Benutzerhandbuch für die Beantragung und Ver-wendung von Zertifikaten mit Firefox /Thunder-

birdVersion 1.2 vom 15.09.2014

Im Folgenden soll den Benutzern der Zertifizierungsstelle der Universität Hamburg (UHH-CA)ein Leitfaden zur Zertifikatbeantragung und -verwendung mit Firefox / Thunderbird an die Handgegeben werden. Er enthält alle wichtigen Schritte, die zu einem gültigen Zertifikat innerhalb der Zertifizierungshie-rarchie des Deutschen Forschungsnetzes (DFN) führen.

Lassen Sie sich vom Umfang dieses Dokumentes nicht abschrecken. Schritt für Schrittwerden Sie durch das Beantragungsverfahren geführt, was letztlich nicht mehr als ein paarMinuten in Anspruch nimmt. Anschließend wird Ihnen beschrieben, wie Sie das fertige Zer-tifikat in Ihre Arbeitsumgebung einbinden. Für diesen Vorgang benötigen Sie ebenfalls nurwenige Minuten.

Diese Anleitung beruht auf dem Benutzerhandbuch der UH-CA der Leibniz Universität Hannover,das der Universität Hamburg von Frau Gersbeck-Schierholz freundlicherweise zur Verfügung ge-stellt wurde. Vielen Dank!

Inhaltsverzeichnis

1 Einführung..................................................................................................................................................2

1.1 Zertifizierungshierarchie......................................................................................................................................2

1.2 Das PKI-Portal des DFN......................................................................................................................................3

1.3 Die Zertifizierungsrichtlinien der Universität Hamburg .......................................................................................3

2 Import der CA-Zertifikate...........................................................................................................................5

2.1 Import der CA-Zertifikate in Firefox.....................................................................................................................5

2.2 Import der CA-Zertifikate in Thunderbird.............................................................................................................9

3 Beantragen eines persönlichen Nutzer-Zertifikats...............................................................................11

4 Aufsuchen des Rechenzentrums ..........................................................................................................13

5 Importieren des Zertifikats in den Browser / Mail Klienten ................................................................14

5.1 Importieren in Firefox.........................................................................................................................................14

5.2 Importieren in Thunderbird................................................................................................................................16

6 Sicherungskopie des privaten Schlüssels............................................................................................18

7 Versenden einer signierten E-Mail.........................................................................................................19

1

1 Einführung

1.1 Zertifizierungshierarchie

Für das Signieren und Verschlüsseln von E-Mail erhält jeder Benutzer von der Zertifizierungsstel-le der Universität Hamburg (UHH-CA) ein digitales Zertifikat gemäß dem Standard X.509v3S/MIME, welches seine Identität beschreibt und den öffentlichen Schlüssel enthält. Jedes Zertifi-kat ist von der ausgebenden Stelle, in diesem Fall der UHH-CA, beglaubigt, die ihrerseits wiedervon einer höheren Stelle beglaubigt ist. Das Vertrauenssystem ist streng hierarchisch. Den ge-meinsamen Vertrauensanker bildet ein sog. Wurzel-Zertifikat (Root Certificate). Dieses ist dasselbstzertifizierte Zertifikat der obersten Instanz der Zertifizierungshierarchie, in unserem Fall dasDeutsche Telekom Root CA 2 Zertifikat. Die folgende Abbildung zeigt die Zertifizierungshierarchie der Universität Hamburg.

2

1.2 Das PKI-Portal des DFN

Das PKI-Portal des Deutschen Forschungsnetzes (DFN) für die Universität Hamburg ist das öf-fentlich zugängliche Webinterface der UHH-CA. Es ist über den Link oben erreichbar. Alternativerreichen Sie das PKI-Portal über die RRZ-Webseite

http://www.rrz.uni-hamburg.de/de/services/sicherheit/pki/beantragen-von-zertifikaten/persoenliche-zertifikate.html

Dort wählen Sie den Link „persönliches Zertifikat beantragen“.

Im PKI-Portal stehen Ihnen alle wichtigen Funktionen im Zusammenhang mit der Zertifizierungzur Verfügung.

Hier können Sie 1. ein Zertifikat beantragen, 2. ein Zertifikat zurückrufen und 3. Zertifikate suchen.

Desweiteren finden Sie hier1. die Zertifizierungsrichtlinie, 2. die CA-Zertifikate und 3. die Zertifikat-Sperrlisten.

1.3 Die Zertifizierungsrichtlinien der Universität Hamburg

Eine Zertifizierungsrichtlinie (Certification Policy, CP) definiert die Regeln, nach denen eine odermehrere Zertifizierungsstellen arbeiten. Die in der Universität Hamburg angesiedelte Zertifizie-rungsstelle (UHH-CA) formuliert ihre Zertifizierungsrichtlinie in der Weise, dass die „Zertifizie-rungsrichtlinie der Public Key Infrastruktur im Deutschen Forschungsnetz – Global, Classic, Ba-sic“ Anwendung findet.

Eine Erklärung zum Zertifizierungsbetrieb (Certification Practice Statement, CPS) beschreibt dieVerfahrensweisen, mit denen eine Zertifizierungsrichtlinie von einer Zertifizierungsstelle umge-setzt wird. Die in der Universität Hamburg angesiedelte Zertifizierungsstelle (UHH-CA) formuliertihre Erklärungen zum Zertifizierungsbetrieb in der Weise, dass die „Erklärung zum Zertifizierungs-betrieb der Public Key Infrastruktur im Deutschen Forschungsnetz – Global, Classic, Basic “ An-wendung findet.

Der Inhalt beider Dokumente wird an einigen Stellen durch die „Erklärung zum Zertifizierungsbe-trieb der UHH-CA in der DFN-PKI“ um eigene Spezifikationen erweitert.

3

Mit Hilfe der Zertifizierungsrichtlinien ist esfür jeden Teilnehmer möglich, eine Ein-schätzung über die Qualität der ausgestell-ten Zertifikate zu treffen. Sie beschreibendie Mindestanforderungen und Abläufe derZertifizierung und sind Teil der Vereinba-rung zwischen der CA und den Benutzern.Daher sollte jeder, der ein Zertifikat derUHH-CA beantragen will, diese Richtliniengenau studieren.

4

2 Import der CA-Zertifikate

Bevor Sie Ihr persönliches Zertifikat beantragen, installieren Sie bitte per Mausklick die CA-Zertifikate der Zertifizierungshierarchie in Ihren Browser (Firefox) und E-Mail Klienten (Thun-derbird) wie unten beschrieben.

2.1 Import der CA-Zertifikate in Firefox

Weil es sich bei der Kombination Firefox/Thunderbird um zwei verschiedene Programmehandelt, haben beide einen eigenen Zertifikatspeicher. Daher müssen die CA-Zertifikate inbeide Programme eingebaut werden. Die Zertifikate werden zunächst per Mausklick in denFirefox Browser importiert. Dort wird ein Backup auf Diskette oder einen anderen externenDatenträger erstellt, anschließend werden die Zertifikate in Thunderbird importiert.

Klicken Sie als erstes unter dem Rei-ter CA-Zertifikate auf den Reiter„Wurzelzertifikat“. Dadurch wird dasWurzelzertifikat der Deutschen Tele-kom Root CA 2 in Ihren Browser im-portiert.

Zunächst aber öffnet sich das neben-stehende Fenster. Dort sollte als ers-tes der rot umrandete Button Ansichtbetätigt werden, um den Inhalt desZertifikates zu prüfen.

5

Da die CA-Zertifikate dem Browsernicht bekannt sind, werden sie auchnoch nicht als vertrauenswürdig ein-gestuft.

In diesem Fenster Zertifikat Ansichtsind die wichtigsten Informationen zujedem Zertifikat enthalten: Unter Her-ausgegeben für wird der Inhaber desZertifikates angezeigt, in diesem Falldie Deutsche Telekom Root CA 2. Un-ter Herausgegeben von derjenige,der das Zertifikat unterzeichnet hat,hier wieder die Deutsche TelekomRoot CA 2, da es sich um ein selbstsi-gniertes Wurzelzertifikat handelt. Esfolgt der Gültigkeitszeitraum, in demdas Zertifikat verwendet werden kann.Zuletzt werden die Prüfsummen (Fin-gerabdrücke) des Zertifikates ange-zeigt.

Die angezeigten Fingerabdrücke soll-ten Sie mit den Angaben in diesemDokument bzw. in einem anderen ge-druckten Dokument der UHH-CA ab-gleichen.

Nach dem Schließen des Anzeige-fensters müssen jeweils die Zweckedes Zertifikates aktiviert werden, umes für die angegebenen Anwendun-gen als vertrauensvoll einzustufen.

Bestätigen Sie danach mit OK unddas Zertifikat wird in den Browser in-stalliert.

Klicken Sie dann auf den Reiter„DFN-PCA Zertifikat“. Dadurchwird das Zertifikat der DFN-VereinPCA Global in Ihren Browser impor-tiert, nachdem Sie auch hier dieVertrauenswürdigkeit durch Aktivie-ren der Kontrollkästchen bestätigthaben.

6

Zuletzt klicken Sie auf den Reiter „UHH-CA Zertifikat“. Dadurch wird dasZertifikat der CA der Universität Ham-burg in Ihren Browser importiert, nach-dem Sie auch hier die Vertrauenswür-digkeit durch Aktivieren der Kontroll-kästchen bestätigt haben.

Zur Überprüfung, ob die CA-Zertifikatekorrekt importiert worden sind, wählenSie im Firefox-Menü unter Extras denPunkt Einstellungen.

Hier öffnet man unter Erweitert, ReiterVerschlüsselung, den Button Zertifi-kate anzeigen mit dessen Hilfe man inden Zertifikats-Manager gelangt.

7

Wählen Sie den Reiter Zertifizie-rungsstellen aus. Hier sollte sich jetzt unter der Über-schrift Deutsche Telekom AG dasZertifikat der Deutschen TelekomRoot CA 2 und der DFN-Verein PCAGlobal-G01 befinden und darüber un-ter der Überschrift DFN-Verein dasZertifikat der UHH CA – G02.

Damit sind die CA-Zertifikate der Zertifizierungshierarchie in Firefox installiert.

Um die CA-Zertifikate auch in Thunderbird verfügbar zu machen, müssen sie zunächst aufder Festplatte oder einem externen Datenträger zwischengespeichert werden. Da Sie aberIhr eigenes Zertifikat unbedingt auf einem externen Datenspeicher zur Aufbewahrung sichernsollten, bietet es sich an, die CA-Zertifikate ebenfalls auf diesem externen Datenträger (z.B.auf Diskette, CD oder USB-Stick) zu speichern:

Klicken Sie auf im PKI-Portal (Reiter CA-Zertifikate) das Wurzelzertifikat mit derrechten Maustaste an und wählen SieZiel speichern unter… .

Legen Sie eine Diskette in das Lauf-werk und speichern Sie dort das Zer-tifikat oder speichern Sie es auf einemanderen externen Datenträger.

Verfahren Sie ebenso mit dem DFN-PCA Zertikat und dem UHH-CA Zer-tifikat!

8

2.2 Import der CA-Zertifikate in Thunderbird

Jetzt installieren Sie die CA-Zertifikate in Ihren Mail Klienten Thunderbird. Öffnen Sie dasProgramm und gehen Sie im Menü unter Extras zu Einstellungen. Es öffnet sich folgendesFenster:

Dort klicken Sie unter Erweitert imReiter Zertifikate auf den Button Zerti-fikate (je nach Thunderbird Versionkann sich dieser auch unter Daten-schutz im Reiter Sicherheit befinden).

Sie gelangen in den Zertifikat Mana-ger. Unter dem Reiter Zertifizierungs-stellen wählen Sie Importieren.

Markieren Sie das zuvor gespeicherteWurzelzertifikat g_rootcert.crt und ge-hen Sie auf Öffnen.

9

Vertrauen Sie der Zertifizierungsstelle,indem Sie die drei Haken setzen.Drücken Sie OK. Das Zertifikat wird inThunderbird importiert.

Wiederholen Sie den Vorgang mit denbeiden anderen CA-Zertifikaten g_in-termediatecacert.crt undg_cacert_crt!

Anschließend…

…finden Sie die CA-Zertifikate im Zerti-fikat-Manager von Thunderbird unterdem Reiter Zertifizierungsstellen.

10

3 Beantragen eines persönlichen Nutzer-Zertifikats

Für die Beantragung Ihres persönlichen Nutzer-Zertifikates, wählen Sie im PKI-Portal desDFN unter dem Reiter Zertifikate den Punkt Nutzerzertifikat aus, der zum folgenden Fens-ter führt.

Füllen Sie bitte den Antrag mit IhrenDaten aus und wählen Sie Weiter.

Unter Zertifikatdaten werden die Daten erfasst, die in das Zertifikat mit aufgenommen wer-den. Jedes Zertifikat beinhaltet u.a. einen eindeutigen Namen (Distinguished Name, DN).Dieser wird von den Feldern E-Mail, Name und Abteilung zusammen mit den festgelegtenEinträgen O=Universitaet Hamburg und C=DE gebildet.

Geben Sie auch eine PIN ein und bestätigen Sie diese noch einmal, stimmen Sie der Zertifi-zierungsrichtlinie zu und stimmen Sie bitte unbedingt auch einer Veröffentlichung Ihres Zerti-fikates zu. Nur wenn Sie der Veröffentlichung zustimmen, ist Ihr Zertifikat später über denButton „Zertifikate suchen“ zu finden und Sie sind damit für andere Teilnehmer nachvollzieh-bar vertrauenswürdig. Genauso aber werden Sie auch andere Teilnehmer als vertrauenswür-dig einstufen können, wenn diese Ihr Zertifikat veröffentlicht haben zugestimmt haben.

11

Wenn alle Angaben korrekt sind, be-stätigen Sie mit Bestätigen.

Wenn Sie noch keine Zertifikate in Fi-refox verwalten, müssen Sie ein Mas-ter-Passwort für den internen Schlüs-selspeicher wählen. Dieses wird spä-ter jeweils vor dem Verwenden oderExportieren eines privaten Schlüsselsabgefragt. Weiter geht es mit Ok.

Firefox veranlasst nun die Generie-rung Ihres Schlüsselpaares auf IhremRechner. Privater und öffentlicherSchlüssel ermöglichen später im Zu-sammenhang mit dem Zertifikat dasUnterschreiben und Verschlüsseln vonE-Mail.

Anschließend werden Sie aufgefor-dert, sich den Zertifikatantrag auszu-drucken.

12

4 Aufsuchen des Rechenzentrums

Sind alle Angaben auf dem Ausdruck korrekt, unterschreiben Sie ihn und suchen Sie nachtelefonischer Absprache die Registrierungsstelle im RRZ (UHH-RA) auf.

Regionales Rechenzentrum der Universität HamburgSchlüterstraße 7020146 Hamburg

Hr. J. BaftijariRaum 417Telefon: 040 - 42838 4625

Terminabsprachen sind für den Vertretungsfall auch unter -3097 (Herr Dr. C. Benecke).

Folgendes ist mitzubringen

1. Der vollständig ausgefüllte Zertifikatantrag, 2. der Personalausweis oder Pass, 3. ein Dokument, das die Zugehörigkeit zur Universität bestätigt.

Wenn Sie den Mitarbeitern persönlich bekannt sind, kann auf das Dokument über die Zuge-hörigkeit (3.) verzichtet werden.

Prüfung und Beglaubigung des Zertifikatantrages

Nach Kontrolle des Zertifikatantrages wird dieser beglaubigt von der RA an die CA weiterge-leitet. Dort wird das Zertifikat erstellt und Sie erhalten umgehend eine Benachrichtigung perE-Mail.

13

Hr. R. KurtzRaum 408Telefon: 040 - 42838 7977

5 Importieren des Zertifikats in den Browser / E-Mail Klienten

5.1 Importieren in Firefox

Nachdem die UHH-CA Ihr Zertifikat erstellt hat, erhalten Sie eine E-Mail vom PKI-Team derUniversität Hamburg…

… mit der Information, dass Sie IhrZertifikat nun abholen können. Esreicht ein Mausklick auf den markiertenLink, um Ihr persönliches Zertifikat inIhren Browser zu integrieren.

Ihr Zertifikat ist außerdem noch alsPEM-Datei als Anlage der E-Mail bei-gefügt (in diesem Format müssen dieSie es aber nicht nutzen).

Nachdem Sie das Zertifikat in Firefoximportieren haben, sollten Sie einBackup für Thunderbird machen, dennhier wollen Sie es ja hauptsächlich fürdas Signieren und Verschlüsseln vonE-Mail benutzen. Gehen Sie bitte imProgramm Firefox, Menü Extras, aufEinstellungen.

Wählen Sie unter Erweitert den ReiterVerschlüsselung. Drücken Sie denButton Zertifikate anzeigen.

14

Unter dem Reiter Ihre Zertifikate soll-te Ihr eigenes Zertifikat angezeigt wer-den.Sichern Sie Ihr Zertifikat z. B. auf einem USB-Stick, indem Sie es markieren und Backupauswählen.

Geben Sie einen Dateinamen an undspeichern Sie die PKCS12 Datei aufdem USB-Stick oder einem anderenexternen Datenspeicher.

Firefox fragt Sie noch einmal nachdem Master-Passwort für den Zertifi-katspeicher. Bestätigen Sie danach mitOK.

Geben Sie ein Backup-Passwort fürdie Backup Datei ein und bestätigenSie dieses noch einmal. Mit OK schlie-ßen sie den Dialog.

Bestätigen Sie mit OK.

15

5.2 Importieren in Thunderbird

Um Ihr persönliches Zertifikat in den Zertifikatspeicher von Thunderbird zu importieren, öff-nen Sie das Programm und wählen unter Extras den Punkt Einstellungen.

Wählen Sie unter Erweitert den ButtonZertifikate.

Unter dem Reiter Ihre Zertifikatedrücken Sie den Button Importieren.

Wählen Sie das von Ihnen gespeicher-te Zertifikat und gehen Sie auf Öffnen.

16

Wenn Sie noch keine Zertifikate inThunderbird benutzt haben, werden Sieaufgefordert, ein Master-Passwort fürden Zertifikatspeicher von Thunderbirdzu wählen. Dieses wird später für denZugriff auf den Schlüssel beim Signie-ren und Entschlüsseln von Mails abge-fragt. Nach zweimaliger Eingabe desPassworts bestätigen Sie mit OK.

Geben Sie das von Ihnen beim Expor-tieren auf Firefox vergebene Backup-Passwort an und wählen Sie OK.

Bestätigen Sie mit OK.

Ihr eigenes Zertifikat wurde in den Zer-tifikatspeicher von Thunderbird impor-tiert.

17

6 Sicherungskopie des privaten Schlüssels

Verwahren Sie den externen Datenträger mit den Zertifikaten an einem sicheren Ort!

Die Datei, welche Sie dort vorhalten, beinhaltet nicht nur Ihr Zertifikat, sondern auch Ihrenprivaten Schlüssel. Der private Schlüssel wird zusammen mit dem Zertifikat vom System fürdas Signieren von E-Mail und für das Entschlüsseln von an Sie verschlüsselt gesendeteMails eingesetzt. Er muss deshalb geschützt werden! Bei Missbrauch durch Dritte ist dasZertifikat hinfällig! Mit einer Kopie des Schlüssels kann der Angreifer eine falsche Identitätvortäuschen und vertrauliche Daten entschlüsseln.

Ihre Anwendungen Firefox und Thunderbird speichern außerdem den privaten Schlüssel ineiner Software-PSE (Private Security Environment). Hierbei handelt es sich um einen pass-wortgeschützten, sicheren Bereich. So steht Ihnen komfortabel und sicher die Signier- undVerschlüsselungsfunktionalität von Mozilla Thunderbird jederzeit zur Verfügung.

18

7 Versenden einer signierten E-Mail

Mit Ihrem Zertifikat können Sie nun E-Mails, die Sie versenden, digital signieren. Damit kannder Empfänger sicher sein, dass es sich wirklich um eine E-Mail von Ihnen handelt. Das Ver-und Entschlüsseln von E-Mails wird in der Anleitung zum Einrichten des LDAP-Verzeichnis-dienstes beschrieben. Zum Signieren einer E-Mail erstellen Sie diese wie gewohnt mit Thun-derbird. Vor dem Absenden...

... klicken Sie auf den kleinen Pfeilnach unten im Button SMIME. In demerscheinenden Menü wählen Sie denEintrag Nachricht unterschreiben.

Wenn Sie noch keine signierten E-Mails verschickt haben, fragt Thunder-bird, ob Sie Ihr Zertifikat einrichten wol-len. Wählen Sie Ja.

Im Dialogfeld wählen Sie unter Digita-le Unterschrift den Button Auswäh-len.

19

Wählen Sie Ihr Zertifikat an und bestä-tigen mit OK.

Ihr Zertifikat sollte auch für die Ver-schlüsselung von E-Mails eingesetztwerden. Wählen Sie OK.

Das Zertifikat ist nun für digitale Unter-schrift und Verschlüsselung ausgewähltBestätigen Sie mit OK.

Wenn Sie erneut das Menü des But-tons SMIME aufrufen, sehen Sie einHäkchen bei „Nachricht unterschrei-ben“. Beim Senden der Mail wird diesesigniert.

20

Wenn Sie eine signierte E-Mail emp-fangen, wird Ihnen dies symbolisch inder Kopfzeile der E-Mail angezeigt.Wenn Sie das Symbol anklicken...

... wird der genaue Status der Signaturangezeigt.

21