So geben Sie einen Zertifikatsauftrag frei

Ein Auftrag einer manuellen Profilklasse wartet auf Ihre Freigabe, und Sie wollen sicher sein, dass Sie genau das freigeben, was ausgestellt wird.

Eine Freigabe ist keine angemeldete Bestätigung, sondern Ihre Signatur über den Hash des Auftrags. Die Verwaltungsanwendung zeigt den Inhalt aus genau den Bytes an, die sie signiert. Die Verwaltungs-API speichert die Signatur nur; geprüft wird sie vom CA-Worker gegen das Regelwerk.

1. Öffnen Sie den Auftrag in der Verwaltungsanwendung, sobald die Benachrichtigung „Freigabe wartet“ eintrifft. Sie geht an die Freigeber der Profilklasse.
2. Prüfen Sie den angezeigten Inhalt: Subject und SAN-Liste, öffentlicher Schlüssel, Profilklasse, ausstellende CA, Erweiterungen und Laufzeit. Die Anwendung hat die Auftragsbytes unverändert abgerufen, den SHA-256 gebildet, mit der Kennung des Auftrags verglichen und zeigt den Inhalt aus genau diesen Bytes an.
3. Geben Sie frei. Die Anwendung signiert den Hash mit Ihrem Freigabe-Schlüssel; die Chipkarte oder der Sicherheitsschlüssel mit PIV-Funktion verlangt dafür Ihre PIN.
4. Die Anwendung reicht die Signatur über die Verwaltungs-API ein. Der Auftrag bleibt im Zustand pending_approval, bis alle verlangten Freigaben vorliegen.
5. Lesen Sie den Auftrag erneut, statt auf eine Antwort zu warten. Den Übergang nach approval_complete setzt der CA-Worker, weil nur er die Freigaberegeln seines Regelwerks kennt.

Ergebnis. Der Auftrag erreicht issued oder rejected; der Antragsteller erhält die Benachrichtigung „Freigabe abgeschlossen, Zertifikat ausgestellt“. Im Register stehen Ihre Signatur mit Kennung des Schlüssels, der Auftragshash und die Fassung des Regelwerks.

• Ein Auftrag verfällt nach seiner Frist, in der Vorgabe nach 7 Tagen.
• Eine Freigabe für einen stornierten Auftrag wird mit 409 abgewiesen.
• Ein Auftrag kann sich keine mildere Freigaberegel aussuchen: Es gilt die für seine Profilklasse vorgeschriebene.
• Schadsoftware auf dem Arbeitsplatz kann die Anzeige eines Auftrags verfälschen. Dagegen hilft eine zweite, unabhängige Freigabe, wie sie sensible Klassen verlangen.

• PKI und Zertifikatslebenszyklus – Zustände eines Auftrags und Prüfungen des Workers
• Schnittstellen und Integration – Ablauf der Freigabe über die API
• Personen und Zugriff – Rolle Freigeber und Freigabe-Schlüssel
• Ein Befehl wird mit 409 abgewiesen