PKI

Im folgenden finden Sie Anweisungen zum Anfordern von Zertifikaten mit gängigen Web-Browsern sowie Anweisungen für die Verwendung dieser Zertifikate. Die Anweisungen für die Zertifizierung beziehen sich auf e-mail (S / MIME) Zertifikate. Das Erfordernis der anderen Arten von Zertifikaten ist jedoch weitgehend ähnlich konzipiert. Wenn Sie Vorschläge für weitere Anweisungen oder weitere Fragen haben, schicken Sie eine E-mail an support@gwdg.de oder nutzen Sie das Support-Formular der GWDG.

Neue Zertifikate erhalten Sie in Zukunft über den Dienst GÉANT TCS. Bitte wenden Sie sich für Informationen zu konkreten Beantragungsverfahren an Ihren lokalen Teilnehmerservice Ihrer Einrichtung. Für Nutzerzertifikate für die Signierung und/oder optionale Verschlüsselung von E-Mails ist der Beantragungs-Weg der GÉANT TCS PKI in den allermeisten Fällen der richtige Weg. In Zusammenarbeit mit Ihrem lokalen Teilnehmerservice-Mitarbeitenden Ihrer Einrichtung bzw. RA erstellen Sie sich ein Nutzerzertifikat. Nähere Informationen finden Sie auch in den unter “Detaillierte Beschreibung der E-Mail-Verschlüsselung mit X.509-Zertifikaten” Ihnen zur Verfügung stehenden GWDG Nachrichtenartikeln.

Zur Beantragung eines E-Mail-Zertifikats aus der GÉANT TCS PKI, die im Mandanten des DFN der GÉANT TCS PKI verankert ist, befolgen Sie bitte die nachstehenden Informationen.

Klicken Sie auf den URL für den HARICA Certificate Mananger.

Anmeldung mittels SSO-Anmeldung durch Klick auf die Schaltfläche “Academic Login” und der Angabe Ihrer dienstlichen E-Mail-Adresse und dem zugehörigen Passwort Ihrer Heimat-Organisation.

oder wenn es dabei Schwierigkeiten gibt…

Registrieren Sie ihre dienstliche E-Mail-Adresse mit einem selbstgewählten Passwort unter diesem URL HARICA Certificate Mananger Signup.

Nach erfolgreicher Anmeldung wird das Dashboard angezeigt. Links in der Navigation bitte den Menüpunkt EMail anklicken.

Als Zertifikatstyp Email-only auswählen und die Schritte der Beantragung durchlaufen. Dieser Zertifikats-Typ ist die derzeitige Empfehlung vom DFN.

Nach erfolgter Beantragung wird eine Zertifikat-Datei im Download-Ordner des verwendeten Web-Browsers heruntergeladen.

Die Weiterverarbeitung dieser Datei mit der Dateiendung .p12 entnehmen Sie bitte diesem Abschnitt.

Bei Fragen senden Sie eine E-mail an support@gwdg.de oder nutzen Sie das Support-Formular der GWDG.

Für weiterführende Schritte und eine detaillierte Anweisungen zur Installation und Nutzung des Zertifikats (die Datei mit der Dateiendung .p12 im Download-Verzeichnis des genutzten Webbrowsers) in verschiedene E-Mail-Clients lesen Sie bitte die Informationen in folgenden Dokumenten.

Zur Beantragung eines Server-Zertifikats aus der GÉANT TCS PKI, die im Mandanten des DFN der GÉANT TCS PKI verankert ist, befolgen Sie bitte die nachstehenden Informationen.

Klicken Sie auf den URL für den HARICA Certificate Mananger.

Anmeldung mittels SSO-Anmeldung durch Klick auf die Schaltfläche “Academic Login” und der Angabe Ihrer dienstlichen E-Mail-Adresse und dem zugehörigen Passwort Ihrer Heimat-Organisation.

oder wenn es dabei Schwierigkeiten gibt…

Registrieren Sie ihre dienstliche E-Mail-Adresse mit einem selbstgewählten Passwort unter diesem URL HARICA Certificate Mananger Signup.

Nach erfolgreicher Anmeldung wird das Dashboard angezeigt. Links in der Navigation bitte den Menüpunkt Server anklicken und durchlaufen Sie die Schritte der Beantragung.

Beim Server-Zertifikattyp können Sie zwischen Domain-only (DV) oder For enterprises or organizations (OV) wählen.

Nach der Rückkehr zum Dashboard ist unter dem Abschnitt Pending Certificates der Zertifikatantrag zu sehen, der noch auf die Bearbeitung und Genehmigung wartet. Bitte auf die drei senkrechten Punkte klicken und Order details anklicken. Bitte die kompletten Order details-Informationen markieren und mittels Copy-And-Paste als E-Mail-Text in die E-Mail einfügen, die durch Klick auf diesen Link aufgemacht wird.

Nach erfolgter Ausstellung kann im Dashboard unter dem Abschnitt Valid Certificates das Zertifikat nach Klick auf das Festplattensymbol mit Pfeil nach unten heruntergeladen werden. In dem Dialog bitte je einen Klick auf die Schaltflächen PEM und ** PEM bundle**.

Das Zertifikat kann entweder mit Hilfe von OpenSSL-Befehlen aus den heruntergeladenen Bestandteilen zusammengebaut werden oder unter Windows mit Hilfe des Hilfsprogramms pem2p12.exe, dass Sie von der folgende HARICA-Seite herunterladen können.

Die Weiterverarbeitung dieser Datei mit der Dateiendung .p12 entnehmen Sie bitte diesem Abschnitt.

Bei Fragen senden Sie eine E-mail an support@gwdg.de oder nutzen Sie das Support-Formular der GWDG.

Einfaches Bash-Skript…

createcsr.sh

openssl req -newkey rsa:4096 -sha256 -keyout priv-key.pem -out certreq.pem

• Script createscr.sh herunterladen.
• Rechte ändern

  chmod 744 createcsr.sh

• Script wie folgt starten

  ./createcsr.sh

Einfaches PowerShell-Skript…

createcsr.ps1

openssl req -newkey rsa:4096 -sha256 -keyout priv-key.pem -out certreq.pem

Einfaches Batch-Skript…

createcsr.bat

openssl req -newkey rsa:4096 -sha256 -keyout priv-key.pem -out certreq.pem

Danach verfahren Sie weiter mit der Auswahl Registrierungs-Autorität (RA) und laden die Certificate Signing Request (CSR) Datei in dem angebotenen Webformular Ihrer Einrichtung hoch, dass Sie über den Klick auf “hochladen für Server” erreichen.

Einfaches Bash-Skript…

createcsr.sh

openssl req -config example.cnf -newkey rsa:4096 -sha256 -nodes -keyout example.key -out example-csr.pem

• Script createscr.sh herunterladen.
• Rechte ändern

  chmod 744 createcsr.sh

• Script wie folgt starten

  ./createcsr.sh

Einfaches PowerShell-Skript…

createcsr.ps1

openssl req -config example.cnf -newkey rsa:4096 -sha256 -nodes -keyout example.key -out example-csr.pem

Einfaches Batch-Skript…

createcsr.bat

openssl req -config example.cnf -newkey rsa:4096 -sha256 -nodes -keyout example.key -out example-csr.pem

Danach verfahren Sie weiter mit der Auswahl Registrierungs-Autorität (RA) und laden die Certificate Signing Request (CSR) Datei in dem angebotenen Webformular Ihrer Einrichtung hoch, dass Sie über den Klick auf “hochladen für Server” erreichen.

Das Wort example ist durch einen gültigen Servernamen und die E-Mail-Adresse noreply@{mpg|uni-goettingen|gwdg}.de durch eine gültige zu ersetzen.

example.cnf

HOME            = .
RANDFILE        = $ENV::HOME/.rnd
 
####################################################################
[ req ]
default_bits        = 4096
default_keyfile     = example.key
distinguished_name  = server_distinguished_name
req_extensions      = server_req_extensions
string_mask         = utf8only
 
####################################################################
[ server_distinguished_name ]
countryName         = Country Name (2 letter code)
countryName_default     = DE
 
stateOrProvinceName     = State or Province Name (full name)
stateOrProvinceName_default = Niedersachsen
 
localityName            = Locality Name (eg, city)
localityName_default        = Goettingen
 
organizationName            = Organization Name (eg, company)
organizationName_default    = Max-Planck-Gesellschaft
 
# Den Namen Ihrer der CA untergeordneten RA können Sie hier entnehmen 
# https://info.gwdg.de/docs/doku.php?id=de:services:it_security:pki:gwdgras
# und ersetzen damit den Wert PKI
organizationalUnitName	= Organizational Unit Name (eg, your Max-Planck-Institute)
organizationalUnitName_default	= PKI
 
 
commonName          = Common Name (e.g. server FQDN or YOUR name)
commonName_default      = example.mpg.de
 
emailAddress            = Email Address
emailAddress_default        = noreply@mpg.de
 
####################################################################
[ server_req_extensions ]
 
subjectKeyIdentifier        = hash
basicConstraints        = CA:FALSE
keyUsage            = digitalSignature, keyEncipherment
subjectAltName          = @alternate_names
nsComment           = "OpenSSL Generated Certificate"
 
####################################################################
[ alternate_names ]
 
DNS.1       = example-san-1.mpg.de
DNS.2       = example-san-2.mpg.de

Das Wort example ist durch einen gültigen Servernamen und die E-Mail-Adresse noreply@{mpg|uni-goettingen|gwdg}.de durch eine gültige zu ersetzen.

example.cnf

HOME            = .
RANDFILE        = $ENV::HOME/.rnd
 
####################################################################
[ req ]
default_bits        = 4096
default_keyfile     = example.key
distinguished_name  = server_distinguished_name
req_extensions      = server_req_extensions
string_mask         = utf8only
 
####################################################################
[ server_distinguished_name ]
countryName         = Country Name (2 letter code)
countryName_default     = DE
 
stateOrProvinceName     = State or Province Name (full name)
stateOrProvinceName_default = Niedersachsen
 
localityName            = Locality Name (eg, city)
localityName_default        = Goettingen
 
organizationName            = Organization Name (eg, company)
organizationName_default    = Georg-August-Universitaet Goettingen
 
# Bitte bei den übernächsten beiden Zeilen das Kommentarzeichen entfernen. Den Namen der CA untergeordneten RA 
# können Sie hier entnehmen https://info.gwdg.de/docs/doku.php?id=de:services:it_security:pki:uniras und ersetzen damit den Wert PKI.
#organizationalUnitName	= Organizational Unit Name (eg, your Institute name in the Uni-Goettingen-CA)
#organizationalUnitName_default	= PKI
 
 
commonName          = Common Name (e.g. server FQDN or YOUR name)
commonName_default      = example.uni-goettingen.de
 
emailAddress            = Email Address
emailAddress_default        = noreply@uni-goettingen.de
 
####################################################################
[ server_req_extensions ]
 
subjectKeyIdentifier        = hash
basicConstraints        = CA:FALSE
keyUsage            = digitalSignature, keyEncipherment
subjectAltName          = @alternate_names
nsComment           = "OpenSSL Generated Certificate"
 
####################################################################
[ alternate_names ]
 
DNS.1       = example-san-1.uni-goettingen.de
DNS.2       = example-san-2.uni-goettingen.de

Das Wort example ist durch einen gültigen Servernamen und die E-Mail-Adresse noreply@{mpg|uni-goettingen|gwdg}.de durch eine gültige zu ersetzen.

example.cnf

HOME            = .
RANDFILE        = $ENV::HOME/.rnd
 
####################################################################
[ req ]
default_bits        = 4096
default_keyfile     = example.key
distinguished_name  = server_distinguished_name
req_extensions      = server_req_extensions
string_mask         = utf8only
 
####################################################################
[ server_distinguished_name ]
countryName         = Country Name (2 letter code)
countryName_default     = DE
 
stateOrProvinceName     = State or Province Name (full name)
stateOrProvinceName_default = NIEDERSACHSEN
 
localityName            = Locality Name (eg, city)
localityName_default        = GOETTINGEN
 
organizationName            = Organization Name (eg, company)
organizationName_default    = Gesellschaft fuer wissenschaftliche Datenverarbeitung
 
# Bitte bei den übernächsten beiden Zeilen das Kommentarzeichen entfernen. Den Namen der CA untergeordneten RA 
# können Sie hier entnehmen https://info.gwdg.de/docs/doku.php?id=de:services:it_security:pki:gwdgras und ersetzen damit den Wert PKI.
#organizationalUnitName	= Organizational Unit Name (eg, your Institute name in the Uni-Goettingen-CA)
#organizationalUnitName_default	= PKI
 
commonName          = Common Name (e.g. server FQDN or YOUR name)
commonName_default      = example.gwdg.de
 
emailAddress            = Email Address
emailAddress_default        = noreply@gwdg.de
 
####################################################################
[ server_req_extensions ]
 
subjectKeyIdentifier        = hash
basicConstraints        = CA:FALSE
keyUsage            = digitalSignature, keyEncipherment
subjectAltName          = @alternate_names
nsComment           = "OpenSSL Generated Certificate"
 
####################################################################
[ alternate_names ]
 
DNS.1       = example-san-1.gwdg.de
DNS.2       = example-san-2.gwdg.de

Eine Sammlung wichtiger OpenSSL-Befehle für Server-Zertifikate

openssl rsa -in example.key -out example.np.key

openssl pkcs12 -export -out example.pfx -inkey example.key -in example.pem