PKI

Im folgenden finden Sie Anweisungen zum Anfordern von Zertifikaten mit gängigen Web-Browsern sowie Anweisungen für die Verwendung dieser Zertifikate. Die Anweisungen für die Zertifizierung beziehen sich auf e-mail (S / MIME) Zertifikate. Das Erfordernis der anderen Arten von Zertifikaten ist jedoch weitgehend ähnlich konzipiert. Wenn Sie Vorschläge für weitere Anweisungen oder weitere Fragen haben, schicken Sie eine E-mail an support@gwdg.de oder nutzen Sie das Support-Formular der GWDG.

Beantragen Sie ihr persönliches E-Mail-Zertifikat mit einem Webbrowser.

Startseite des Browser Speichers wird angezeigt. Bitte auf den Link „Zertifikate“ klicken.

Wenn noch kein Browser Soeicher für diesen Web Browser angelegt worden ist, muss ein Kennwort zum Schutz des Browser Speichers eingegeben werden. Mit Klick auf die Schaltfläche „Weiter“ wird der vorhandene Broweser Speicher angezeigt.

Ist der Browserspeicher angelegt, wird nach Eingabe des vorher vergebenen Kennworts und einem Klick auf die Schaltfläche „Weiter“ der Browserspeicher angezeigt.

Im Browser Speicher können ausgestellte Zertifikate verwaltet werden oder neue beantragt werden.

Mit Klick aud den Link „Neues Zertifikat beantragen“ wird ein neues Nutzer-Zertifikat beantragt und mit Klick auf die Schaltfläche „Weiter“ eingereicht.

Mit dem Klick auf „Zertifikatantrag anzeigen“ die PDF-Datei in einem PDF-Programm öffnen, ausdrucken und eigenhändig unterschreiben.

Mit dem von Ihnen unterschriebenen Antrag gehen Sie bitte zum zuständigen RA-Operator in Ihrem Institut.

Für die persönliche Identifizierung halten Sie bitte Ihren gültigen Personalausweis bereit.

Nach der erfolgten persönlichen Identifizierung und Prüfung des Zertifikat-Antrag wird der zuständige RA-Operator Ihren Zertifikat-Antrag ausstellen.

Sie erhalten nach der Ausstellung Ihres persönlichen E-Mail-Zertifikats eine E-Mail mit Ihrem Zertifikat im Anhang.

Drei Schritte zum Antrag:

1.

2.

3.

Am Ende der Beantragung laden Sie bitte die erzeugte PDF-Datei herunter.

Bitte unterscheiben Sie eigenhändig den ausgedruckten Zertifikat-Antrag.

Mit dem von Ihnen unterschriebenen Antrag gehen Sie bitte zum zuständigen RA-Operator in Ihrem Institut.

Für die persönliche Identifizierung halten Sie bitte Ihren gültigen Personalausweis bereit.

Nach der erfolgten persönlichen Identifizierung und Prüfung des Zertifikat-Antrag wird der zuständige RA-Operator Ihren Zertifikat-Antrag ausstellen.

Sie erhalten nach der Ausstellung Ihres persönlichen E-Mail-Zertifikats eine E-Mail mit Ihrem Zertifikat im Anhang.

OpenSSL mit folgenden Parametern aufrufen

Einfaches Bash-Skript…

createcsr.sh

openssl req -newkey rsa:2048 -sha256 -keyout priv-key.pem -out certreq.pem

• Script createscr.sh herunterladen.
• Rechte ändern

  chmod 744 createcsr.sh

• Script wie folgt starten

  ./createcsr.sh

Einfaches PowerShell-Skript…

createcsr.ps1

openssl req -newkey rsa:2048 -sha256 -keyout priv-key.pem -out certreq.pem

Einfaches Batch-Skript…

createcsr.bat

openssl req -newkey rsa:2048 -sha256 -keyout priv-key.pem -out certreq.pem

Danach verfahren Sie weiter mit der Auswahl Registrierungs-Autorität (RA) und laden die Certificate Signing Request (CSR) Datei in dem angebotenen Webformular Ihrer Einrichtung hoch, dass Sie über den Klick auf „hochladen für Server“ erreichen.

OpenSSL mit folgenden Parametern aufrufen

Einfaches Bash-Skript…

createcsr.sh

openssl req -config example.cnf -newkey rsa:2048 -sha256 -nodes -keyout example.key -out example-csr.pem

• Script createscr.sh herunterladen.
• Rechte ändern

  chmod 744 createcsr.sh

• Script wie folgt starten

  ./createcsr.sh

Einfaches PowerShell-Skript…

createcsr.ps1

openssl req -config example.cnf -newkey rsa:2048 -sha256 -nodes -keyout example.key -out example-csr.pem

Einfaches Batch-Skript…

createcsr.bat

openssl req -config example.cnf -newkey rsa:2048 -sha256 -nodes -keyout example.key -out example-csr.pem

Danach verfahren Sie weiter mit der Auswahl Registrierungs-Autorität (RA) und laden die Certificate Signing Request (CSR) Datei in dem angebotenen Webformular Ihrer Einrichtung hoch, dass Sie über den Klick auf „hochladen für Server“ erreichen.

Bitte das Wort example durch den Servernamen und die Email-Adresse noreply@{mpg|uni-giettingen|gwdg}.de durch eine(n) gültige(n) ersetzen.

example.cnf

HOME            = .
RANDFILE        = $ENV::HOME/.rnd
 
####################################################################
[ req ]
default_bits        = 2048
default_keyfile     = example.key
distinguished_name  = server_distinguished_name
req_extensions      = server_req_extensions
string_mask         = utf8only
 
####################################################################
[ server_distinguished_name ]
countryName         = Country Name (2 letter code)
countryName_default     = DE
 
stateOrProvinceName     = State or Province Name (full name)
stateOrProvinceName_default = Niedersachsen
 
localityName            = Locality Name (eg, city)
localityName_default        = Goettingen
 
organizationName            = Organization Name (eg, company)
organizationName_default    = Max-Planck-Gesellschaft
 
 
organizationalUnitName	= Organizational Unit Name (eg, your Max-Planck-Institute)
organizationalUnitName_default	= PKI
 
 
commonName          = Common Name (e.g. server FQDN or YOUR name)
commonName_default      = example.mpg.de
 
emailAddress            = Email Address
emailAddress_default        = noreply@mpg.de
 
####################################################################
[ server_req_extensions ]
 
subjectKeyIdentifier        = hash
basicConstraints        = CA:FALSE
keyUsage            = digitalSignature, keyEncipherment
subjectAltName          = @alternate_names
nsComment           = "OpenSSL Generated Certificate"
 
####################################################################
[ alternate_names ]
 
DNS.1       = example-san-1.mpg.de
DNS.2       = example-san-2.mpg.de

Bitte das Wort example durch den Servernamen und die Email-Adresse noreply@{mpg|uni-giettingen|gwdg}.de durch eine(n) gültige(n) ersetzen.

example.cnf

HOME            = .
RANDFILE        = $ENV::HOME/.rnd
 
####################################################################
[ req ]
default_bits        = 2048
default_keyfile     = example.key
distinguished_name  = server_distinguished_name
req_extensions      = server_req_extensions
string_mask         = utf8only
 
####################################################################
[ server_distinguished_name ]
countryName         = Country Name (2 letter code)
countryName_default     = DE
 
stateOrProvinceName     = State or Province Name (full name)
stateOrProvinceName_default = Niedersachsen
 
localityName            = Locality Name (eg, city)
localityName_default        = Goettingen
 
organizationName            = Organization Name (eg, company)
organizationName_default    = Georg-August-Universitaet Goettingen
 
commonName          = Common Name (e.g. server FQDN or YOUR name)
commonName_default      = example.uni-goettingen.de
 
emailAddress            = Email Address
emailAddress_default        = noreply@uni-goettingen.de
 
####################################################################
[ server_req_extensions ]
 
subjectKeyIdentifier        = hash
basicConstraints        = CA:FALSE
keyUsage            = digitalSignature, keyEncipherment
subjectAltName          = @alternate_names
nsComment           = "OpenSSL Generated Certificate"
 
####################################################################
[ alternate_names ]
 
DNS.1       = example-san-1.uni-goettingen.de
DNS.2       = example-san-2.uni-goettingen.de

Bitte das Wort example durch den Servernamen und die Email-Adresse noreply@{mpg|uni-giettingen|gwdg}.de durch eine(n) gültige(n) ersetzen.

example.cnf

HOME            = .
RANDFILE        = $ENV::HOME/.rnd
 
####################################################################
[ req ]
default_bits        = 2048
default_keyfile     = example.key
distinguished_name  = server_distinguished_name
req_extensions      = server_req_extensions
string_mask         = utf8only
 
####################################################################
[ server_distinguished_name ]
countryName         = Country Name (2 letter code)
countryName_default     = DE
 
stateOrProvinceName     = State or Province Name (full name)
stateOrProvinceName_default = NIEDERSACHSEN
 
localityName            = Locality Name (eg, city)
localityName_default        = GOETTINGEN
 
organizationName            = Organization Name (eg, company)
organizationName_default    = Gesellschaft fuer wissenschaftliche Datenverarbeitung
 
commonName          = Common Name (e.g. server FQDN or YOUR name)
commonName_default      = example.gwdg.de
 
emailAddress            = Email Address
emailAddress_default        = noreply@gwdg.de
 
####################################################################
[ server_req_extensions ]
 
subjectKeyIdentifier        = hash
basicConstraints        = CA:FALSE
keyUsage            = digitalSignature, keyEncipherment
subjectAltName          = @alternate_names
nsComment           = "OpenSSL Generated Certificate"
 
####################################################################
[ alternate_names ]
 
DNS.1       = example-san-1.gwdg.de
DNS.2       = example-san-2.gwdg.de

Eine Sammlung wichtiger OpenSSL-Befehle für Server-Zertifikate

openssl rsa -in example.key -out example.np.key

openssl pkcs12 -export -out example.pfx -inkey example.key -in example.pem