Quelle: Eigene Darstellung
Es ist so weit! Seit dem 1. April 2025 können wieder Nutzerzertifikate (S/MIME) im RA-Portal beantragt werden. Nachdem unser bisheriger Zertifikat-Anbieter, Sectigo, seinen Vertrag zum 10. Januar 2025 beendet hat, gibt es nun einen neuen Anbieter. Das Deutsche Forschungsnetz (DFN) und GÉANT, haben einen neuen Anbieter für Public-Key-Zertifikate ausgewählt. Dabei fiel die Wahl auf den griechischen Vertrauensanbieter HARICA (Hellenic Academic & Research Institutions Certification Authority). HARICA ist eine Zertifizierungsstelle des griechischen Universitätsnetzwerks GUnet, die speziell für Forschungseinrichtungen optimiert ist und höchste Sicherheitsstandards erfüllt.
Was bedeutet das für euch?
Für euch Nutzende ändert sich nicht viel, da die RA-Portal-Oberfläche und -Nutzung bestehen bleiben. Bei gängigen Browsern und E-Mail-Anwendungen ist das S/MIME Stammzertifikat von HARICA automatisch mitgeliefert. Die ausgestellten Nutzerzertifikate können dadurch weltweit auf ihre Gültigkeit validiert werden.
In den Standardeinstellungen von Adobe Acrobat ist keines der von der RWTH für Nutzerzertifikate benutzten Stammzertifikate direkt enthalten. Dies hat zur Folge, dass alle drei Stammzertifikate (von DFN, Sectigo und HARICA) in Adobe Acrobat manuell nachinstalliert und als vertrauenswürdig erklärt werden müssen. Das muss sowohl auf Signierungs- als auch auf Verifizierungsseite einer digital signierten PDF-Datei erfolgen. Eine genaue Anleitung zur Konfiguration von vertrauenswürdigen Zertifikaten und elektronischen Unterschriften ist auf IT Center Help zu finden.
Eine weitere vorübergehende Änderung im Zuge der Umstellung auf HARICA betrifft das Feld „Vorname Nachname“ im Nutzerzertifikat. Dieses darf keine Sonderzeichen wie zum Beispiel Umlaute mehr enthalten. So wird beispielsweise aus dem vollständigen Namen „Jürgen Müller“ im Zertifikat der Common Name „Juergen Mueller“. Im RA-Portal erfolgt die Transkription des Namens „Jürgen Müller“ aus dem Identity Management automatisch nach „Juergen Mueller“, bevor er an die Zertifizierungsstelle geht. Der transkribierte Name wird zur Prüfung und Bestätigung angezeigt. Nun kann auch im RA-Portal gewählt werden, ob das Nutzerzertifikat mit vollem Vornamen oder mit dem im RWTH Selfservice eingetragenen Rufnamen ausgestellt werden soll.
Solltet ihr noch gültige Sectigo- oder DFN-Nutzerzertifikate besitzen, gibt es keinen Handlungsbedarf. Alle bestehenden Zertifikate von Sectigo und DFN behalten bis zu ihrem Ablaufdatum ihre Gültigkeit. Danach können neue Nutzerzertifikate über das RA-Portal (und durch HARICA) beantragt werden. Eine genaue Anleitung zur Zertifikatserstellung im RA-Portal findet ihr auch auf IT Center Help.
Serverzertifikate
Neben Nutzerzertifikaten können auch Serverzertifikate über HARICA ausgestellt werden. Bei den Serverzertifikaten müssen die Server-Administrierenden die neue HARICA TLS-Kette implementieren. Die HARICA TLS-Root-Zertifikate sind bei allen gängigen Browsern vorinstalliert.
Identitätsprüfung
Für Mitarbeitende und Studierende ist eine Identitätsprüfung für die Beantragung eines Nutzerzertifikats weiterhin nicht notwendig, da das RA-Portal eure Berechtigung automatisch aus dem Identity Management abfragt. Alle anderen Antragsstellenden müssen eine einmalige Identitätsprüfung am IT-ServiceDesk durchlaufen.
Verantwortlich für die Inhalte dieses Beitrags sind Janin Iglauer, Hannah Loock, Nils Neumann und Ekaterini Papachristou.
Als Informationsgrundlage für diesen Beitrag dienten folgende Quellen:
