Gelöst SwissSign und Veröffentlichung der Zertifikate in deren Directory

[mabu]

Hallo.

Ich bin irgendwie davon ausgegangen, dass alle von SwissSign ausgestellten S/MIME-Zertifikate auch in deren öffentlichen LDAP-Directory directory.swisssign.ch abgefragt werden können.

Nun hat ein Dienstleister (nicht IT sondern Gesundheitswesen) von uns von einer eigenen CA auf SwissSign-Zertifikate gewechselt. Also "kein Problem", da wir über OpenKeys ja die Zertifikate abfragen können. Aber für die Mailadresse wird nichts gefunden (wegen digital signierter Mail hat der NSP dieses Zertifikat aber schon).

Mit LDAP-Browser direkt bei directory.swisssign.ch getestet. Kein Treffer. Ein paar andere SwissSign-Zertifikate aus dem NSP ausprobiert und nur vereinzelt gibt es Treffer. Meine eigene Mailadresse zum Testen genutzt - kein Treffer - what ??? In OpenKeys wird mein Zertifikat vermutlich durch den im NSP aktivierten Upload gefunden.

Somit scheint es ja irgendwie eine Option zu geben, durch die die Zertifikate entweder veröffentlicht werden oder nicht. Eigentlich fände ich es ganz sinnvoll, wenn diese dort abrufbar sind, da dadurch evtl. mehr verschlüsselte Mails bei uns eingehen.

Frage 1: Habe ich in unserer SwissSign MPKI einen Einfluss darauf, ob die erstellten Silver-Zertifikate veröffentlicht werden oder nicht?

Frage 2: Gibt es Gründe, warum man diese Veröffentlichung nicht machen sollte? Vermutlich kann ein Angreifer dies für einen Phishing-Angriff o.ä. nutzen, da es natürlich Informationen sind und vorhandene E-Mail-Adressen.


Danke vorab.

 

[Sören]

Frage 1: Habe ich in unserer SwissSign MPKI einen Einfluss darauf, ob die erstellten Silver-Zertifikate veröffentlicht werden oder nicht?

meines Wissens nach ja, wende dich an den SwissSign Support bitte

Frage 2: Gibt es Gründe, warum man diese Veröffentlichung nicht machen sollte? Vermutlich kann ein Angreifer dies für einen Phishing-Angriff o.ä. nutzen, da es natürlich Informationen sind und vorhandene E-Mail-Adressen.

eigtl. braucht man da keine Angst zu haben, da der LDAP ja nur auf exakte Anfragen reagiert und man da keine Wildcard Suche machen kann

 

[JanJäschke]

SwissSign hat ich glaube im letzten Jahr bereits das Veröffentlichen von Opt-Out auf Opt-In umgestellt.
Das heißt beim erstellen der mPKI hat man die Wahl ob veröffentlicht werden soll oder nicht. Das lässt sich meines Wissens nach auch bei der SwissSign ändern.

Hintergrund ist DSGVO, das Zertifikat beinhaltet personenbezogene Daten
(mehr sage ich dazu nicht)

Also sollte sich aktivieren lassen.

 

[mabu]

Habe Rückmeldung vom Support erhalten. Hier kann man das Formular herunterladen.

Support hat mir auch angeboten, die schon ausgegebenen Zertifikate nachträglich zu veröffentlichen. Das wäre aber ein manueller Prozess. Davon habe ich mal abgesehen. Hat ja so auch keiner gemerkt, dass es nicht mehr veröffentlicht war.

Danke Euch