Prozessablauf Nutzerzertifikate
Voraussetzungen
- Sie sind Angehöriger der RWTH Aachen University.
Empfehlungen
- Falls Sie eine RSA-Schlüssellänge größer als 2k benötigen, benutzen Sie OpenSSL für die Beantragung.
Beantragung des Zertifikats
Die Beantragung eines Nutzerzertfikats erfolgt über das Webportal der DFN-PKI. Die Anleitung finden Sie hier:
Identitätsprüfung des Antragstellers
Die DFN-PKI Zertifizierungsrichtlinien erfordern die persönliche Identitätsprüfung der antragstellenden Person, siehe "Möglichkeiten der Identitätsprüfung".
Erhalt des Nutzerzertifikats
- Sie erhalten Ihr Nutzerzertifikat per signierte E-Mail aus dem Postfach "dfnpki-mailsender-noreply@dfn-cert.de".
- In der E-Mail werden Sie aufgefordert das Zertifikat im Browser zu "importieren". Die erforderliche Schritte sind abhänging von dem bei der Antragstellung eingesetzten Browser, siehe entsprechende Anleitungen weiter oben.
- Sie sollten eine Sicherheitskopie Ihres RSA-Schlüsselpaares mit dem zugehörigen Zertifikat in Form einer p12-Datei erzeugen und an einem sicheren Ort aufbewahren (alle Browser außer IE erzwingen dies bei Zertifikatsimport).
Bitte beachten Sie: Falls Ihre E-Mail Domäne nicht whitelisted ist (alles außerhalb der rwth-aachen.de), werden Sie eine signierte E-Mail von der "dfnpki-mailsender-noreply@dfn-cert.de" erhalten, folgen Sie die Anleitung darin um Ihre E-Mail-Adresse zu bestätigen. |
Nutzung des Zertifikats
Das erhaltene Nutzerzertifikat kann für folgende Verwendungszwecke gebraucht werden
- Signierung und Verschlüsselung bei E-Mail
- Client Authentifizierung bei Webanwendungen
- Signieren und/oder veschlüsseln von Dokumenten
Laufzeit des Nutzerzertifikats
- Die Standardlaufzeit der von der DFN-PKI ausgestellten Nutzerzertifikate beträgt 3 Jahre. Soll die Laufzeit kürzer sein, geben Sie dies bitte handschriftlich auf der Teilnehmererklärung an.
- Weitere Informationen zur maximalen Gültigkeit findet man im Kapitel 3 "Vorgaben für S/MIME" der Technischen Richtlinie des BSI .
Ablauf des Nutzerzertifikats
Das "standard" Nutzerzertifikat ist für drei Jahre gültig. Vier und zwei Wochen vor dem Ablaufdatum, erhalten Sie eine Erinnerungsemail um einen neuen Antrag zu stellen.
Nach Ablauf des Zertifikats kann der dazugehörige privater Schlüsselteil nicht mehr benutzt werden um E-Mails digital zu signieren. Auch Absender können den öffentlichen Schlüsselteil nicht mehr benutzen um Ihnen verschlüsselte E-Mails zu senden.
Sie sollten aber Ihre alte "eigene Zertifikate" im Zertifikatsspeicher der E-Mail Anwendung behalten, um alte verschlüsselte E-Mails lesen zu können.
- Falls Sie zu einer anderen E-Mail-Anwendung migrieren oder neues HW bekommen, sollten Sie alle Ihre aktuelle und alte Zertifikate aus dem Speicher der alten E-Mail-Anwendung (als .p12-Dateien) exportieren, um diese dann in der neuen Umgebung benutzen zu können.
