DFN-Verein Community PKI
Auf dieser Seite finden Sie Informationen zu den Public-Key-Zertifikaten der DFN-Verein Community PKI.
Die DFN-Verein Community PKI ist eine private PKI des DFN Vereins. Sie stellt keine im Browser/Betriebssystem verankerte Public-Key-Zertifikate aus.
Zertifikate des Trusted Certificate Service von GÉANT unterliegen wie alle Zertifikaten mit Browser- und Betriebssystemverankerung den Regularien des CA/Browser Forum (wird in neuem Tab geöffnet). Die hier geltenden Bestimmungen sind aber nicht optimal für alle Anwendungsszenarien und insb. diese, wo keine Benutzerinteraktion erfolgt.
Im Vergleich zu Zertifikaten mit Browser- und Betriebssystemverankerung können in der DFN-Verein Community PKI längere, vom CA/Browser Forum unabhängige, Laufzeiten gewählt werden und auch eine Zertifikatsperrungen aufgrund externer Zwänge ist nicht mehr notwendig.
Da das für die Validierung der Zertifikatskette benötigte Root-Zertifikat aber nicht im Browser/Betriebssystem vorinstalliert ist, muss das Wurzelzertifikat der DFN-Verein Community PKI (wird in neuem Tab geöffnet) auf jedem System, dass an der Kommunikation/Validierung teilnimmt explizit installiert werden.
Die aktuellen Default-Laufzeiten in der DFN-Verein Community PKI betragen:
- 1170 Tage für Serverzertifikate (ca 3 Jahre, 2 Monate und 15 Tage)
- 1825 Tage für Nutzerzertifikate (5 Jahre)
Interessant sind diese Zertifikate insb. für:
- Shibboleth IdP/SP Metadaten (wird in neuem Tab geöffnet)
- Interne Systeme wie bspw. Datenbank bzw. wo die Risiken der öffentlichen PKI vermieden werden sollen
- 802.1X für den Netzzugang
- Active Directories
Der Prozess der Beantragung von Serverzertifikaten ist:
- Zertifikatsantrag erzeugen und über das RA-Portal (wird in neuem Tab geöffnet) an die DFN-Verein Community PKI absenden.
- Alles weitere (Abholung, Sperrung, usw) über das RA-Portal erledigen.
- Der Namensraum für die DFN-Verein Community PKI ist C=DE,ST=Nordrhein-Westfalen,L=Aachen,O=RWTH Aachen
- Im RA-Portal muss einer der drei unterschiedlichen Zertifikatsprofile (X509v3 Extended Key Usage) für Serverzertifikate ausgewählt werden
- serverAuth (Web Server)
- serverAuth, clientAuth (Shibboleth IdP SP)
- serverAuth, clientAuth, KDC Authentication, smartcardLogon (Domain Controller)
- Alle noch gültige DFN-Verein Community PKI Serverzertifikate können über das RA-Portal verwaltet (sperren, herunterladen) werden.
- Nicht im RA-Portal beantragte Serverzertifikate können nicht erneuert werden, da die Antragsdatei dem Portal nicht vorliegt.
- Nicht im RA-Portal beantragte Serverzertifikate mit Zertifikatsprofilen VoIP, LDAP oder Radius wurden im RA-Portal dem Profil Shibboleth IdP SP zugewiesen.
- Die Beantragung und Verwaltung ist für eingetragene Netzansprechpartner*innen auch über die API möglich.
Alle weitere Zertifikate (z.B. Code Signing) der DFN-Verein Community PKI müssen weiterhin über das Webportal der DFN-Verein Community PKI (wird in neuem Tab geöffnet) beantragt werden. Wenden Sie sich an ra@rwth-aachen.de für weitere Informationen zur Abgabe Ihres Zertifikatsantrages an die RWTH Registirerungsstelle.
Die DFN-PKI stellt folgende Dokumente bereit:
- Beschreibung der Zertifikatsprofile (wird in neuem Tab geöffnet)
- Erklärung zum Zertifizierungsbetrieb der DFN-Verein Community PKI (wird in neuem Tab geöffnet)
