Deutschsprachige CAcert Support Liste

[<ulrich AT cacert.org>]

Hi,

> -----Ursprüngliche Nachricht-----
> Von: Jochen Schmitt 
> [mailto:Jochen AT herr-schmitt.de]
>  
> Gesendet: Samstag, 6. November 2010 21:32

>  Am 06.11.10 19:22, schrieb Mario Lipinski:
>> * Neue Roots und Escrow: Zusammenstellung eines Teams und Erarbeitung
>>     der Prozeduren für die Erstellung und Anschließende Aufbewahrung
der
>>     neuen Root-Schlüssel, sowie anschließende Durchführung.
> Frage: Um war soll es bei diesem Punkt gehen. Hört sich in meinen OHren 
> danach
> an, als ob Standardverfahren gesucht werden, wie mit dem Rootzertifikat 
> umgegenben
> werden soll, und was im Falle einer Verlustes oder Beschädigung 
> desselben zu geschehen
> hat.

New Roots and Escrow sind 2 Teilprojekte, die aber als eins betrachtet
werden muessen. Das eine macht ohne das andere keinen Sinn ...

New Roots - neue Root Zertifikate erzeugen, die fuer die naechsten
            30 Jahre Gueltigkeit haben
Roots Escrow - ein Sicherungsverfahren, mit dem die Roots
               wieder hergestellt werden koennen, falls es irgendwann
               einmal zu einem Disaster Fall beim kritischen System
               kommen sollte.

Nachdem beim letzten Audit die Roots als Audit fail eingestuft
wurden, wurde Ende 2008 schon einmal eine "New Roots Ceremony"
durchgefuehrt. Diese Root Keys wurden dann aber im Verlauf
der nachfolgenden 3-5 Monate so untergebracht, das ein
Audit Review zum Audit fail fuehrte.
Soll heissen: alles auf Null zurueck. Von vorne beginnen.
Das "New Roots Ceremony" Verfahren kann wohl recycled werden.
Das ist auch nicht so das Problem. Problematischer ist
das Roots Escrow. Welches Verfahren kommt zur Anwendung
um die Roots zu sichern. Mit einem Backup auf Tape wie
in ueblichen Datensicherungsverfahren ist es hierbei
nicht getan.
Unter
https://wiki.cacert.org/Roots/EscrowAndRecovery#Proposals
sind moegliche Verfahren beschrieben.
Nur muessen die auch fuer die CAcert (human) resources
passen, da das Sicherungsverfahren die naechsten
30 Jahre (!) ueberdauern soll ....
DNSSEC hat solch eine Prozedur gerade dieses Jahr
im Juni hinter sich gebracht. Einer der Vorraussetzungen
fuer das Multimember Escrow Verfahren bei DNSSEC:
die Keyholder muessen bei Request bis zu 4 mal im
Jahr nach USA an einen bestimmten Ort reisen, um
die Wiederherstellung der Roots sicherzustellen.
Fuer die derzeitigen Moeglichkeiten von CAcert
illusorisch. Also brauchen wir ein anderes Verfahren,
mit dem wir mit weniger Resourcen auskommen.
Moeglicherweise eine Kombination mehrerer Verfahren ?!?

> mfg: Jochen Schmitt

regards, uli   ;-)

Attachment: smime.p7s
Description: S/MIME cryptographic signature