So sperren Sie ein Zertifikat

Ein Systemzertifikat soll ab sofort nicht mehr gelten, etwa weil der Schlüssel kompromittiert ist oder das System außer Betrieb geht.

Ein Sperrauftrag nennt die ausstellende CA, die Seriennummer und den Grund. Der CA-Worker trägt die Sperrung ins Register ein und erzeugt sofort eine neue Sperrliste, die über zwei Wege die Verteilung erreicht. Fehlen Datenbank oder Verwaltung, sperrt eine berechtigte Person an der Konsole des Worker-Hosts.

Über die Verwaltung

1. Melden Sie sich mit einer Rolle an, die im Mandanten das Sperrrecht hat.
2. Erteilen Sie den Sperrauftrag mit ausstellender CA, Seriennummer und Sperrgrund. Zulässig sind die Bezeichner aus RFC 5280 Abschnitt 5.3.1, ohne removeFromCRL.
3. Der Worker prüft, ob das Zertifikat im Register steht und zur CA und zum Mandanten gehört, trägt die Sperrung ein und erzeugt die neue Sperrliste mit der nächsten CRL-Nummer.

Durch den Inhaber über ein Protokoll

1. Senden Sie den Sperrauftrag über das Protokoll mit einem Nachweis über den Schlüssel des Zertifikats. Der Worker prüft ihn mit dem Schlüssel aus dem Register.

Ohne Datenbank und Verwaltung (Notsperrung)

1. Verschaffen Sie sich physischen oder abgesicherten Fernzugang zum Worker-Host.
2. Sperren Sie an der Konsole. Der Sperrauftrag geht direkt ins Register; die neue Sperrliste erreicht die Verteilung über den zweiten Weg.

Ergebnis. Die Sperrung gilt ab dem Zeitpunkt des Registereintrags. Gegenstellen erfahren sie mit dem nächsten Laden der Sperrliste, in der Vorgabe spätestens nach 6 Stunden.

• Eine Sperrung ist endgültig; eine spätere Aufhebung ist nicht vorgesehen.
• Ein wiederholter Sperrauftrag ändert nichts. Ein Sperrauftrag für ein noch nicht ausgestelltes Zertifikat wartet oder läuft ab.
• Eine CA wird nie über diesen Weg gesperrt, sondern nur in einer Zeremonie an der Wurzel; siehe So reagieren Sie auf einen kompromittierten CA-Schlüssel.
• Üben Sie die Notsperrung: Der Notfalltest „Ausfall der Datenbank“ prüft sie mindestens jährlich.
• Soll ein Partner insgesamt keine Verbindung mehr erhalten, widerrufen Sie die Beziehung. Eine Sperrung betrifft ein einzelnes Zertifikat.

• PKI und Zertifikatslebenszyklus – Regeln der Sperrung und Statusverteilung
• Betrieb und Notfall – Notsperrung und Notfalltests
• Bestehende Verbindungen zu einem Partner enden plötzlich