Public-Key-Infrastrukturen - Kryptografie - page 526

■ PKI-Administrator : Der PKI-Administrator ist für das Tagesgeschäft in der

PKI-Administration zuständig. Dazu gehört beispielsweise die routinemäßige
Überwachung der Trust-Center-Komponenten, der Betrieb des Backup-Sys-
tems und die Wartung der Logdaten-Erhebung. Es kann innerhalb einer PKI
mehrere PKI-Administratoren geben, die sich die Arbeit teilen.

■ Registrator : Der Registrator ist für den Betrieb einer RA zuständig. Er nimmt

Zertifizierungsanträge entgegen und startet die Generierung eines Zertifikats.
Darüber hinaus ist ein Registrator meist auch in anderen Fällen der Ansprech-
partner des Anwenders, beispielsweise wenn es um das Sperren von Zertifika-
ten oder die Entgegennahme von Fragen geht.

■ Sperragent : Der Sperragent ist für den Betrieb der Sperrstelle zuständig und

hat dabei im Wesentlichen nur eine Aufgabe: Sperranträge von Anwendern
entgegenzunehmen und sie an die CA weiterzuleiten. Der Sperragent ist meist
ein Mitarbeiter einer Telefon-Hotline, der abgesehen vom Sperrstellenbetrieb
keine weiteren Aufgaben innerhalb der PKI hat.

■ PKI-Anwender : Eine wichtige Rolle spielen in einer PKI auch deren Anwen-

der. In unserem Fall sind dies Alice und Bob. In der Praxis bilden meist die
Mitarbeiter eines Unternehmens oder die Kunden eines öffentlichen Trust
Centers die Anwender.

Um Insiderangriffe zu vermeiden (Abschnitt 17.5), sollte in einem PKI-Rollenmo-
dell das Need-to-know-Prinzip (jede Rolle erhält nur diejenigen Rechte, die sie
benötigt) beachtet werden. Dies bedeutet zum Beispiel, dass ein Sperragent nicht
die Möglichkeit zur Generierung von Zertifikaten erhalten sollte. Eine strikte
Rollentrennung ist innerhalb einer PKI dagegen meist nicht notwendig. So kann
der PKI-Leiter durchaus auch CA-Operator sein, und ein CA-Operator kann
auch als Registrator aktiv werden. Eine Rollentrennung hat allenfalls dann einen
Sinn, wenn beispielsweise ein PKI-Auditor - dieser überprüft, ob der PKI-Betrieb
ordnungsgemäß abläuft - als weitere Rolle eingerichtet wird. Der PKI-Auditor
sollte aus naheliegenden Gründen keine Person sein, die bereits in anderer Funk-
tion in den PKI-Betrieb involviert ist.

26.5.3 Prozesse in einer PKI

Der Sinn einer PKI ist das Erstellen, Sperren und Verwalten digitaler Zertifikate.
Dies bezeichnet man auch als Zertifikatemanagement . Damit eine PKI diesen
Zweck erfüllen kann, müssen diverse Prozesse abgearbeitet werden können. Um
diese Prozesse geht es im Folgenden. Für die Kommunikation, die im Rahmen der
typischen PKI-Prozesse zwischen den Komponenten einer PKI stattfindet, stellt
der PKIX-Standard eine Familie von Protokollen zur Verfügung, die unter dem
Namen Certificate Management Protocols ( CMP ) zusammengefasst werden. Sie
werden in [RFC4210] beschrieben. Alle CMP-Protokolle verwenden einheitlich