Benutzer:MathiasMahnke/CA Cert Renewal 2013: Unterschied zwischen den Versionen
Inhalt gelöscht Inhalt hinzugefügt
| Zeile 36: | Zeile 36: | ||
=== TODO Liste === |
=== TODO Liste === |
||
* DNS Eintrag erstellen |
* (erledigt) DNS Eintrag erstellen |
||
* Webserver konfigurieren |
* (erledigt) Webserver konfigurieren |
||
* Entscheidung über CA Parameter |
* Entscheidung über CA Parameter |
||
* Root-CA anlegen |
* Root-CA anlegen |
||
Version vom 21. Dezember 2013, 11:57 Uhr
Ziel
Im April 2015 läuft das Opennet CA Root-Zertifikat aus, es folgen einige Zertifikate aus der Anfangszeit, die dann ebenfalls nach und nach ablaufen.
- Erneuerung der Root CA
- Durchsicht nicht mehr benötigter Sub CAs
- Resign der benötigten Sub CA (CSR noch vorhanden?)
- Aufbau einer CRL Infrastruktur
- Parallelbetrieb alte und neue CA Struktur
- Austausch der CA Certs sowie der Client Zertifikate Schritt für Schritt
- Erzeugen einer Cert Webansicht
- ggf. Tool zur vereinfachten Erstellung u. Erneuerung der User/UGW Zertifikate per Web
- ggf. Anpassung OpenVPN Freigabe auf Basis von CRL oder nur zusätzlich mit CRL Check
Zeitplan
(Als Idee / Gedankenstütze)
- bis Sommer 2013 - Übersicht über Zertifikate schaffen
- bis Herbst 2013 - Entscheidung für neue CA Infrastruktur abstimmen und CA erzeugen
- Winter 2013/2014 - Austausch CAs und User Zertifikate
- Herbst 2014 - Deaktivierung alte CA Inftrastruktur testweise
- Frühjahr 2015 - Deaktivierung alte CA Inftrastruktur final
Status
Root CA
- neues Zertifikat notwendig, neuen CSR erstellen, Parameter? (Vorschlag: 4096 Bit, SHA-512, Laufzeit 20 Jahre)
- Kompatibilität zu OpenVPN und ggf. weiterer Software vorab prüfen
- Erzeugung und Bereitstellung CRL fuer Sub-CA unter http://ca.opennet-initiative.de/crl?
TODO Liste
- (erledigt) DNS Eintrag erstellen
- (erledigt) Webserver konfigurieren
- Entscheidung über CA Parameter
- Root-CA anlegen
- Sub-CA anlegen
- Einbettung in APs