Funktionszertifikate über DFN-PKI

Hintergrundinformation

Auch für Funktionsadressen können Clientzertifikate analog zu den Nutzerzertifikaten beantragt werden.

Das ist beispielsweise sinnvoll, wenn von einer E-Mail-Adresse wie leitung@einrichtung.tu-darmstadt.de signierte E-Mails verschickt werden sollen.

Im Folgenden wird erklärt, unter welchen Bedingungen das möglich ist und wie die Beantragung abläuft.

Die Nutzung von Funktionszertifikaten unterliegt einigen Bedingungen:

Ansprechperson

  • Es muss eine Ansprechperson für den Antrag benannt werden. Diese Person ist verantwortlich für die Einhaltung der Nutzungsbedingungen, wie sie bei der Ausstellung bestätigt werden. Das beinhaltet z.B. auch die sichere Übergabe an Dritte und die evtl. Sperrung.
  • Die Ansprechpersonen müssen Mitarbeitende oder Angehörige der TU Darmstadt sein.
  • Ansprechpersonen dürfen nur Zertifikate für Adressen in Domains beantragen, für die sie als Domainbeauftragte eingetragen sind.

Funktionsadresse

  • Die Adressen müssen vom HRZ im Rahmen des Groupware Services betrieben werden.
  • Der Anzeigename des Zertifikats muss identisch mit dem Absendernamen der Adresse sein.

Schlüsselverwaltung

  • Das HRZ bietet keine Unterstützung dafür, den privaten Schlüssel zu sichern. Der Nutzende wird aufgefordert, dafür einen sicheren Ort zu wählen (z.B. sein persönliches Netzlaufwerk, die Hessenbox oder ein privates Share).
  • Die Weitergabe des privaten Schlüssels (.p12 Datei) an Dritte muss auf sicherem Weg erfolgen.
  • Wenn eine Person, an die das Zertifikat weitergegeben wurde, nicht mehr berechtigt ist, das Zertifikat zu nutzen (z.B. wegen eines Tätigkeitswechsels), muss das Zertifikat gesperrt und ein neues Zertifikat ausgestellt und verteilt werden.

Keine Verschlüsselung

  • Das HRZ bietet keine Unterstützung bei Verschlüsselung. Wenn Sie Daten/E-Mails verschlüsseln, sind bei Verlust des privaten Schlüssels alle diese verschlüsselten Inhalte verloren. Bedenken Sie bei dienstlichen Daten auch, dass Dritte keinen Zugriff auf verschlüsselte Inhalte bekommen können. Speziell bei Funktionspostfächern kann das zu Problemen führen, wenn die Verantwortlichkeit wechselt.

Sie können Zertifikate für Funktionsadressen selbst beantragen und ausstellen. Bitte beachten Sie, dass das Zertifikat ausschließlich die E-Mail-Adresse enthält und keine weiteren Angaben wie z. B. einen Namen oder die Organisation.

1. Öffnen Sie die Antragsseite über diesen Link: https://cm.harica.gr/ (wird in neuem Tab geöffnet)

2. Um Zertifikate für Funktionspostfächer zu beantragen, müssen Sie zunächst über „Sign Up“ einen Account erstellen. Geben Sie dabei unter „Email address“ die E-Mail-Adresse des Funktionspostfachs an.

3. Nach dem Einloggen mit diesem Account können Sie unter „Certificate Requests“ → „Email“ manuell Zertifikate beantragen. Wählen Sie dabei bitte den Typ „Email-only“ für Ihr Zertifikat aus.

4. Bitte beachten Sie, dass im Laufe des Prozesses die E-Mail-Adresse bestätigt werden muss. Hierzu erhalten Sie eine Bestätigungs-E-Mail.

5. Sobald Ihr Zertifikat verfügbar ist, sehen Sie Ihren Antrag auf der Übersichtsseite im Bereich „Ready Certificates“. Um das Zertifikat herunterzuladen, wählen Sie dort „Enroll your Certificate“ aus.

6. Beim Erstellen des Zertifikats beachten Sie bitte folgende Hinweise:

  • Wählen Sie bei „Key size“ eine Schlüssellänge von mindestens 3072 Bit. Kürzere Schlüssellängen sind gemäß der Transport Layer Security Richtlinie (TLS-RL) nicht mehr zulässig.
  • Das Passwort wird zum Sichern Ihrer Zertifikatsdatei verwendet. Bitte wählen Sie hier ein sicheres Passwort und speichern Sie es im besten Fall in einem Passwort-Manager. Sollten Sie das Passwort oder die Zertifikatsdatei verlieren, müssen Sie ein neues Zertifikat beantragen.