Dokumentation DFN-AAI, DFN-PKI und eduroam - de:dfnpki:faq

zeitstempel - gelöscht - Externe Bearbeitung (Unbekanntes Datum)

Anonymous (anonymous@undisclosed.example.com) — 2026-08-15T04:07:26+00:00

2018/06/07 10:07		aktuell
Zeile 1:		Zeile 1:
-	~~NOTOC~~
-	===== FAQ Zeitstempeldienst =====

-	{{INLINETOC 3}}
-
-	====1. Was ist ein Zeitstempel?====
-
-	Ein Zeitstempel ist eine "Elektronische Bescheinigung einer (vertrauenswürdigen) Stelle, dass ihr bestimmte elektronische Daten zu einem bestimmten Zeitpunkt vorgelegen haben. Es ist dabei im Allgemeinen nicht erforderlich, dass diese Stelle den Inhalt der Daten zur Kenntnis nimmt." (Quelle: http://www.bsi.bund.de). Häufig, wie z.B. beim Time Stamp Protocol aus [RFC3161], werden Zeitstempel unter Einsatz digitaler Signaturen erstellt.
-
-	====2. Wie funktioniert der DFN Zeitstempeldienst?====
-
-	Der DFN-Verein betreibt im Rahmen des Zeitstempeldienstes einen Zeitstempelserver, der für Anwendungen einen signierten Zeitstempel ausstellt. Die Anwendung schickt dafür den Hashwert des Dokuments (+ Nonce) an den DFN Zeitstempelserver, der von einer Funkuhr die aktuelle Zeit ermittelt. Die Zeitangabe und der Hashwert des Dokuments werden mit dem Zertifikat des DFN Zeitstempelservers signiert und an die Anwendung zurück gesendet. Der Austausch der Daten erfolgt nach RFC 3161.
-
-	====3. Wie kann ich den DFN Zeitstempeldienst nutzen?====
-
-	Der DFN Zeitstempeldienst kann nur mit einer geeigneten Anwendung und nicht direkt durch Angabe der URL im Webbrowser genutzt werden. Geeignete Anwendungen sind Programme, die eine Anfrage an einen Zeitserver stellen und dessen Antwort entgegen nehmen können. Das sind z.B. Adobe Acrobat, openssl ab Version 1.0 und Komponenten von Microsoft bzw. Java (signtool/jarsigner).
-
-	Die Bibliothek BouncyCastle, die für Java und C# erhältlich ist, bietet ebenfalls Unterstützung für Zeitstempel.
-
-	====4. Wie kann das Zertifikat des Zeitstempelservers automatisch geprüft werden?====
-
-	Der DFN Zeitstempelserver verwendet ein Zertifikat der DFN-PKI Global, das im Adobe Acrobat nicht automatisch bekannt ist. Deshalb muss vor der ersten Nutzung des Zeitstempeldienstes
-
-	* die Zertifikatkette des Zeitstempelservers im Windows-Zertifikatspeicher installiert werden und
-	* die Windows-Integration von Zertifikaten in Adobe Acrobat aktiviert werden.
-
-	Lesen Sie dazu bitte Zeitstempel in der DFN-PKI. Die Zertifikatkette des Zeitstempelservers können Sie über diese URL beziehen.
-
-	====5. Wer kann den Zeitstempeldienst nutzen?====
-
-	Jeder kann den Dienst im Rahmen der DFN-Satzung mit einer geeigneten Anwendung nutzen. Eine Anmeldung oder das Ausfüllen von Formularen ist nicht notwendig.

dfnaai - gelöscht - Externe Bearbeitung (Unbekanntes Datum)

Anonymous (anonymous@undisclosed.example.com) — 2026-08-14T18:41:15+00:00

2018/06/07 10:01		aktuell
Zeile 1:		Zeile 1:
-	~~NOTOC~~
-	===== Fragen und Antworten zu Zertifikaten in der DFN-PKI =====

-	{{INLINETOC 3}}
-
-	====1. Wofür werden Zertifikate in der DFN-AAI eingesetzt?====
-
-	In der DFN-AAI kommen Zertifikate an verschiedenen Stellen zum Einsatz:
-
-	* Betrieb von Shibboleth: Zertifikate müssen für die gegenseitige Authentifizierung von Identity Providern und Service Providern sowie für die Signatur der Metadaten, die wichtige betriebliche Daten über die DFN-AAI enthalten, eingesetzt werden.
-	* Authentifizierung der Webserver: Alle Webserver der Service Provider und Identity Provider in der DFN-AAI müssen zur Authentifizierung Zertifikate verwenden.
-	* Authentifizierung der Nutzer: Derzeit verwenden Nutzer zur Authentifizierung meistens Username/Password. Alternativ kann die Authentifizierung auch per Nutzerzertifikat erfolgen. So kann zukünftig auf Basis der Stärke der
-	* Authentifizierung die Nutzung von Diensten geregelt werden, z.B. der Zugriff auf „kritische Dienste“ nur bei starker, zertifikatbasierter Authentifizierung.
-
-	====2. Welche Zertifikate können in der DFN-AAI verwendet werden?====
-
-	In der DFN-AAI können Zertifikate der folgenden Hierarchien verwendet werden:
-
-	* DFN-Verein PCA Global - G01
-	* DFN-Verein PCA Classic - G01
-	* DFN-Verein PCA Grid - G01
-
-	* Fraunhofer Root CA (R-CA)
-	* GridKa-CA - GermanGrid
-
-	Darüber hinaus können Zertifikate genutzt werden, die in alle wesentlichen Standardbrowser (insb. Firefox, IE) verlinkt sind und deren Gültigkeitsdauer maximal 5 Jahre beträgt. Die Nutzung von Wildcards in Zertifikaten ist nicht erlaubt.
-
-	Wenn Sie ein Zertifikat nutzen möchten, das in keine dieser Kategorien fällt, nehmen Sie bitte mit uns unter hotline@aai.dfn.de Kontakt auf.

caa - gelöscht - Externe Bearbeitung (Unbekanntes Datum)

Anonymous (anonymous@undisclosed.example.com) — 2026-08-13T08:14:01+00:00

2018/06/01 11:00		aktuell
Zeile 1:		Zeile 1:
-	~~NOTOC~~
-	===== Fragen und Antworten zu CAA RRs =====

-	{{INLINETOC 3-4}}
-
-	===1. Was ist CAA?===
-
-	CAA (RFC 6844, Certification Authority Authorization) ist ein Mechanismus, bei dem im DNS hinterlegt werden kann, welche PKI für die Domain Zertifikate ausstellen darf. Die CAA Resource Records werden von allen im Browser verankerten PKIs, die sich an die Baseline Requirements des CA/Browser Forums halten, ausgewertet.
-
-	Weitere Informationen finden Sie auch in den folgenden Artikeln aus unserem Blog:
-
-	https://blog.pki.dfn.de/2017/03/rfc-6844-certification-authority-authorization-caa/\\
-	https://blog.pki.dfn.de/2017/09/caa-rrs-reihenfolge-im-dns/
-
-	===2. Wie sehen CAA RRs aus?===
-
-	CAA definiert drei Properties:
-
-	* issue enthält als Wert die Domain der PKI, die für die Domain, in der die CAA RRs definiert sind, Zertifikate ausstellen darf.
-	* issuewild wird wie issue gesetzt, wird aber für Wildcard-Zertifikate ausgewertet. Ist kein issuewild gesetzt, wird auch für Wildcard-Zertifikate issue ausgewertet
-	* iodef spezifiziert Kontaktadressen des Domain-Inhabers, unter denen Probleme oder Verletzungen der CAA-Policy gemeldet werden können. Hinweis: Die DFN-PKI verschickt aktuell keine automatischen iodef-Meldungen.
-
-	Ein Beispiel-Eintrag für die DFN-PKI:
-
-	<code>$ORIGIN hs-musterstadt.de
-	. CAA 0 issue "pki.dfn.de"</code>
-
-	===3. Können mehrere PKIs mit CAA authorisiert werden?===
-
-	Ja. Die issue- oder issuewild-Properties können mehrfach angegeben werden.
-
-	===4. Wie werden CAA RRs im DNS gesucht?===
-
-	Bei der Prüfung von CAA RRs suchen PKIs im DNS von links nach rechts nach CAA RRs. Sub-Domains können also die CAA-Policy der übergeordneten Domain überschreiben.
-
-	Siehe hierzu auch https://blog.pki.dfn.de/2017/09/caa-rrs-reihenfolge-im-dns/.
-
-	===5. Was sind gültige Werte für die DFN-PKI?===
-
-	Für die DFN-PKI ist folgender Wert zu setzen:
-
-	. CAA 0 issue "pki.dfn.de"
-
-	„dfn.de” wird ebenfalls akzeptiert.
-
-	===6. Wie werden DNS-Server konkret konfiguriert?===
-
-	Für bind >= 9.9.6 können CAA RRs direkt spezifiziert werden:
-
-	hs-musterstadt.de. IN CAA 0 issue "pki.dfn.de"
-
-	Für ältere bind-Versionen muss auf die RFC 3597-Darstellung zurückgegriffen werden:
-
-	hs-musterstadt.de. IN TYPE257 \# 17 00056973737565706B692E64666E2E6465
-
-	Für Windows Server 2016 muss ebenfalls RFC 3597 verwendet werden:
-
-	Add-DnsServerResourceRecord -Name hs.musterstadt.de -RecordData
-	00056973737565706b692e64666e2e6465 -Type 257 -ZoneName hs-musterstadt.de
-
-	===7. Zu welchem Zeitpunkt werden CAA RRs ausgewertet?===
-
-	CAA RRs werden unmittelbar vor der Ausstellung von Server-Zertifikaten ausgewertet. In der DFN-PKI wird dies über eine (selbstverständlich server-seitige) Prüfung beim Betätigen des Buttons „Genehmigen” realisiert. CAA RRs sind nicht dafür vorgesehen, nachträglich im zeitlichen Abstand zur Ausstellung eines Server-Zertifikats geprüft zu werden.

windows - gelöscht - Externe Bearbeitung (Unbekanntes Datum)

Anonymous (anonymous@undisclosed.example.com) — 2026-08-12T18:40:29+00:00

2018/05/31 13:48		aktuell
Zeile 1:		Zeile 1:
-	~~NOTOC~~
-	===== Fragen und Antworten zu Zertifikaten in Mozilla Anwendungen =====

-	{{INLINETOC 3-4}}
-
-	Bitte beachten Sie auch unsere FAQ zum Thema "Was ist beim Code-Signing in Microsoft Windows zu beachten?".
-
-	===1. Wie werden Zertifikate in Windows Systemen gespeichert?===
-
-	Auf Windows Systemen gibt es einen systemweiten Zertifikatspeicher, der von allen Microsoft Anwendungen benutzt wird. Wird diesem systemweiten Zertifikatspeicher ein neues Zertifikat hinzugefügt, so ist es für alle entsprechenden Anwendungen (z.B. Internet Explorer, Outlook Express/Windows Mail) verfügbar.
-
-	===2. Wo sind die Zertifikate zu finden?===
-
-	Auf Windows Systemen findet man die Zertifikate unter "Einstellungen" -> "Systemsteuerung" -> "Internetoptionen" und dort unter dem Karteireiter "Inhalte" -> "Zertifikate".
-
-	===3. Wie kann ich ein beliebiges Zertifikat (ohne privaten Schlüssel) exportieren?===
-
-	Öffnen Sie zunächst das Fenster mit den Zertifikaten und markieren Sie das Zertifikat, das Sie exportieren möchten. Drücken Sie nun den Knopf "Exportieren". Dadurch öffnet sich der "Zertifikatsexport-Assistent", der Sie durch die nächsten Schritte führt.
-
-	===4. Wie kann ich mein Zertifikat (mit meinem privaten Schlüssel) exportieren?===
-
-	Zu Ihren eigenen Zertifikaten besitzen Sie auch das zugehörige Schlüsselpaar und dabei insbesondere den geheim zu haltenden privaten Schlüssel, auf dessen Basis Sie sich z.B. im Internet ausweisen können. Es kann erforderlich sein, ein eigenes Zertifikat mit eigenem privaten Schlüssel zu exportieren, z.B. um dieses in einer anderen Anwendung zu nutzen oder um eine Sicherheitskopie zu erzeugen.
-
-	Öffnen Sie zunächst das Fenster mit den Zertifikaten und markieren Sie unter dem Karteireiter "Eigene Zertifikate" das Zertifikat, das Sie exportieren möchten. Drücken Sie den Knopf "Exportieren". Dadurch öffnet sich der "Zertifikatsexport-Assistent", der Sie durch die nächsten Schritte führt.
-
-	Wichtig: Sie müssen die Datei mit einem "Zertifikats-Backup-Passwort" versehen, da diese Datei auch Ihren privaten Schlüssel enthält.
-
-	===5. Wo ist das Telekom-Wurzelzertifikat unter Windows Vista/7?===
-
-	Unter Windows Vista/7 sind im Auslieferungszustand nur wenige Wurzelzertifikate enthalten. Auf Grund einer neuen Sicherheitsstrategie von Microsoft werden die Stammzertifizierungsstellen wie z.B. auch die "Deutsche Telekom Root CA2" bei Bedarf von Microsoft nachgeladen. Dieses Nachladen der Wurzelzertifikate erfolgt automatisch im Hintergrund, wenn z.B. eine Seite im Internet Explorer angewählt wird, die ein Zertifikat aus dem Sicherheitsniveau "Global" der DFN-PKI besitzt (wie z.B. diese Seite mit dem FAQ der DFN-PKI). Es erscheint dabei kein Hinweis, d.h. das Nachfragen bei Microsoft erfolgt transparent! Wenn das Wurzelzertifikat auf diesem Weg einmal automatisch installiert wurde, ist zukünftig keine weitere Verbindungsaufnahme mit Microsoft nötig und das Zertifikat ist lokal gespeichert.
-
-	===6. Können Zertifikatanträge im Internet Explorer signiert werden?===
-
-	Das Signieren von Zertifikatanträgen durch den TS mit dem Windows IE ist grundsätzlich nicht möglich, da entsprechende Mechanismen (Zugriff auf die CAPICOM Bibliothek) in Windows nicht durchgängig unterstützt werden. Statt dessen kann die [[https://www.pki.dfn.de/die-cas-im-dfn/ra-oberflaeche/\|grafische RA-Oberfläche]] der DFN-PKI genutzt werden, mit der sich die Aufgaben einer Registrierungsstelle einfacher durchführen lassen.