Benutzer:MathiasMahnke/CA Cert Renewal 2013
Ziel
Im April 2015 läuft das Opennet CA Root-Zertifikat aus, es folgen einige Zertifikate aus der Anfangszeit, die dann ebenfalls nach und nach ablaufen.
- Erneuerung der Root CA
- Durchsicht nicht mehr benötigter Sub CAs
- Resign der benötigten Sub CA (CSR noch vorhanden?)
- Aufbau einer CRL Infrastruktur
- Parallelbetrieb alte und neue CA Struktur
- Austausch der CA Certs sowie der Client Zertifikate Schritt für Schritt
- Erzeugen einer Cert Webansicht
- ggf. Tool zur vereinfachten Erstellung u. Erneuerung der User/UGW Zertifikate per Web
- ggf. Anpassung OpenVPN Freigabe auf Basis von CRL oder nur zusätzlich mit CRL Check
Zeitplan
(Als Idee / Gedankenstütze)
- bis Sommer 2013 - Übersicht über Zertifikate schaffen
- bis Herbst 2013 - Entscheidung für neue CA Infrastruktur abstimmen und CA erzeugen
- Winter 2013/2014 - Austausch CAs und User Zertifikate
- Herbst 2014 - Deaktivierung alte CA Inftrastruktur testweise
- Frühjahr 2015 - Deaktivierung alte CA Inftrastruktur final
Status
Neue Root CA
Aufbau:
- Opennet Root CA opennet-root.ca.on, Laufzeit 20 Jahre, 4096 bit RSA Key, SHA-512 Signatur, Self Signed
- Opennet VPN UGW CA opennet-vpn-ugw.ca.on, Laufzeit 10 Jahre, 2048 bit RSA Key, SHA-256 Signatur, Signed by Opennet Root CA
- Opennet VPN User CA opennet-vpn-user.ca.on, Laufzeit 10 Jahre, 2048 bit RSA Key, SHA-256 Signatur, Signed by Opennet Root CA
Details:
| CA | opennet-root.ca.on |
|---|---|
| Key | 4096 bit, RSA, SHA-512 |
| DN | C=DE, ST=Mecklenburg-Vorpommern, O=Opennet Initiative e.V., OU=Opennet CA, CN=opennet-root.ca.on, emailAddress=admin@opennet-initiative.de |
| Usage | keyUsage=keyCertSign, cRLSign, subjectKeyIdentifier=hash, basicConstraints=critical,CA:TRUE |
| CRL | fullname=URI:http://ca.opennet-initiative.de/root.crl |
| Ext | nsComment=Opennet Root CA, nsCaPolicyUrl=http://ca.opennet-initiative.de/, nsCaRevocationUrl=http://ca.opennet-initiative.de/root.crl, nsRevocationUrl=http://ca.opennet-initiative.de/root.crl, nsBaseUrl=http://ca.opennet-initiative.de/, nsCertType=sslCA, emailCA, objCA |
| Sign | Self Signed, RSA, SHA-512, valid 2013/12/22 until 2033/12/22 |
| Hashes | Cert Hash 9106e34c X.509 Subject Key Identifier FA:DA:A6:25:24:2C:20:E7:E5:A3:5F:2F:9F:6B:C1:EA:19:1A:F8:C1 MD5 Fingerprint 01:08:BA:41:AE:33:49:80:ED:44:CE:80:94:05:55:2A SHA1 Fingerprint B3:74:2A:F7:0C:EE:90:BC:9F:DE:4D:2D:F9:4F:16:E6:07:F3:DD:2B |
TODO Liste
- (erledigt) DNS Eintrag erstellen
- (erledigt) Webserver konfigurieren
- Entscheidung über CA Parameter
- Root-CA anlegen
- Sub-CA anlegen
- Einbettung in APs