Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen RevisionVorhergehende Überarbeitung
Nächste Überarbeitung		Vorhergehende Überarbeitung
de:services:it_security:pki:start [2024/03/15 11:26] – [...aus der GÉANT TCS PKI] de:services:it_security:pki:start [2025/03/20 16:32] (aktuell) – [Detaillierte Beschreibung der E-Mail-Verschlüsselung mit X.509-Zertifikaten]
Zeile 1: Zeile 1:
 +====== PKI ======
 +
 +===== Public Key Infrastructure =====
 +
 +Im folgenden finden Sie Anweisungen zum Anfordern von Zertifikaten mit gängigen Web-Browsern sowie Anweisungen für die Verwendung dieser Zertifikate. Die Anweisungen für die Zertifizierung beziehen sich auf e-mail (S / MIME) Zertifikate. Das Erfordernis der anderen Arten von Zertifikaten ist jedoch weitgehend ähnlich konzipiert. Wenn Sie Vorschläge für weitere Anweisungen oder weitere Fragen haben, schicken Sie eine E-mail an [[support@gwdg.de?subject=Frage(n) zu Zertifikat(en)&body=Sehr geehrte Damen und Herren,%0A%0Aich habe folgende Frage(n) zu Zertifikat(en):%0A%0A|support@gwdg.de]] oder nutzen Sie das [[https://www.gwdg.de/support|Support-Formular]] der GWDG.
 +
 +===== Beantragung persönliches E-Mail-Zertifikat... =====
 +Neue Zertifikate erhalten Sie in Zukunft über den Dienst GÉANT TCS. Bitte wenden Sie sich für Informationen zu konkreten Beantragungsverfahren an Ihren lokalen Teilnehmerservice Ihrer Einrichtung.
 +Für Nutzerzertifikate für die Signierung und/oder optionale Verschlüsselung von E-Mails ist der Beantragungs-Weg der [[#geant_tcs_pki|GÉANT TCS PKI]] in den allermeisten Fällen der richtige Weg. In Zusammenarbeit mit Ihrem lokalen Teilnehmerservice-Mitarbeitenden Ihrer Einrichtung bzw. RA erstellen Sie sich ein Nutzerzertifikat.
 +Nähere Informationen finden Sie auch in den unter "[[#detaillierte_beschreibung_der_e-mail-verschluesselung_mit_x509-zertifikaten|Detaillierte Beschreibung der E-Mail-Verschlüsselung mit X.509-Zertifikaten]]" Ihnen zur Verfügung stehenden GWDG Nachrichtenartikeln.
 +
 +
 +==== ...aus der GÉANT TCS PKI ====
 +Zur Beantragung eines E-Mail-Zertifikats aus der GÉANT TCS PKI, die im Mandanten des DFN der GÉANT TCS PKI verankert ist, klicken Sie bitte auf die nachfolgende PDF-Anleitung.
 +<WRAP center round todo 80%>
 +<wrap em>Achtung!</wrap> Derzeit findet ein Dienstleisterwechsel statt. Aus diesem Grund gibt es aktuell noch keine Anleitung. Diese wird demnächst zur Verfügung stehen.
 +</WRAP>
 +
 +Bei Fragen senden Sie eine E-mail an [[support@gwdg.de?subject=Frage zu meinem persönlichen E-Mail Zertifikat&body=Sehr geehrte Damen und Herren,%0A%0Aich habe folgende Frage(n) zu Zertifikat(en):%0A%0A|support@gwdg.de]] oder nutzen Sie das [[https://www.gwdg.de/support|Support-Formular]] der GWDG.
 +
 +===== Detaillierte Beschreibung der E-Mail-Verschlüsselung mit X.509-Zertifikaten =====
 +
 +Für weiterführende Schritte und eine detaillierte Anweisungen zur Installation und Nutzung des Zertifikats (die Datei mit der Dateiendung .p12 im Download-Verzeichnis des genutzten Webbrowsers) in verschiedene E-Mail-Clients lesen Sie bitte die Informationen in folgenden Dokumenten.
 +<WRAP center round info 100%>
 +==== GÉANT TCS PKI ====
 +<WRAP center round todo 80%>
 +<wrap em>Achtung!</wrap> Derzeit findet ein Dienstleisterwechsel statt. Aus diesem Grund gibt es aktuell noch keine Anleitung. Diese wird demnächst zur Verfügung stehen.
 +</WRAP>
 +
 +==== Allgemeingültig für X.509-Zertifikate ====
 +  - [[https://www.gwdg.de/documents/20182/27257/GN_1-2-2020_www.pdf#page=14|GWDG Nachrichten 1-2|20]] - Teil 2: Installation und Verteilung von Zertifikaten
 +  - [[https://www.gwdg.de/documents/20182/27257/GN_3-2020_www.pdf#page=6|GWDG Nachrichten 3|20]] - Teil 3: Outlook-E-Mail-Anwendungen
 +  - [[https://www.gwdg.de/documents/20182/27257/GN_7-8-2020_www.pdf#page=8|GWDG Nachrichten 7-8|20]] - Teil 4: Apple E-Mail-Anwendungen
 +  - [[https://www.gwdg.de/documents/20182/27257/GN_11-2020_www.pdf#page=12|GWDG Nachrichten 11|20]] - Teil 5: Thunderbird, Notes und Mutt
 +  - [[https://www.gwdg.de/documents/20182/27257/GN_5-2021_www.pdf#page=8|GWDG Nachrichten 5|21]] - Teil 6: Private Zertifikate mit der Volksverschlüsselung
 +</WRAP>
 +
 +
 +===== Beantragung Server-Zertifikate... =====
 +
 +==== ...aus der GÉANT TCS PKI ====
 +<WRAP center round todo 80%>
 +<wrap em>Achtung!</wrap> Derzeit findet ein Dienstleisterwechsel statt. Aus diesem Grund gibt es aktuell noch keine Anleitung. Diese wird demnächst zur Verfügung stehen.
 +</WRAP>
 +
 +==== Unix/OS X ====
 +<WRAP center round info 80%>
 +OpenSSL mit folgenden Parametern aufrufen
 +
 +</WRAP>
 +
 +Einfaches Bash-Skript...
 +<code bash createcsr.sh>openssl req -newkey rsa:4096 -sha256 -keyout priv-key.pem -out certreq.pem</code>
 +  * Script createscr.sh herunterladen.
 +  * Rechte ändern <code bash>chmod 744 createcsr.sh</code>
 +  * Script wie folgt starten <code bash>./createcsr.sh</code>
 +==== Windows ====
 +Einfaches PowerShell-Skript...
 +<code powershell createcsr.ps1>openssl req -newkey rsa:4096 -sha256 -keyout priv-key.pem -out certreq.pem</code>
 +Einfaches Batch-Skript...
 +<code powershell createcsr.bat>openssl req -newkey rsa:4096 -sha256 -keyout priv-key.pem -out certreq.pem</code>
 +
 +Danach verfahren Sie weiter mit der [[#auswahl_registrierungs-autoritaet_ra|Auswahl Registrierungs-Autorität (RA)]] und laden die Certificate Signing Request (CSR) Datei in dem angebotenen Webformular Ihrer Einrichtung hoch, dass Sie über den Klick auf "hochladen für Server" erreichen.
 +===== Beantragung Server-Zertifikat mittels OpenSSL.cnf =====
 +
 +<WRAP center round info 80%>
 +OpenSSL mit folgenden Parametern aufrufen
 +
 +</WRAP>
 +
 +==== Unix/OS X ====
 +Einfaches Bash-Skript...
 +<code bash createcsr.sh>openssl req -config example.cnf -newkey rsa:4096 -sha256 -nodes -keyout example.key -out example-csr.pem</code>
 +  * Script createscr.sh herunterladen.
 +  * Rechte ändern <code bash>chmod 744 createcsr.sh</code>
 +  * Script wie folgt starten <code bash>./createcsr.sh</code>
 +==== Windows ====
 +Einfaches PowerShell-Skript...
 +<code powershell createcsr.ps1>openssl req -config example.cnf -newkey rsa:4096 -sha256 -nodes -keyout example.key -out example-csr.pem</code>
 +Einfaches Batch-Skript...
 +<code powershell createcsr.bat>openssl req -config example.cnf -newkey rsa:4096 -sha256 -nodes -keyout example.key -out example-csr.pem</code>
 +
 +Danach verfahren Sie weiter mit der [[#auswahl_registrierungs-autoritaet_ra|Auswahl Registrierungs-Autorität (RA)]] und laden die Certificate Signing Request (CSR) Datei in dem angebotenen Webformular Ihrer Einrichtung hoch, dass Sie über den Klick auf "hochladen für Server" erreichen.
 +===== Beispieldateien für OpenSSL.cnf =====
 +
 +
 +==== MPG ====
 +Das Wort **example** ist durch einen gültigen Servernamen und die E-Mail-Adresse **noreply@{mpg|uni-goettingen|gwdg}.de** durch eine gültige zu ersetzen.
 +<code bash example.cnf>
 +HOME            = .
 +RANDFILE        = $ENV::HOME/.rnd
 +
 +####################################################################
 +[ req ]
 +default_bits        = 4096
 +default_keyfile     = example.key
 +distinguished_name  = server_distinguished_name
 +req_extensions      = server_req_extensions
 +string_mask         = utf8only
 +
 +####################################################################
 +[ server_distinguished_name ]
 +countryName         = Country Name (2 letter code)
 +countryName_default     = DE
 +
 +stateOrProvinceName     = State or Province Name (full name)
 +stateOrProvinceName_default = Niedersachsen
 +
 +localityName            = Locality Name (eg, city)
 +localityName_default        = Goettingen
 +
 +organizationName            = Organization Name (eg, company)
 +organizationName_default    = Max-Planck-Gesellschaft
 +
 +# Den Namen Ihrer der CA untergeordneten RA können Sie hier entnehmen 
 +# https://info.gwdg.de/docs/doku.php?id=de:services:it_security:pki:gwdgras
 +# und ersetzen damit den Wert PKI
 +organizationalUnitName = Organizational Unit Name (eg, your Max-Planck-Institute)
 +organizationalUnitName_default = PKI
 +
 +
 +commonName          = Common Name (e.g. server FQDN or YOUR name)
 +commonName_default      = example.mpg.de
 +
 +emailAddress            = Email Address
 +emailAddress_default        = noreply@mpg.de
 +
 +####################################################################
 +[ server_req_extensions ]
 +
 +subjectKeyIdentifier        = hash
 +basicConstraints        = CA:FALSE
 +keyUsage            = digitalSignature, keyEncipherment
 +subjectAltName          = @alternate_names
 +nsComment           = "OpenSSL Generated Certificate"
 +
 +####################################################################
 +[ alternate_names ]
 +
 +DNS.1       = example-san-1.mpg.de
 +DNS.2       = example-san-2.mpg.de
 +</code>
 +==== Uni Göttingen ====
 +Das Wort **example** ist durch einen gültigen Servernamen und die E-Mail-Adresse **noreply@{mpg|uni-goettingen|gwdg}.de** durch eine gültige zu ersetzen.
 +<code bash example.cnf>
 +HOME            = .
 +RANDFILE        = $ENV::HOME/.rnd
 +
 +####################################################################
 +[ req ]
 +default_bits        = 4096
 +default_keyfile     = example.key
 +distinguished_name  = server_distinguished_name
 +req_extensions      = server_req_extensions
 +string_mask         = utf8only
 +
 +####################################################################
 +[ server_distinguished_name ]
 +countryName         = Country Name (2 letter code)
 +countryName_default     = DE
 +
 +stateOrProvinceName     = State or Province Name (full name)
 +stateOrProvinceName_default = Niedersachsen
 +
 +localityName            = Locality Name (eg, city)
 +localityName_default        = Goettingen
 +
 +organizationName            = Organization Name (eg, company)
 +organizationName_default    = Georg-August-Universitaet Goettingen
 +
 +# Bitte bei den übernächsten beiden Zeilen das Kommentarzeichen entfernen. Den Namen der CA untergeordneten RA 
 +# können Sie hier entnehmen https://info.gwdg.de/docs/doku.php?id=de:services:it_security:pki:uniras und ersetzen damit den Wert PKI.
 +#organizationalUnitName = Organizational Unit Name (eg, your Institute name in the Uni-Goettingen-CA)
 +#organizationalUnitName_default = PKI
 +
 +
 +commonName          = Common Name (e.g. server FQDN or YOUR name)
 +commonName_default      = example.uni-goettingen.de
 +
 +emailAddress            = Email Address
 +emailAddress_default        = noreply@uni-goettingen.de
 +
 +####################################################################
 +[ server_req_extensions ]
 +
 +subjectKeyIdentifier        = hash
 +basicConstraints        = CA:FALSE
 +keyUsage            = digitalSignature, keyEncipherment
 +subjectAltName          = @alternate_names
 +nsComment           = "OpenSSL Generated Certificate"
 +
 +####################################################################
 +[ alternate_names ]
 +
 +DNS.1       = example-san-1.uni-goettingen.de
 +DNS.2       = example-san-2.uni-goettingen.de
 +</code>
 +==== GWDG ====
 +Das Wort **example** ist durch einen gültigen Servernamen und die E-Mail-Adresse **noreply@{mpg|uni-goettingen|gwdg}.de** durch eine gültige zu ersetzen.
 +<code bash example.cnf>
 +HOME            = .
 +RANDFILE        = $ENV::HOME/.rnd
 +
 +####################################################################
 +[ req ]
 +default_bits        = 4096
 +default_keyfile     = example.key
 +distinguished_name  = server_distinguished_name
 +req_extensions      = server_req_extensions
 +string_mask         = utf8only
 +
 +####################################################################
 +[ server_distinguished_name ]
 +countryName         = Country Name (2 letter code)
 +countryName_default     = DE
 +
 +stateOrProvinceName     = State or Province Name (full name)
 +stateOrProvinceName_default = NIEDERSACHSEN
 +
 +localityName            = Locality Name (eg, city)
 +localityName_default        = GOETTINGEN
 +
 +organizationName            = Organization Name (eg, company)
 +organizationName_default    = Gesellschaft fuer wissenschaftliche Datenverarbeitung
 +
 +# Bitte bei den übernächsten beiden Zeilen das Kommentarzeichen entfernen. Den Namen der CA untergeordneten RA 
 +# können Sie hier entnehmen https://info.gwdg.de/docs/doku.php?id=de:services:it_security:pki:gwdgras und ersetzen damit den Wert PKI.
 +#organizationalUnitName = Organizational Unit Name (eg, your Institute name in the Uni-Goettingen-CA)
 +#organizationalUnitName_default = PKI
 +
 +commonName          = Common Name (e.g. server FQDN or YOUR name)
 +commonName_default      = example.gwdg.de
 +
 +emailAddress            = Email Address
 +emailAddress_default        = noreply@gwdg.de
 +
 +####################################################################
 +[ server_req_extensions ]
 +
 +subjectKeyIdentifier        = hash
 +basicConstraints        = CA:FALSE
 +keyUsage            = digitalSignature, keyEncipherment
 +subjectAltName          = @alternate_names
 +nsComment           = "OpenSSL Generated Certificate"
 +
 +####################################################################
 +[ alternate_names ]
 +
 +DNS.1       = example-san-1.gwdg.de
 +DNS.2       = example-san-2.gwdg.de
 +</code>
 +
 +===== Wichtige OpenSSL-Befehle =====
 +Eine Sammlung wichtiger OpenSSL-Befehle für Server-Zertifikate
 +
 +==== Entfernung des Kennworts vom privaten Schlüssel ====
 +<code bash>openssl rsa -in example.key -out example.np.key</code>
 +==== Erstellen einer PKCS#12-Datei aus privaten und öffentlichen Schlüssel ====
 +<code bash>openssl pkcs12 -export -out example.pfx -inkey example.key -in example.pem</code>
 +
 +===== Detaillierte Beschreibung der Einsatzmöglichkeiten von X.509-Zertifikaten =====
 +
 +<WRAP center round info 100%>
 +==== GÉANT TCS PKI ====
 +  - [[https://www.gwdg.de/documents/20182/27257/GN_3-2022_www.pdf#page=10|GWDG Nachrichten 03|22]] - Teil 4: Automatisierte Erstellung von Serverzertifikaten mit Bot-Software
 +==== DFN-Verein Community CA ====
 +  - [[https://www.gwdg.de/documents/20182/27257/GN_9-10-2020_www.pdf#page=10|GWDG Nachrichten 09-10|20]] - Teil 1: Serverzertifikate
 +  - [[https://www.gwdg.de/documents/20182/27257/GN_12-2020_www.pdf#page=10|GWDG Nachrichten 12|20]] - Teil 2: Ein Blick hinter die Kulissen eines Teilnehmerservices
 +  - [[https://www.gwdg.de/documents/20182/27257/GN_3-2021_www.pdf#page=8|GWDG Nachrichten 03|21]] - Teil 3: Das Programm GUIRA für den Teilnehmerservice
 +
 +</WRAP>