dani
Goto Top

Eigene SubCA bestätigen lassen

Guten Abend zusammen,
wir spielen mit dem Gedanken, eine neue Public-Key-Infrastrukur aufzubauen. Aktuell betreiben wir eine eigene RootCA mit einer SubCA. Der FQDN unseres Windows AD lautet yyy.zzz.de. Nun steht die Idee im Raum eine SubCA zu installieren/konfigurieren und von einer externen RootCA bestätigen zu lassen.

Hat sich jemand mit dieser Thematik schon beschäftigt und kann Erfahrungswerte posten?
Könnt ihr einen Anbieter für das Vorhaben empfehlen?


Gruß & schönes Wochenende,
Dani

Content-ID: 243430

Url: https://administrator.de/contentid/243430

Printed on: December 2, 2024 at 19:12 o'clock

colinardo
colinardo Jul 12, 2014 updated at 13:24:32 (UTC)
Goto Top
Hallo Dani,
wollt ihr euch das wirklich antun, das wird nicht billig und geht schnell in den 6stelligen Bereich. Schon die ganzen Vorschriften für Subordinate CAs der RootCAs bezüglich Absicherung der Hardware etc. sind schon ein großer Batzen.

Manche CAs bieten eine Option um über deren Systeme Zertifikate mit deinen Daten auszustellen(Managed PKI), dann benötigst du nicht die kostspielige Infrastruktur einer richtigen Sub CA.

Letze Alternative ist das Erstellen einer eigenen RootCA, bei der du es dann aber erst mal schaffen musst dein Rootzertifikat in die Browser der meisten Hersteller zu bekommen face-wink

Grüße Uwe
Dani
Dani Jul 12, 2014 at 15:48:14 (UTC)
Goto Top
Hallo @colinardo
Schon die ganzen Vorschriften für Subordinate CAs der RootCAs bezüglich Absicherung der Hardware etc. sind schon ein großer Batzen.
Als Beispiel ist uns DFN aufgefallen. Die haben eine SubCA über die DTAG ausstellen lassen. DFN widerrum stellt jeder Uni, Hochschule, etc... eine eigene SubCA zur Verfügung, die für die Mitarbeiter/Studenten die Zertifikate ausstellt.
Gesehen haben wir das bei der Uni Frankfurt. Was uns seltsam vorkommt, dass die Sperrliste nicht bei Uni FFM sondern bei DFN abgerufen wird. Auskünfte erhält man kaum bis gar nicht. face-sad Kann mir nicht vorstellen, dass jede "Schule" den enormen Aufwand betreibt, wie es verlangt wird.

Es würde vieles einfacher machen...


Gruß,
Dani
Dani
Dani Sep 12, 2015 at 19:33:09 (UTC)
Goto Top
Guten Abend Uwe,
wir haben das Ganze über GlobalSign realisiert.


Gruß,
Dani
colinardo
colinardo Sep 13, 2015 updated at 08:23:04 (UTC)
Goto Top
Danke für die Rückmeldung face-smile Sieht ja vielversprechend aus.

Grüße Uwe