Sie per E-Mail benachrichtigt.
Die E-Mail enthält die Referenznummer Ihres Antrags und eine Web-Adresse, über die Sie auch
alternativ Ihr Zertifikat abholen können. Eine weitere Alternative ist die Abholung über die
(eingeschränkte) Benutzer-Web-Schnittstelle mit der Funktion =HUWLILNDWDEKROHQ.
(LQVDW]YRQ6RIWZDUH36(V
'LHVHU$EODXINDQQQXUGXUFKJHIKUWZHUGHQZHQQ,KU]XHUQHXHUQGHV=HUWLILNDWJOWLJLVWXQG
PLWGHP]XJHK|ULJHQSULYDWHQ6FKOVVHOLQ,KUHP%URZVHUYRUOLHJW
Prüfen Sie also zunächst, ob sich das Zertifikat in Ihrem Browser befindet:
•
Netscape Navigator:
a) Klicken Sie in der Navigationssymbolleiste Ihres Browsers auf den Button 6LFKHUKHLW 6HFXULW\.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 44 von 86
09.08.2002
†
$EELOGXQJ'HU%XWWRQ6LFKHUKHLWEHL1HWVFDSH
b) Wählen Sie in der Menüleiste unter =HUWLILNDWH den Punkt (LJHQH.
c) Über den Button $Q]HLJHQ können Sie sich die Eigenschaften der dort aufgeführten Zertifikate
anschauen. Prüfen Sie anhand der Seriennummer, ob sich das zu erneuernde Zertifikat unter
den angezeigten Zertifikaten befindet.
•
Microsoft Internet Explorer:
a) Wählen Sie im Browser-Menü ([WUDV den Punkt ,QWHUQHWRSWLRQHQ.
$EELOGXQJ:lKOHQ6LHLP0HQ([WUDVGHQ3XQNW,QWHUQHWRSWLRQHQ
b) Gehen Sie zum Menü ,QKDOW und klicken Sie auf den Button =HUWLILNDWH.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 45 von 86
09.08.2002
†
$EELOGXQJ.OLFNHQ6LHLP0HQ,QKDOWDXIGHQ%XWWRQ=HUWLILNDWH
c) Wählen Sie in der Zertifikatsverwaltung den Punkt (LJHQH=HUWLILNDWH.
d) Über den Button $Q]HLJHQ können Sie sich die Eigenschaften der dort aufgeführten Zertifikate
anschauen. Prüfen Sie anhand der Seriennummer, ob sich das zu erneuernde Zertifikat unter
den angezeigten Zertifikaten befindet.
Befindet sich Ihr Zertifikat nicht in Ihrem Browser, muss der private Schlüssel über eine Datei (.p12)
importiert werden. Dies ist die Datei, die Sie bei der Registrierung erhalten haben.
•
Netscape Navigator:
a) Klicken Sie in der Navigationssymbolleiste Ihres Browsers auf den Button 6LFKHUKHLW 6HFXULW\.
$EELOGXQJ'HU%XWWRQ6LFKHUKHLWEHL1HWVFDSH
b) Wählen Sie in der Menüleiste unter =HUWLILNDWH den Punkt (LJHQH.
c) Klicken Sie auf den Button =HUWLILNDWLPSRUWLHUHQ.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 46 von 86
09.08.2002
†
$EELOGXQJ=HUWLILNDWLPSRUWLHUHQ
d) Geben Sie das Passwort für die Sicherheitsumgebung Ihres Browsers ein.
e) Wählen Sie die Datei aus, die Ihren privaten Schlüssel und das zugehörige Zertifikat enthält.
Klicken Sie auf gIIQHQ.
f) Geben Sie das Passwort der Datei ein.
g) Bei erfolgreichem Import erhalten Sie eine entsprechende Meldung.
•
Microsoft Internet Explorer:
a) Wählen Sie im Browser-Menü ([WUDV den Punkt ,QWHUQHWRSWLRQHQ.
$EELOGXQJ:lKOHQ6LHLP0HQ([WUDVGHQ3XQNW,QWHUQHWRSWLRQHQ
b) Gehen Sie zum Menü ,QKDOW und klicken Sie auf den Button =HUWLILNDWH.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 47 von 86
09.08.2002
†
$EELOGXQJ.OLFNHQ6LHLP0HQ,QKDOWDXIGHQ%XWWRQ=HUWLILNDWH
c) Wählen Sie in der Zertifikatsverwaltung den Punkt (LJHQH=HUWLILNDWH.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 48 von 86
09.08.2002
†
$EELOGXQJ.OLFNHQ6LHDXIGHQ%XWWRQ,PSRUWLHUHQ
d) Klicken Sie auf den Button ,PSRUWLHUHQ.
$EELOGXQJ,PSRUW$VVLVWHQW
e) Es erscheint der Import-Assistent für die Zertifikatsverwaltung. Klicken Sie auf :HLWHU.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 49 von 86
09.08.2002
†
$EELOGXQJ$XVZDKOGHU]XLPSRUWLHUHQGHQ'DWHL
f) Wählen Sie die Datei aus, die Ihren privaten Schlüssel und das zugehörige Zertifikat enthält.
Klicken Sie auf gIIQHQ.
$EELOGXQJ$XVZDKOEHVWlWLJHQPLW:HLWHU
g) Klicken Sie auf :HLWHU.
h) Geben Sie das Passwort der Datei ein. Wählen Sie die Option 3ULYDWHQ 6FKOVVHO DOV
H[SRUWLHUEDUPDUNLHUHQ. Klicken Sie auf :HLWHU.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 50 von 86
09.08.2002
†
$EELOGXQJ*HEHQ6LHGDV]XJHK|ULJH3DVVZRUWHLQ
i) Wählen Sie die Option =HUWLILNDWVVSHLFKHUDXWRPDWLVFKDXVZlKOHQund klicken Sie auf :HLWHU.
$EELOGXQJ:lKOHQ6LH=HUWLILNDWVVSHLFKHUDXWRPDWLVFKZlKOHQ
j) Klicken Sie auf )HUWLJVWHOOHQ.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 51 von 86
09.08.2002
†
$EELOGXQJ)HUWLJVWHOOXQJGHV,PSRUWV
k) Bei erfolgreichem Import erhalten Sie eine entsprechende Meldung.
=HUWLILNDWVHUQHXHUXQJ Um Ihr Zertifikat zu erneuern, gehen Sie wie folgt vor:
1) Sie erhalten vom Telekom Trust Center eine E-Mail, in der Sie über den Ablauf Ihres Zertifikats
informiert werden.
2) Sie rufen mit Ihrem Browser die Web-Seite der Benutzer-Web-Schnittstelle bzw. der
eingeschränkten Benutzer-Web-Schnittstelle auf. Dabei werden Sie aufgefordert, einen
Benutzernamen und ein Passwort anzugeben. Diese Daten können Sie dem Informationsblatt
entnehmen, welches Sie bei der Registrierung erhalten haben.
$EELOGXQJ$QPHOGXQJPLW%HQXW]HUQDPHXQG3DVVZRUW
3) Wählen Sie die Funktion =HUWLILNDW HUQHXHUQ. Damit nur Sie in der Lage sind, Ihr Zertifikat zu
erneuern, wird eine SSL-Client-Authentifizierung durchgeführt. Hierzu müssen Sie das zu
erneuernde Zertifikat aus der angezeigten Liste auswählen. Bei Einsatz des Netscape Navigators
wird das Passwort für die Communicator Datenbank abgefragt.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 52 von 86
09.08.2002
†
$EELOGXQJ:lKOHQ6LHGDV]XHUQHXHUQGH=HUWLILNDWDXV1HWVFDSH
$EELOGXQJ:lKOHQ6LHGDV]XHUQHXHUQGH=HUWLILNDWDXV,QWHUQHW([SORUHU
4) Es erscheint ein Online-Formular, auf dem Ihnen Ihr Zertifikat angezeigt wird.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 53 von 86
09.08.2002
†
$EELOGXQJ$Q]HLJHGHV]XHUQHXHUQGHQ=HUWLILNDWV
Gehen Sie bitte wie folgt vor:
a) Für das Feld zur Auswahl des Schlüsselgenerators wählen Sie bitte folgende Einstellungen:
• Netscape Navigator: 9HUVFKOVVHOXQJKRKHU.RPSOH[LWlW
$EELOGXQJ(LQVWHOOHQGHU6FKOVVHOOlQJH1HWVFDSH
•
MS Internet Explorer: 0LFURVRIW(QKDQFHG&U\SWRJUDSKLF3URYLGHUY
$EELOGXQJ(LQVWHOOHQGHU6FKOVVHOOlQJH,QWHUQHW([SORUHU
b) Klicken Sie auf den Button $EVHQGHQ.
Wenn Sie den Netscape Navigator verwenden, erscheint ein neues Fenster, in dem Sie die
Erzeugung Ihres privaten Schlüssels mit 2. bestätigen müssen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 54 von 86
09.08.2002
†
$EELOGXQJ6WDUWGHU6FKOVVHOJHQHULHUXQJ
c) Auf der Antwortseite in Ihrem Browser werden die Zertifikatsdaten angezeigt. Mit Klicken
auf den Button =HUWLILNDW DEKROHQ wird Ihr erneuertes Zertifikat in die Browserdatenbank
geschrieben. Bitte beachten Sie, dass es zu kurzen zeitlichen Verzögerungen kommen kann, da
dies ein Online-Prozess ist.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 55 von 86
09.08.2002
†
$EELOGXQJ/DGHQGHVHUQHXHUWHQ=HUWLILNDWV
Beim Einsatz von 'XDO.H\ ist der Ablauf nahezu identisch. Der einzige Unterschied besteht beim
Laden des Zertifikats in die Browser-Datenbank. Hier müssen beide Zertifikate separat durch Klicken
der entsprechenden Buttons abgeholt werden.
Nach der Erzeugung Ihres Zertifikats im Telekom Trust Center werden Sie per E-Mail benachrichtigt.
Die E-Mail enthält die Referenznummer Ihres Antrags und eine Web-Adresse, über die Sie auch
alternativ Ihr Zertifikat abholen können. Eine weitere Alternative ist die Abholung über die
(eingeschränkte) Benutzer-Web-Schnittstelle mit der Funktion =HUWLILNDWDEKROHQ.
Um Ihren privaten Schlüssel und das Zertifikat in Ihre Client-Anwendung importieren zu können,
müssen Sie Ihren privaten Schlüssel und das Zertifikat noch aus dem Browser in eine PKCS#12-Datei
exportieren. Dieser Ablauf ist in Kapitel 5.5 beschrieben.
5.4 Weitere Prozesse
Über die Funktionen zum Beantragen, Sperren und Erneuern von Zertifikaten hinaus stehen Ihnen
über die Benutzer-Web-Schnittstelle bzw. die eingeschränkte Benutzer-Web-Schnittstelle weitere
Funktionen zur Verfügung. Diese werden im Folgenden beschrieben.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 56 von 86
09.08.2002
†
=HUWLILNDWVXFKHQ
Diese Funktion ermöglicht Ihnen die Suche nach einem Zertifikat im Verzeichnisdienst von T-TeleSec
MailPass. Die E-Mail-Adresse des Zertifikatsbesitzers wird hierbei als Suchkriterium verwendet.
$EELOGXQJ=HUWLILNDWLP9HU]HLFKQLVGLHQVWVXFKHQ
Man kann bei der Suche auswählen, ob nach der exakten oder nur einem Teil der E-Mail-Adresse
gesucht werden soll.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 57 von 86
09.08.2002
†
$EELOGXQJ6XFKHUJHEQLV
Das gefundene Zertifikat kann ausgewählt und in den Browser importiert werden. Die genaue
Vorgehensweise für den Import von Zertifikaten in 1HWVFDSH 1DYLJDWRU und 0LFURVRIW ,QWHUQHW
([SORUHU ist in Abschnitt 5.4.4 beschrieben.
=HUWLILNDWSUIHQ
Diese Funktion erlaubt es Ihnen, die Gültigkeit eines Zertifikats zu überprüfen. Geben Sie in das
vorgesehene Feld die Seriennummer des zu prüfenden Zertifikats ein.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 58 von 86
09.08.2002
†
$EELOGXQJ*HEHQ6LHGLH6HULHQQXPPHUGHV]XSUIHQGHQ=HUWLILNDWVDQ
Als Antwort erhalten Sie Informationen über den Status des Zertifikats.
$EELOGXQJ6WDWXVLQIRUPDWLRQHQGHV=HUWLILNDWV
6SHUUOLVWHQDEKROHQ
Die Sperrung von Zertifikaten wird über eine Sperrliste bekannt gemacht. Mit der Funktion 6SHUUOLVWH
DEKROHQ können Sie eine aktuelle Version der Sperrliste von gesperrten Benutzerzertifikaten (CRL,
Certificate Revocation List) und gesperrten CA-Zertifikaten (ARL, Authority Revocation List)
downloaden.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 59 von 86
09.08.2002
†
Wählen Sie zunächst aus, ob Sie die ARL (Deutsche Telekom Root CA) oder die CRL (Mail Pass CA)
laden wollen. Klicken Sie zum Laden der Sperrliste auf den Button 6SHUUOLVWHDEKROHQ.
+LQZHLV Der Netscape Navigator 4.x kann keine ARLs auswerten. Beim Versuch, die ARL zu laden
erscheint eine Fehlermeldung.
$EELOGXQJ$EKROHQGHUDNWXHOOHQ6SHUUOLVWH
•
1HWVFDSH 1DYLJDWRU Die Sperrliste wird direkt in den Browser geladen. Sie können sich die
Sperrliste wie folgt anzeigen lassen:
a) Klicken Sie in der Navigationssymbolleiste Ihres Browsers auf den Button 6LFKHUKHLW.
b) Wählen Sie in der Menüleiste unter =HUWLILNDWH den Punkt 8QWHU]HLFKQHU.
c) Klicken Sie auf den Button &5/VDQ]HLJHQEHDUEHLWHQ.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 60 von 86
09.08.2002
†
$EELOGXQJ.OLFNHQ6LHDXIGHQ%XWWRQ&5/VDQ]HLJHQEHDUEHLWHQ
d) Wählen Sie die Sperrliste der MailPass CA aus.
$EELOGXQJ$XVZDKOGHU0DLO3DVV&5/
e) Durch Klick auf den Button 0HKU,QIR können Sie sich die Liste der gesperrten Zertifikate
ansehen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 61 von 86
09.08.2002
†
$EELOGXQJ,QKDOWGHU6SHUUOLVWHVLQGGLH6HULHQQXPPHUQGHUJHVSHUUWHQ=HUWLILNDWHXQGGHU
=HLWSXQNWGHU6SHUUXQJ
•
0LFURVRIW,QWHUQHW([SORUHU Sie haben zwei Optionen:
$EELOGXQJ:lKOHQ6LHgIIQHQRGHU6SHLFKHUQ
•
'LH 'DWHL YRQ ,KUHP DNWXHOOHQ 2UW |IIQHQ: Die Zertifikatssperrliste wird Ihnen direkt
angezeigt.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 62 von 86
09.08.2002
†
$EELOGXQJ'LH6SHUUOLVWHZLUG,KQHQGLUHNWDQJH]HLJW
•
'DWHLDXI'DWHQWUlJHUVSHLFKHUQ: Geben Sie einen Speicherplatz für die Sperrliste an.
$EELOGXQJ*HEHQ6LHHLQHQ6SHLFKHUSODW]IUGLH6SHUUOLVWHDQ
Durch Öffnen dieser Datei (.crl) können Sie sich die Zertifikatssperrliste anzeigen lassen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 63 von 86
09.08.2002
†
7HOHNRP5RRWODGHQ
Mit dieser Funktion können Sie sich das Zertifikat der obersten Telekom-Zertifizierungsinstanz
anzeigen lassen.
•
1HWVFDSH 1DYLJDWRU Durch Klicken auf den Link 'RZQORDG wird das Zertifikat in Ihrem
Browser gespeichert.
•
0LFURVRIW,QWHUQHW([SORUHU Sie haben zwei Optionen:
$EELOGXQJ:lKOHQ6LHgIIQHQRGHU6SHLFKHUQ
•
'LH'DWHLYRQ,KUHPDNWXHOOHQ2UW|IIQHQ: Das Zertifikat wird Ihnen direkt angezeigt, mit der
Option es in Ihren Browser zu importieren.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 64 von 86
09.08.2002
†
$EELOGXQJ$QVLFKWGHV=HUWLILNDWV
•
'DWHLDXI'DWHQWUlJHUVSHLFKHUQ: Geben Sie einen Speicherplatz für das Zertifikat an.
$EELOGXQJ*HEHQ6LHHLQHQ6SHLFKHUSODW]IUGDV=HUWLILNDWHLQ
Durch Öffnen dieser Datei (.der) können Sie sich das Zertifikat anzeigen lassen, mit der Option es in
Ihren Browser zu importieren.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 65 von 86
09.08.2002
†
+LQZHLV Je nach eingesetzter Browserversion lautet die Endung der Datei möglicherweise nicht
„.der“. In diesem Fall müssen Sie die Endung vor dem Öffnen der Datei in „.der“ umbenennen.
0DLO3DVV&$=HUWLILNDWODGHQ
Mit dieser Funktion können Sie sich das Zertifikat der Zertifizierungsinstanz anzeigen lassen, welche
Ihr MailPass-Zertifikat ausgestellt hat. Durch Klicken auf den Link 'RZQORDG können Sie das
Zertifikat in Ihren Browser integrieren. Das Vorgehen ist identisch mit dem in Kapitel 5.4.4
beschriebenen Umgang mit dem Zertifikat der Telekom Root CA.
5LFKWOLQLHQODGHQ
Über diesen Menüpunkt können Sie das CPS (Certification Practice Statement) für T-TeleSec
MailPass downloaden. Dieses Dokument enthält die Richtlinien für den Betrieb der MailPass CA und
Regeln für den Umgang mit den von dieser CA ausgestellten Zertifikate.
Das Dokument liegt im PDF-Format vor. Um es öffnen zu können, benötigen Sie den Adobe Acrobat
Reader.
5.5 Export einer PKCS#12-Datei
Um Ihren privaten Schlüssel und das Zertifikat in Ihre Anwendungs-Software importieren zu können,
müssen Sie Schlüssel und Zertifikat zunächst aus dem Browser in einer Datei (*.p12) speichern.
Dieser Vorgang ist je nach eingesetztem Browser verschieden.
1HWVFDSH1DYLJDWRU
1) Klicken Sie in der Navigationssymbolleiste Ihres Browsers auf den Button 6LFKHUKHLW6HFXULW\.
$EELOGXQJ'HU%XWWRQ6LFKHUKHLWEHL1HWVFDSH
2) Wählen Sie in der Menüleiste unter Zertifikate den Punkt (LJHQH.
3) Wählen Sie aus den dort angezeigten Zertifikaten das aktuell von der MailPass CA ausgestellte
Zertifikat.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 66 von 86
09.08.2002
†
$EELOGXQJ:lKOHQ6LHGDV]XH[SRUWLHUHQGH=HUWLILNDWDXV
4) Klicken Sie auf den Button ([SRUWLHUHQ. (Sollte Netscape anschließend mehrere Zertifikate unter
der ausgewählten Zertifikatsbezeichnung darstellen, markieren Sie anhand der dargestellten
Gültigkeitsdauer das aktuellste).
5) Das Passwort für die Sicherheitsumgebung Ihres Browsers wird abgefragt. Klicken Sie
anschließend auf 2..
6) Geben Sie nun ein Passwort ein, mit dem die Datei geschützt wird, in der Sie Ihren privaten
Schlüssel und das Zertifikat speichern. Beachten Sie dabei bitte die Passwortregeln in Kapitel 6.2.
Klicken Sie anschließend auf 2..
$EELOGXQJ(LQJDEHGHV3DVVZRUWVIUGLH'DWHL
7) Bestätigen Sie das zuletzt eingegebene Passwort und klicken Sie anschließend auf 2..
8) Geben Sie die Datei an, in der ihr privater Schlüssel und das Zertifikat gespeichert werden sollen.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 67 von 86
09.08.2002
†
$EELOGXQJ$QJDEHGHV'DWHLQDPHQXQG6SHLFKHURUWHV
0LFURVRIW,QWHUQHW([SORUHU
1) Wählen Sie im Browser-Menü ([WUDV den Punkt ,QWHUQHWRSWLRQHQ.
$EELOGXQJ:lKOHQ6LHLP0HQ([WUDVGHQ3XQNW,QWHUQHWRSWLRQHQ
2) Gehen Sie zum Menü ,QKDOW und klicken Sie auf den Button =HUWLILNDWH.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 68 von 86
09.08.2002
†
$EELOGXQJ.OLFNHQ6LHLP0HQ,QKDOWDXIGHQ%XWWRQ=HUWLILNDWH
Sie befinden sich nun in der Zertifikatsverwaltung. Markieren Sie in der Liste (LJHQH=HUWLILNDWH das
von der MailPass CA aktuell ausgestellte Zertifikat und klicken Sie auf den Button ([SRUWLHUHQ.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 69 von 86
09.08.2002
†
$EELOGXQJ:lKOHQ6LHGDV]XH[SRUWLHUHQGH=HUWLILNDW
3) Es erscheint der Export-Assistent für die Zertifikatsverwaltung. Klicken Sie auf :HLWHU.
$EELOGXQJ([SRUW$VVLVWHQW
4) Wählen Sie die Option -DSULYDWHQ6FKOVVHOH[SRUWLHUHQ und klicken Sie auf :HLWHU.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 70 von 86
09.08.2002
†
$EELOGXQJ2SWLRQ-DSULYDWHQ6FKOVVHOH[SRUWLHUHQZlKOHQ
5) Wählen Sie die Optionen wie in Abbildung 92 angegeben und klicken Sie auf :HLWHU.
$EELOGXQJ:lKOHQ6LHGLH2SWLRQHQZLHDQJHJHEHQ
6) Geben Sie nun ein Passwort ein, mit dem die Datei geschützt wird, in der Sie Ihren privaten
Schlüssel und das Zertifikat speichern. Beachten Sie dabei bitte die Passwortregeln in Kapitel 6.2.
Bestätigen Sie das Passwort. Klicken Sie auf :HLWHU.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 71 von 86
09.08.2002
†
$EELOGXQJ*HEHQ6LHHLQ3DVVZRUWHLQ
7) Geben Sie die Datei an, in der ihr privater Schlüssel und das Zertifikat gespeichert werden sollen.
Klicken Sie auf :HLWHU.
$EELOGXQJ$QJDEHGHV6SHLFKHURUWV
8) Klicken Sie auf )HUWLJVWHOOHQ.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 72 von 86
09.08.2002
†
$EELOGXQJ)HUWLJVWHOOXQJGHV([SRUWV
9) Die Dateiendung muss nun noch von „.pfx“ in „.p12“ umbenannt werden. Verwenden Sie hierfür
Ihr Datei-Verwaltungsprogramm, wie zum Beispiel den Windows-Explorer.
Die exportierte PKCS#12-Datei (*.p12) können Sie nun für Ihre Client-Anwendung verwenden.
5.6 Hinweise zum Einsatz des Internet Explorers
Wenn Sie als Browser den Internet Explorer einsetzen, dann müssen Sie vor der ersten Benutzung Ihr
Zertifikat, welches sich auf der Smartcard befindet, dem Browser bekannt machen. Wenn Sie selbst
das Zertifikat mit diesem Browser beantragt bzw. erneuert haben, dann ist dies nicht mehr nötig.
Um Ihr Zertifikat dem Browser bekannt zu machen, steht Ihnen ein spezielles Tool zur Verfügung,
welches mit der Treiber-Software für den Smartcard-Leser auf Ihrem Arbeitsplatzrechner installiert
wurde. Gehen Sie bitte wie folgt vor:
1) Stecken Sie Ihre Smartcard in den Smartcard-Leser ein.
2) Rufen Sie im Windows-Startmenü unter 3URJUDPPH -> .2%,/6\VWHPV -> .2%,/6PDUW.H\ die
Funktion 5HJLVWULHUXQJGHU=HUWLILNDWH auf..
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 73 von 86
09.08.2002
†
$EELOGXQJ$XIUXIGHU)XQNWLRQ5HJLVWULHUXQJGHU=HUWLILNDWH
3) Es erscheint der Import-Assistent für die Zertifikatsverwaltung. Klicken Sie :HLWHU.
$EELOGXQJ,PSRUW$VVLVWHQW
4) Der Import-Assistent fordert Sie auf, den Zertifikatsspeicher anzugeben. Verwenden Sie die
angegebene Option und Klicken Sie :HLWHU.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 74 von 86
09.08.2002
†
$EELOGXQJ$XVZDKOGHV=HUWLILNDWVVSHLFKHUV
5) Beenden Sie den Import-Assistenten durch Klicken des Button )HUWLJVWHOOHQ.
$EELOGXQJ)HUWLJVWHOOXQJGHV,PSRUW$VVLVWHQWHQ
6) Sie erhalten eine entsprechende Meldung. Klicken Sie 2..
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 75 von 86
09.08.2002
†
$EELOGXQJ:HLWHUPLW2.
7) Es folgt eine Abfrage, ob die Zertifikate der Smartcard nun registriert werden sollen. Klicken Sie
-D.
$EELOGXQJ.OLFNHQ6LH-D]XP,PSRUW,KUHV=HUWLILNDWV
8) Geben Sie nun die PIN Ihrer Smartcard am Smartcard-Terminal ein und drücken Sie an der
Tastatur des Terminals die Bestätigungstaste.
$EELOGXQJ6LHPVVHQ,KUH3,1DQGHU7DVWDWXUGHV6PDUWFDUG7HUPLQDOVHLQJHEHQ
9) Ihr Zertifikat wird von der Smartcard gelesen und in den Browser importiert.
$EELOGXQJ$XWRPDWLVFKHV$XVOHVHQGHV=HUWLILNDWV
10) Auf Ihrer Smartcard befinden sich mehrere Speicherbereiche für Zertifikate. Das verwendete Tool
versucht nun, aus allen Speicherplätzen die Zertifikate herauszulesen. Da Ihre Smartcard aber nur
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 76 von 86
09.08.2002
†
ein Zertifikat (bei Single Key) bzw. zwei Zertifikate (bei Dual Key) enthält, erscheint beim
Versuch, die anderen Speicherplätze auszulesen eine Fehlermeldung . Klicken Sie auf $EEUHFKHQ.
$EELOGXQJ)HKOHUPHOGXQJEHLP9HUVXFKZHLWHUH=HUWLILNDWHYRQGHU6PDUWFDUG]XOHVHQ
Ihr Zertifikat ist nun in der Browser-Datenbank gespeichert. Der private Schlüssel befindet sich jedoch
ausschließlich auf der Smartcard. Sie können daher das im Browser eingetragene Zertifikat nur in
Verbindung mit Ihrer Smartcard verwenden.
Wenn auf Ihrem Arbeitsplatzrechner eine neue Version des Internet Explorers installiert wird, dann
wird unter Umständen auch eine neue Browser-Datenbank angelegt. In dieser ist Ihr Zertifikat nicht
gespeichert. Daher müssen Sie bei einem Browserwechsel oder bei Verwendung eines neuen Systems
Ihr Zertifikat erst wieder dem Browser bekannt machen.
:HQQ6LHDXI,KUHU6PDUWFDUG=HUWLILNDWHIUZHLWHUH$QZHQGXQJHQJHVSHLFKHUWKDEHQZHUGHQGLHVHDXVJHOHVHQXQGLQ,KUHP%URZVHU
JHVSHLFKHUW:HQQ6LHGLHVQLFKWZQVFKHQN|QQHQ6LHGLH=HUWLILNDWHPDQXHOODXV,KUHP%URZVHUO|VFKHQ0HQ([WUDV!,QWHUQHWRSWLRQHQ
!,QKDOW!=HUWLILNDWH!(LJHQH=HUWLILNDWH
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 77 von 86
09.08.2002
†
6,&+(5+(,76+,1:(,6(
Voraussetzung für die Sicherheit von T-TeleSec MailPass ist, dass Sie mit dem Ihnen zur Verfügung
gestellten PSE und allen in Zusammenhang mit T-TeleSec MailPass stehenden Informationen (zum
Beispiel PIN, Sperrpasswort) sachgerecht umgehen. Aus diesem Grund sollten Sie auf jeden Fall die
im Folgenden aufgeführten Sicherheitshinweise beachten.
6.1 Ihre Smartcard
Falls Sie zur Speicherung Ihres privaten Schlüssels eine Smartcard verwenden, dann ist dieser in der
gegenwärtig bestmöglichen Form geschützt. Ein Auslesen des privaten Schlüssels ist nahezu
unmöglich. Gleiches gilt für eine Verwendung der Smartcard ohne PIN-Eingabe oder das Kopieren
der Smartcard. Das Erraten einer PIN durch bloßes Durchprobieren ist ebenfalls so gut wie
ausgeschlossen, da sich die Karte nach drei hintereinander eingegebenen falschen PINs selbst sperrt.
Trotz dieser Sicherheitsvorkehrungen kann natürlich auch eine Smartcard keine perfekte Sicherheit
bieten und muss daher geschützt werden. Grundsätzlich sind dabei zwei Belange zu beachten: Zum
einen darf niemand Zugang zu ihrer Smartcard erhalten und zum anderen darf niemand ihre PIN
erfahren. Ein Missbrauch ist zwar nur möglich, wenn ein Angreifer auf Smartcard und PIN
gleichzeitig zugreifen kann. Um eine größtmögliche Sicherheit zu erreichen, sollten Sie jedoch sowohl
den Zugang zur Smartcard als auch zur PIN schützen.
Für den Schutz der Smartcard gelten folgende Richtlinien:
• Halten Sie Ihre Smartcard unter Verschluss und schützen Sie sie vor Diebstahl!
• Entfernen Sie Ihre Smartcard aus dem Leser, wenn Sie sie nicht mehr verwenden!
• Geben Sie Ihre Smartcard nicht an andere weiter, auch nicht leihweise!
• Lassen Sie nach Verlust Ihrer Smartcard das Zertifikat (bzw. die Zertifikate) unverzüglich sperren!
Die PIN, mit der Ihre Smartcard geschützt ist, ist eine sechsstellige Geheimzahl, die Sie selbst wählen
und verändern können. Beachten Sie bitte folgende Richtlinien für den Schutz der PIN:
• Wählen Sie keine leicht zu erratende Zahl, wie zum Beispiel Ihr Geburtsdatum oder sechsmal
dieselbe Ziffer!
• Wählen Sie nach Möglichkeit keine Zahl, die Sie auch an anderer Stelle als Geheimzahl oder PIN
verwenden!
• Ändern Sie Ihre PIN nach Möglichkeit mindestens einmal jährlich!
• Achten Sie darauf, dass niemand Ihre PIN bei der Eingabe erspähen kann!
• Teilen Sie Ihre PIN auf keinen Fall einem Anderen mit! Auch Mitarbeiter der T-TeleSec werden
Sie nie nach Ihrer PIN fragen.
• Notieren Sie Ihre PIN nach Möglichkeit nicht, sondern merken Sie sich Ihre PIN!
• Falls Sie sich Ihre PIN doch notieren, bewahren Sie die Notiz unbedingt getrennt von Ihrer
Smartcard auf und achten Sie darauf, dass niemand Zugang dazu hat!
6.2 Ihr Software-PSE
Falls Sie keine Smartcard als Speicher für den privaten Schlüssel einsetzen, wird dieser in einem so
genannten Software-PSE gespeichert. Dabei handelt es sich um eine verschlüsselte Datei (.p12 oder
.pfx), die mit einem Passwort geschützt ist. Im Vergleich zu einer Smartcard bietet ein Software-PSE
eine geringere Sicherheit. Es ist daher noch mehr als bei einer Smartcard notwendig, dass Sie Ihr
Software-PSE durch geeignete Maßnahmen schützen. Grundsätzlich sind dabei zwei Belange zu
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 78 von 86
09.08.2002
†
beachten: Zum einen darf niemand Zugang zu ihrem PSE haben und zum anderen darf niemand Ihr
Passwort erfahren. Ein Missbrauch ist zwar nur möglich, wenn ein Angreifer PSE und Passwort
besitzt. Um eine größtmögliche Sicherheit zu erreichen, sollten Sie jedoch sowohl den Zugang zum
PSE als auch das Passwort schützen.
Um keinem Angreifer Zugang zum Software-PSE zu ermöglichen, beachten Sie bitte folgende
Richtlinien. Da eine Datei im Gegensatz zu einer Smartcard einfach kopiert werden kann, sind diese
Hinweise besonders wichtig:
• Erzeugen Sie nur eine Sicherheitskopie der Datei und verwahren Sie diese an einem sicheren Ort!
• Speichern Sie die Datei ausschließlich auf einer Diskette oder in einem lokalen Verzeichnis!
• Achten Sie darauf, dass niemand Zugriff auf die Datei hat!
• Achten Sie darauf, dass niemand die Datei kopieren kann!
• Geben Sie die Datei nicht an andere weiter, auch nicht vorübergehend!
• Lassen Sie bei Verdacht auf unbefugten Zugang zu Ihrem PSE das Zertifikat (bzw. die Zertifikate)
unverzüglich sperren!
Um zu verhindern, dass ein Angreifer Kenntnis ihres Passworts erlangt, sind weitere Maßnahmen
notwendig. Im Gegensatz zur Smartcard, die nach der Eingabe dreier falscher PINs ihren Betrieb
einstellt, gibt es bei einem Software-PSE keinen Schutz vor dem Durchprobieren beliebig vieler
Passwörter. Dies gilt natürlich insbesondere dann, wenn ein Angreifer ungestört mit einer Kopie Ihres
Software-PSEs arbeiten kann. Das Durchprobieren von Passwörtern lässt sich sogar automatisieren,
wodurch ein Angreifer mehrere Tausend Passwörter pro Sekunde testen kann. Es ist keine Seltenheit,
dass Hacker diese Möglichkeit nutzen, um ganze Wörterbücher durchzuprobieren und dabei auch
hunderte abgewandelter Schreibweisen (beispielsweise „telefon“, „tELEFON“, „Telef0n“, ...)
einbeziehen. Beachten Sie daher die aufgeführten Richtlinien für die Wahl Ihres Passworts. Diese
sollten Sie außerdem beachten, wenn Sie Ihr Zertifikat selbst mit Ihrem Browser beantragt haben oder
wenn Sie Ihr Zertifikat erneuern. In diesem Fall befindet sich Ihr privater Schlüssel in der Datenbank
Ihres Web-Browsers, die ebenfalls mit einem Passwort geschützt ist. Auf dieses Passwort sollten Sie
die gleichen Sicherheitsvorkehrungen anwenden. Im Einzelnen gelten folgende Richtlinien:
• Wählen Sie kein Passwort, das ein sinnvolles Wort darstellt (beispielsweise „Hund“,
„Unterhaching“ oder „Telekom“)! Viele Hacker verwenden Wortdateien, in denen auch
ungebräuchliche, fremdsprachige, geografische und fachspezifische Begriffe enthalten sind.
Insbesondere sollten Sie auch keinen Begriff aus ihrer unmittelbaren Umgebung (Name, Wohnort,
...) wählen.
• Wählen Sie kein Passwort, das aus einem sinnvollen Wort abgeleitet ist (beispielsweise „hUNd“
oder „Dnuh“)! Es gibt spezielle Computerprogramme, die aus einem Wort hunderte anderer
Wörter ableiten und dabei alle denkbaren Verwürfelungen und Ersetzungen einbeziehen.
• Verwenden Sie Passwörter, die mindestens acht Zeichen lang sind!
• Ein Passwort sollte sowohl Groß- und Kleinbuchstaben als auch Ziffern und Sonderzeichen
enthalten!
• Auch für Hacker schwer zu erraten gelten beispielsweise Passwörter, die aus zwei voneinander
unabhängigen Wörtern bestehen, die durch ein zusätzliches Zeichen getrennt sind. Beispiele dafür
sind etwa „hype%Sonne“ oder „unna-Steckdose“. Ähnlich sicher sind Kunstwörter, die sich aus
den Anfangsbuchstaben eines Satzes ergeben, also etwa „MH,dh4E“ (0ein +ut Ger Kat (cken).
• Achten Sie darauf, dass niemand Ihr Passwort bei der Eingabe erspähen kann!
• Ändern Sie Ihr Passwort nach Möglichkeit mindestens einmal jährlich!
• Teilen Sie Ihr Passwort auf keinen Fall einem Anderen mit!
• Notieren Sie Ihr Passwort nach Möglichkeit nicht, sondern merken Sie sich Ihr Passwort!
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 79 von 86
09.08.2002
†
•
Falls Sie sich Ihr Passwort doch notieren, bewahren Sie die Notiz unbedingt getrennt von dem
Computer (bzw. der Diskette) auf, welcher Ihr Software-PSE enthält, und achten Sie darauf, dass
niemand Zugang zu dem notierten Passwort hat!
6.3 Weitere Richtlinien
Bitte beachten Sie zusätzlich folgende weitere Richtlinien:
• Bewahren Sie die Telefonnummer oder die E-Mail-Adresse für die Sperrung so auf, dass Sie sie
im Bedarfsfall greifbar haben.
• Ihr MailPass-Zertifikat ist DXVVFKOLH‰OLFK für die Verschlüsselung und Signatur von E-Mails und
Dateien sowie zur Authentifizierung gegenüber Web-Servern bestimmt. Für weitere
Anwendungen stellt Ihnen das Telekom Trust Center die dafür geeigneten Zertifikate zur
Verfügung. Für nähere Informationen wenden Sie sich bitte an Ihren MailPass-Verantwortlichen.
• Das Ihnen ausgehändigte Passwort für Sperrungen darf nicht an andere weitergegeben werden.
• Das Ihnen ausgehändigte Passwort für den Zugang zur Benutzer-Web-Schnittstelle und zur
eingeschränkten Benutzer-Web-Schnittstelle darf nicht an andere weitergegeben werden.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 80 von 86
09.08.2002
†
352%/(0(81'/g681*(1
6LHKDEHQEHUGLH%HQXW]HU:HE6FKQLWWVWHOOH HLQ =HUWLILNDW EHDQWUDJW XQGZDUWHQYHUJHEOLFK
DXIGLH0HOGXQJ]XU$EKROXQJGHV=HUWLILNDWV
Es gibt zwei mögliche Ursachen: Entweder ist die von Ihnen im Zertifikatsantrag angegebene E-MailAdresse nicht korrekt oder Ihr Sub-Registrator hat Ihren Zertifikatsantrag noch nicht bearbeitet.
Wenden Sie sich in beiden Fällen bitte an Ihren Sub-Registrator.
%HLGHU(UQHXHUXQJ,KUHV=HUWLILNDWVEHUGLHHLQJHVFKUlQNWH%HQXW]HU:HE6FKQLWWVWHOOHZLUG
YRP%URZVHU,KU=HUWLILNDWQLFKW]XU$XVZDKODQJHERWHQ
%HLP(LQVDW]YRQ6PDUWFDUGV
Prüfen Sie, ob der Smartcard-Leser korrekt angeschlossen ist. Prüfen Sie, ob Ihre Smartcard richtig im
Smartcard-Leser eingesteckt ist.
Möglicherweise wird die Smartcard von einer anderen Anwendung blockiert.
Bei Verwendung des Internet Explorer muss Ihr Zertifikat vor erstmaliger Verwendung dem Browser
bekannt gemacht werden. Befolgen Sie hierfür die Hinweise in Kapitel 5.6.
%HLP(LQVDW]YRQ6RIWZDUH36(V
Ihr Zertifikat und der private Schlüssel müssen zur Erneuerung in den Browser importiert werden.
Befolgen Sie hierfür die Hinweise in Kapitel 5.3.2.
%HLGHU(UQHXHUXQJZLUG,KU=HUWLILNDWQLFKWDN]HSWLHUW
Prüfen Sie zunächst, ob Sie das richtige Zertifikat ausgewählt haben. Wenn dies der Fall ist, ist das
Zertifikat entweder abgelaufen oder gesperrt. Wenden Sie sich an Ihren Sub-Registrator, um ein neues
Zertifikat zu erhalten.
+LQZHLV Um sicherzustellen, dass der Grund der Zurückweisung die Ungültigkeit Ihres Zertifikats ist,
sollten Sie zunächst die Gültigkeit des Zertifikats überprüfen. Eine entsprechende Anfrage können Sie
mit der Funktion =HUWLILNDW SUIHQ über die (eingeschränkte) Benutzer-Web-Schnittstelle ausführen.
Hierfür müssen Sie die Seriennummer Ihres Zertifikats angeben.
,KU=HUWLILNDWLVWXQJOWLJ
Entweder ist die Gültigkeitsdauer des Zertifikats abgelaufen, ohne das es erneuert wurde, oder das
Zertifikat wurde gesperrt. Sollten Sie nicht über die Sperrung des Zertifikats informiert sein, klären Sie
dies umgehend mit Ihrem Sub-Registrator.
Der Sub-Registrator kann Ihnen ein neues Zertifikat ausstellen, bzw. einen von Ihnen neu gestellten
Zertifikatsantrag bearbeiten.
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 81 von 86
09.08.2002
†
6LHPVVHQGDV=HUWLILNDWVSHUUHQODVVHQXQGZLVVHQGDV6SHUUSDVVZRUWQLFKWPHKU
Wenden Sie sich an Ihren Sub-Registrator. Dieser kann Ihr Zertifikat auch ohne Angabe des
Sperrpassworts sperren lassen. Allerdings müssen Sie sich gegenüber dem Sub-Registrator
authentisieren, zum Beispiel durch persönliches Erscheinen.
6LH VLQG PLW ,KUHQ %URZVHU DQ HLQHU DQGHUHQ :HE6FKQLWWVWHOOH 0DVWHU5$ 6XE5$ RGHU
DQGHUHU:HE6HUYHU]XP%HLVSLHOIU2QOLQH%DQNLQJEHUHLQ=HUWLILNDWRGHU%HQXW]HUQDPH
3DVVZRUWDQJHPHOGHWXQGZROOHQVLFKQXQDQGHUHLQJHVFKUlQNWHQ%HQXW]HU:HE6FKQLWWVWHOOH
DQPHOGHQ
Dies erfordert das Beenden und den Neustart des Browsers. Anschließend können Sie die URL der
(eingeschränkten) Benutzer-Web-Schnittstelle aufrufen und sich mit Benutzername und Passwort
anmelden.
%HL 3UREOHPHQ ZHOFKH QLFKW LQ GLHVHU hEHUVLFKW EHKDQGHOW ZHUGHQ ZHQGHQ 6LH VLFK ELWWH DQ
,KUHQ0DLO3DVV9HUDQWZRUWOLFKHQ
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 82 von 86
09.08.2002
†
*/266$5
$GGLWLRQDO'HFU\SWLRQ.H\ Zusätzliches Schlüsselpaar zur Ver- und Entschlüsselung von Daten,
für den Fall, dass der private Benutzerschlüssel nicht zugänglich ist.
Siehe Additional Decryption Key.
$'.
Siehe Authority Revocation List.
$5/
$XWKRULW\5HYRFDWLRQ/LVW Liste, in der gesperrte digitale Zertifikate von Zertifizierungsinstanzen
aufgeführt sind. Vor der Verwendung eines digitalen Zertifikats einer
Zertifizierungsinstanz sollte anhand der ARL überprüft werden, ob
dieses noch verwendet werden darf.
Person, die ein MailPass-Zertifikat und den dazu gehörenden privaten
%HQXW]HU
Schlüssel verwendet.
%HQXW]HU:HE6FKQLWWVWHOOH Web-basierte Komponente, über die Benutzer ihr Zertifikat verwalten
können (Beantragung, Erneuerung, Sperrung etc.).
Bereich, in dem ein T-TeleSec-Kunde (Domain-Betreiber) MailPass%HWUHLEHU'RPDLQ
Zertifikate einsetzt. Die Betreiber-Domain ist durch einen
festzulegenden Namen gekennzeichnet, der in den Zertifikaten
aufgeführt ist.
Certification Authority. Siehe Zertifizierungsinstanz.
&$
Legt die Richtlinien für die Generierung und Verwaltung von
&HUWLILFDWH3ROLF\
Zertifikaten eines bestimmten Typs fest.
&HUWLILFDWH5HYRFDWLRQ/LVW Siehe Sperrliste.
Siehe Zertifizierungsinstanz.
&HUWLILFDWLRQ$XWKRULW\
Richtlinien für den Betrieb einer Zertifizierungsinstanz. Insbesondere
&HUWLILFDWLRQ3UDFWLFH
umfasst das CPS alle CPs einer Zertifizierungsinstanz.
6WDWHPHQW
Plastikkarte mit integriertem Computerchip. Telefonkarten sind ein
&KLSNDUWH
Beispiel dafür. Ist der Computerchip dazu in der Lage, Berechnungen
durchzuführen, so spricht man auch von einer Smartcard. Smartcards
können auch für kryptografische Anwendungen eingesetzt werden.
Siehe Certificate Policy.
&3
Siehe Certification Practice Statement.
&36
Certificate Revocation List. Siehe Sperrliste.
&5/
Mechanismus zur Datenwiederherstellung. Diese kann notwendig sein,
'DWD5HFRYHU\
wenn eine Datei nicht mit dem entsprechenden Benutzerschlüssel
entschlüsselt werden kann (etwa wenn ein Mitarbeiter das
Unternehmen verlassen hat).
Mit einem speziellen mathematischen Verfahren erstellte Prüfsumme.
'LJLWDOH6LJQDWXU
Sichert die Authentizität des Signierenden und die Integrität der Daten.
Datensatz, der den Namen einer Person oder eines Systems, deren
'LJLWDOHV=HUWLILNDW
öffentlichen Schlüssel, gegebenenfalls einige andere Angaben und eine
Signatur einer Zertifizierungsinstanz enthält.
Format, mit dem gemäß dem X.500-Standard eindeutige Namen
'LVWLQJXLVKHG1DPH
angegeben werden können. In einem digitalen Zertifikat muss ein DN
enthalten sein.
Siehe Distinguished Name.
'1
Kunde von T-TeleSec, der T-TeleSec MailPass einsetzt. Jedem
'RPDLQ%HWUHLEHU
Domain-Betreiber ist eine Betreiber-Domain zugeordnet.
Variante von T-TeleSec MailPass, bei der für Verschlüsselung und
'XDO.H\
Dokument:
Version:
MailPass_BenutzerHB-0-5.doc
0.5
Seite 83 von 86
09.08.2002
†
(LQJHVFKUlQNWH%HQXW]HU
:HE6FKQLWWVWHOOH
(OHNWURQLVFKH6LJQDWXU
+DUGZDUH6HFXULW\0RGXO
+DVK:HUW
+60
.H\5HFRYHU\
.RPSURPLWWLHUXQJ
.U\SWRJUDILH
/'$3
/'$36HUYHU
/LJKWZHLJKW'LUHFWRU\
$FFHVV3URWRFRO
0DLO3DVV&$
0DLO5HTXHVW
0DVWHU'RPDLQ
0DVWHU5$
0DVWHU5HJLVWUDWRU
2&63
3,1
Dokument:
Version:
Signatur getrennte Schlüsselpaare verwendet werden, das heißt ein
Benutzer besitzt zwei entsprechende Zertifikate.
Web-basierte Komponente, über die Benutzer ihr Zertifikat verwalten
können. Gegenüber der vollständigen Benutzer-Web-Schnittstelle ist
allerdings keine Beantragung von Zertifikaten möglich, sondern
lediglich eine Erneuerung.
Siehe digitale Signatur.
Hardwarebox zur sicheren Erzeugung und Speicherung privater
Schlüssel.
In diesem Zusammenhang eine kryptografische Prüfsumme fester
Länge (die korrekte Bezeichnung wäre kryptografischer Hashwert). Es
soll möglichst unwahrscheinlich sein, aus dem Hashwert die Eingabe
berechnen oder mehrere mögliche Eingaben zu dem gleichen Hashwert
finden zu können (Hashwert wird synonym zu Fingerprint verwendet).
Statt einem gesamten digitalen Dokument wird meist nur ein Hashwert
signiert.
Siehe Hardware Security Modul.
Mechanismus zur Schlüsselwiederherstellung. Diese kann notwendig
sein, wenn ein Benutzer seinen Schlüssel (etwa durch eine beschädigte
Datei) verliert.
Ein geheimer Schlüssel ist kompromittiert, wenn er Unbefugten
bekannt geworden ist oder von diesen genutzt werden kann. Eine
Kompromittierung kann etwa die Folge eines kriminellen Angriffs
sein.
Wissenschaft, die sich mit der Verschlüsselung von Daten und
verwandten Themen beschäftigt (etwa digitale Signatur).
Siehe Lightweight Directory Access Protocol.
Server, der Informationen speichert, die über LDAP abrufbar sind.
Protokoll zur Abfrage von Verzeichnissen, welches das deutlich
kompliziertere Directory Access Protocol (DAP) in vielen Bereichen
verdrängt hat. LDAP bietet mehr Möglichkeiten als HTTP und FTP
(etwa das Einrichten eines Kontexts, der über mehrere Anfragen
aufrechterhalten werden kann). LDAP wird insbesondere zur Abfrage
von digitalen Zertifikaten und Sperrlisten innerhalb von Public-KeyInfrastrukturen verwendet.
Zertifizierungsinstanz, die im Rahmen von T-TeleSec MailPass zum
Einsatz kommt.
Variante eines Zertifikatsantrags, bei dem die Daten per E-Mail an die
Zertifizierungsinstanz übermittelt werden.
Siehe Betreiber-Domain.
Web-basierte Komponente, die vor allem dem Management von SubRegistrator-Zertifikaten
und
der
Definition
von
Zuständigkeitsbereichen dient (wird vom Master-Registrator
verwendet).
Mitarbeiter des Domain-Betreibers, der für das Management von SubRegistrator-Zertifikaten verantwortlich ist.
Das Online Certificate Status Protocol ermöglicht die Online-Abfrage
der Gültigkeit von Zertifikaten.
Personal Identification Number. Geheimzahl, wie sie zum Beispiel am
Geldautomaten verwendet wird.
MailPass_BenutzerHB-0-5.doc
0.5
Seite 84 von 86
09.08.2002
†
3.,
3.,;
3.6
3ROLF\
36(
3XEOLF.H\,QIUDVWUXNWXU
5$
5HJLVWUDWLRQ$XWKRULW\
5HJLVWULHUXQJVLQVWDQ]
5RRW&$
56$
60,0(
6FKOVVHO
6HFXUH6RFNHW/D\HU
6LJQDWXU
6LQJOH.H\
6PDUWFDUG
6RIWZDUH36(
6SHUU+RWOLQH
Dokument:
Version:
Siehe Public-Key-Infrastruktur.
Public Key Infrastructure X.509. Standard der IETF, der alle
relevanten Bestandteile einer PKI standardisiert.
Public Key Service. Service von T-TeleSec zur Ausstellung und
Verwaltung signaturgesetzkonformer Zertifikate.
Richtlinien, die das Sicherheitsniveau für die Erzeugung und
Verwendung von Zertifikaten festlegen. Es wird zwischen Certificate
Policy (CP) und Certification Practice Statement (CPS) unterschieden.
Personal
Security
Environment.
In
der
persönlichen
Sicherheitsumgebung sind sicherheitsrelevante Informationen wie der
private Schlüssel gespeichert. Das PSE kann als verschlüsselte Datei
oder auf einer Smartcard vorliegen und ist durch ein Passwort bzw.
eine PIN geschützt.
Gesamtheit der Komponenten, Prozesse und Konzepte, die zur
Verwendung von Public-Key-Verfahren verwendet werden.
Typischerweise besteht eine Public-Key-Infrastruktur aus zentralen
Komponenten wie einer Zertifizierungsinstanz und einem
Verzeichnisdienst und verschiedenen Client-Komponenten.
Registration Authority. Siehe Registrierungsinstanz.
Siehe Registrierungsinstanz.
Komponente, mit der eine Person oder ein System kommunizieren
muss, um ein digitales Zertifikat zu erhalten.
Siehe Wurzelzertifizierungsinstanz.
Verfahren zur Verschlüsselung, zur digitalen Signatur und zur sicheren
Übertragung von Schlüsseln, das nach den drei Kryptografen Rivest,
Shamir und Adleman benannt ist.
Secure Multipurpose Internet Mail Extension. Erweiterung des E-MailFormats MIME, die Zusätze für kryptografische Dienste beschreibt,
welche Authentizität, Integrität und Vertraulichkeit von Nachrichten
sicherstellen.
Ein Schlüssel bezeichnet in der Kryptografie eine geheime Information
(geheimer Schlüssel) oder ein öffentliches Gegenstück dazu
(öffentlicher Schlüssel). Es gibt Verfahren, bei denen jeweils mit dem
gleichen geheimen Schlüssel ver- und entschlüsselt wird sowie
Verfahren bei denen ein öffentlicher Schlüssel zum Ver- und ein
geheimer zum Entschlüsseln verwendet wird.
Krypto-Protokoll zur Absicherung von Ende-zu-Ende-Verbindungen
im Internet. Kann ihn vielen Fällen statt dem komplexeren IPSec
verwendet werden.
Siehe digitale Signatur.
Variante von T-TeleSec MailPass, bei der für Verschlüsselung und
Signatur das selbe Schlüsselpaar verwendet wird, das heißt ein
Benutzer besitzt ein Zertifikat.
Chipkarte mit Rechenfunktionalität, die für kryptografische Zwecke
verwendet werden kann. Im Rahmen von T-TeleSec MailPass kommt
die NetKey Karte zum Einsatz.
Durch Verschlüsselung geschützte Datei zur Speicherung des privaten
Schlüssels eines Benutzers.
Zentrale Hotline für T-TeleSec MailPass, die ausschließlich für das
Sperren von Zertifikaten (Benutzer- und Sub-Registrator-Zertifikate)
MailPass_BenutzerHB-0-5.doc
0.5
Seite 85 von 86
09.08.2002
†
6SHUU+RWOLQH2SHUDWRU
6SHUU+RWOLQH:HE
6FKQLWWVWHOOH
6SHUULQVWDQ]
6SHUUOLVWH
66/
6XE'RPDLQ
6XE5$
6XE5HJLVWUDWRU
7HOHNRP7UXVW&HQWHU
77&
77&2SHUDWRU
77&5$
9HUDQWZRUWOLFKHUGHV
'RPDLQ%HWUHLEHUV
9HU]HLFKQLVGLHQVW
:HE5HTXHVW
:XU]HO]HUWLIL]LHUXQJV
LQVWDQ]
;
=HUWLILNDW
=HUWLIL]LHUXQJVLQVWDQ]
=XVWlQGLJNHLWVEHUHLFK
Dokument:
Version:
zuständig ist.
Mitarbeiter der Sperr-Hotline, der die Sperr-Hotline-Web-Schnittstelle
bedient.
Web-basierte Komponente, die ausschließlich dem Sperren von
Zertifikaten dient (wird von Sperr-Hotline-Operator genutzt).
Komponente, die Zertifikatssperrungen durchführt.
Liste, in der gesperrte digitale Zertifikate aufgeführt sind. Vor der
Verwendung eines digitalen Zertifikats sollte anhand einer Sperrliste
überprüft werden, ob dieses noch verwendet werden darf. Wird auch
als Certificate Revocation List (CRL) bezeichnet.
Siehe Secure Socket Layer.
Siehe Zuständigkeitsbereich.
Web-basierte Komponente zur Verwaltung von Benutzerzertifikaten
(wird vom Sub-Registrator bedient).
Mitarbeiter des MailPass-Domain-Betreibers, der für das Management
von Benutzerzertifikaten verantwortlich ist.
Speziell geschütztes Gebäude, in dem unter besonderen
Sicherheitsvorkehrungen Zertifizierungsinstanzen und weitere PKIKomponenten betrieben werden.
Siehe Telekom Trust Center.
Mitarbeiter von T-TeleSec, der insbesondere für die Registrierung von
Master-Registratoren zuständig ist.
Web-basierte Komponente zum Management von MasterRegistratoren (wird vom TTC-Operator bedient).
Mitarbeiter des Domain-Betreibers, der als Ansprechpartner und
Gesamtverantwortlicher fungiert.
Datenspeicher, der den Abruf von Zertifikaten und Informationen über
Zertifikate (insbesondere Sperrlisten) ermöglicht.
Variante eines Zertifikatsantrags, bei dem die Daten über ein WebFormular an die Zertifizierungsinstanz übermittelt werden.
Oberste Zertifizierungsinstanz einer CA-Hierarchie, deren Zertifikat
somit nicht von einer anderen Zertifizierungsinstanz ausgestellt wurde,
sondern selbstsigniert ist.
Standard, dessen wichtigster Bestandteil ein Format für digitale
Zertifikate ist. Zertifikate der Version X.509v3 werden in allen
gängigen Public-Key-Infrastrukturen unterstützt.
Siehe digitales Zertifikat.
Komponente, die digitale Zertifikate ausstellt, indem sie einen
Datensatz bestehend aus öffentlichem Schlüssel, Name und
verschiedenen anderen Daten digital signiert. Ebenso werden von der
Zertifizierungsinstanz Sperrinformationen herausgegeben.
Teilbereich einer Betreiber-Domain.
MailPass_BenutzerHB-0-5.doc
0.5
Seite 86 von 86
09.08.2002
">