Re: [SIGNATUR] Re: Fornyelse af certifikat

[Egon Andersen <sslug@sslug>]

Egon Andersen wrote:
> torben wrote:
>
> > > Når man tænker over det er man også næsten nød til at bestille et nyt.
> > > Det eksisterende certifikat kan ikke forlænges og der kan ikke
> > > udstedes et nyt på baggrund af det gamle (TDC kender jo ikke din
> > > private nøgle).
> > >  
> > Hvis man får et certifikat med en ny nøgle, hvordan læser man så 
> > f.eks. sine mails, der er krypteret til en gammel nøgle ?
> > Specifikt bruger jeg mozilla/Thunderbird til læsning af mails, me 
> > problemet er vel generelt ?
> > Eksporterer man sit gamle certifikat, og flytter nøglen herfra over 
> > til det nye ?
>
> Problemet med e-mail krypteret med 'forhenværende' certifikater er 
> tidligere blevet diskuteret på denne liste.
> Jeg håber at certifikat politikken er blevet ændret, så man lovligt må 
> beholde og anvende sit gamle certifikat til dekryptering.
> (Det er IT- og Telestyrelsens CP, som TDC OCES er underlagt, jeg her 
> refereret til.)
>
> Det er i sagens natur nødvendigt at have kendskab til den private nøgle 
> for at kunne dekryptere modtagne mails krypteret med den offentlige nøgle.
> Så du skal altså opbevare din private nøgle på et sikkert sted i tid og 
> evighed, hvis du vil kunne dekryptere dine e-mails i tid og evighed.
>
> Med hensyn til forlængelse, er det i princippet muligt, da du (din 
> maskine) har dit nøgle-par og dermed kan der dannes et nyt sæt 
> certifikater med ny udløbsdato. (Nøglen er jo kun en del af certifikatet.)
> Hvor stor gevinsten er i forhold til blot at få et helt nyt sæt nøgler/ 
> certifikater har jeg ikke helt indset.
Jeg vil lige præcisere!
CA (dvs. TDC i dette tilfælde) skal (bør, må etc.) *aldrig* kende din 
private nøgle. Det er din offentlige nøgle der signeret af TDC OCES 
(også den første gang!) og hvis de ved at den offentlige nøgle stammer 
fra dig, kan de dermed være garant for at du er dig.

Med venlig hilsen
Egon Andersen