Mindestsicherheit

Die Teilnehmer der European Bridge CA (EBCA) erfüllen eine gemeinsame Mindestsicherheitsrichtlinie. Zusammengefasst werden damit folgende Anforderungen erfüllt:

Jeder Teilnehmer in der PKI eines EBCA-Mitgliedes wird

  • vor Beginn der Zertifizierung/Zertifikatserstellung eindeutig und zweifelsfrei identifiziert und
  • in einer Datenbasis registriert, die für alle nachfolgenden Prozessschritte vor Identitätsmanipulationen geschützt ist.

Auf Basis dieser Daten wird in einer sicheren Umgebung

  • ein Schlüsselpaar generiert,
  • über den öffentlichen Schlüssel manipulationssicher und öffentlich überprüfbar ein X.509-Zertifikat ausgestellt und
  • dem neuen Zertifikatsnehmer so sicher zugestellt, dass der private Schlüssel stets in seiner persönlichen Verfügungsgewalt steht.

Eine arbeitsrechtlich verbindliche Policy verpflichtet den Zertifikatsnehmer zu

  • ausschließlicher Nutzung und
  • sorgfältigem Umgang mit dem kryptografischen Schlüsselmaterial.

Das EBCA-Mitglied garantiert mit seinem guten Namen, dass

  • diese Sicherheitsanforderungen eingehalten werden und
  • alle Änderungen, Sperrungen oder Kompromittierungen zeitnah den anderen Mitgliedern zugänglich gemacht werden.

Die Richtlinien sind in der EBCA Certificate Policy festgehalten. Das Dokument ist im RFC-3647-Format aufgebaut und dient als Orientierungshilfe für die Certificate Policy oder das Certificate Practice Statement, welche die Teilnehmer der EBCA vorzuweisen haben. Sie enthält außerdem die technischen und organisatorischen Vorgaben, die die Teilnehmer einhalten müssen und zu denen sie sich in der Selbsterklärung verpflichten.

TeleTrusT-EBCA Certificate Policy