Der DFN informiert - GÉANT TCS: Unterbrechung bei der Ausstellung von Client-Zertifikaten ab 28.08.2023 zu erwarten

Der Zwischenfall ist gelöst und die Ausstellung von Zertifikaten wieder möglich.

Ausstellung für Client-Zertifikate (auch geläufig als Nutzerzertifikate bzw. E-Mail-Zertifikate) wieder möglich/restauriert:
[JA] Max-Planck-Gesellschaft (MPG) – seit 06.09.2023
[JA] Soziologisches Forschungsinstitut Göttingen (SOFI) e. V. – seit 08.09.2023
[JA] Deutsche Primatenzentrum (DPZ) – seit 28.09.2023
[JA] Universität Göttingen – seit dem 11.10.2023
[JA] GWDG – seit 19.10.2023
[JA] Verbundzentrale des GBV (VZG) – seit 03.11.2023

Der aktuelle Zustand von GÉANT TCS PKI, Stand 26.10.2023:

Die Ausstellung von Client-Zertifikaten ist nun für 433 von 521

Einrichtungen wieder möglich. Sectigo hat damit seit dem 12.10. 46

weitere Einrichtungen “abgearbeitet”.

Bitte stellen Sie auf keine Fall Zertifikate mit Vorname/Nachname

“Test” oder “Mustermensch” o.ä. aus! Sectigo stellt uns den Dienst zur

Verfügung unter der Voraussetzung, dass die Namen in den Zertifikaten

von uns korrekt validiert werden. Mit den neuen Regeln für

S/MIME-Zertifikate muss Sectigo dies auch tatsächlich durchsetzen.

Ausstellung für Client-Zertifikate (auch geläufig als Nutzerzertifikate bzw. E-Mail-Zertifikate) wieder möglich/restauriert:
[JA] Max-Planck-Gesellschaft (MPG) – seit 06.09.2023
[JA] Soziologisches Forschungsinstitut Göttingen (SOFI) e. V. – seit 08.09.2023
[JA] Deutsche Primatenzentrum (DPZ) – seit 28.09.2023
[JA Universität Göttingen – seit dem 11.10.2023
[JA] GWDG – seit 19.10.2023
[NEIN] Verbundzentrale des GBV (VZG)

Ausstellung für Client-Zertifikate (auch geläufig als Nutzerzertifikate bzw. E-Mail-Zertifikate) wieder möglich/restauriert:
[JA] Max-Planck-Gesellschaft (MPG) – seit 06.09.2023
[JA] Soziologisches Forschungsinstitut Göttingen (SOFI) e. V. – seit 08.09.2023
[JA] Deutsche Primatenzentrum (DPZ) – seit 28.09.2023
[JA Universität Göttingen – seit dem 11.10.2023
[NEIN] Verbundzentrale des GBV (VZG)
[NEIN] GWDG

Der aktuelle Zustand von GÉANT TCS PKI, Stand 12.10.2023:

Die Ausstellung von Client-Zertifikaten ist nun für 387 von 521

Einrichtungen wieder möglich. Sectigo hat damit seit letzter Woche 52

weitere Einrichtungen “abgearbeitet”.

Bitte stellen Sie auf keine Fall Zertifikate mit Vorname/Nachname

“Test” oder “Mustermensch” o.ä. aus! Sectigo stellt den Dienst zur

Verfügung unter der Voraussetzung, dass die Namen in den Zertifikaten

korrekt validiert werden. Mit den neuen Regeln für

S/MIME-Zertifikate muss Sectigo dies auch tatsächlich durchsetzen.

Der aktuelle Zustand von GÉANT TCS PKI, Stand 05.10.2023:

Die Ausstellung von Client-Zertifikaten ist nun für 335 von 521 Einrichtungen wieder möglich. Sectigo hat damit seit letzter Woche 105 weitere Einrichtungen “abgearbeitet”. Wir hoffen, dass Sectigo in diesem Tempo weiterarbeitet.

Bei einigen Einrichtungen, deren rechtliche Grundlage etwas außergewöhnlicher ist, kommt es in dieser chaotischen Lage leider zu Verzögerung.

Ausstellung für Client-Zertifikate (auch geläufig als Nutzerzertifikate bzw. E-Mail-Zertifikate) wieder möglich/restauriert:
[JA] Max-Planck-Gesellschaft (MPG) – seit 06.09.2023
[JA] Soziologisches Forschungsinstitut Göttingen (SOFI) e. V. – seit 08.09.2023
[JA] Deutsche Primatenzentrum (DPZ) – seit 28.09.2023
[NEIN] Universität Göttingen – seit dem 3. Oktober 2023 wieder defekt
[NEIN] Verbundzentrale des GBV (VZG)
[NEIN] GWDG

Der aktuelle Zustand von GÉANT TCS PKI, Stand 28.09.2023:

Die Ausstellung von Client-Zertifikaten ist nun für 230 von 521 Einrichtungen wieder möglich, da diese Einrichtungen von Sectigo revalidiert wurden.

Seit letzter Woche ist eine gewisse Beschleunigung des Prozesses zu beobachten. Wir agieren gegenüber Sectigo nach wie vor mit dem gebotenen Nachdruck, um alle Einrichtungen so schnell wie möglich wieder in die Lage zu versetzen, Client-Zertifikate auszustellen.

Ausstellung für Client-Zertifikate (auch geläufig als Nutzerzertifikate bzw. E-Mail-Zertifikate) wieder möglich/restauriert:
[JA] Max-Planck-Gesellschaft (MPG) – seit 06.09.2023
[JA] Soziologisches Forschungsinstitut Göttingen (SOFI) e. V. – seit 08.09.2023
[JA] Universität Göttingen – seit 22.09.2023
[JA] Deutsche Primatenzentrum (DPZ) – seit 28.09.2023
[NEIN] Verbundzentrale des GBV (VZG)
[NEIN] GWDG

Ausstellung für Client-Zertifikate (auch geläufig als Nutzerzertifikate bzw. E-Mail-Zertifikate) wieder möglich/restauriert:
[JA] Max-Planck-Gesellschaft (MPG) – seit 06.09.2023
[JA] Soziologisches Forschungsinstitut Göttingen (SOFI) e. V. – seit 08.09.2023
[JA] Universität Göttingen – seit 22.09.2023
[NEIN] Deutsche Primatenzentrum (DPZ)
[NEIN] Verbundzentrale des GBV (VZG)
[NEIN] GWDG

[dfnpki-d] Der aktuelle Zustand von GÉANT TCS PKI 20.09.2023: (veröffentlicht vom DFN)

Die Ausstellung von Client-Zertifikaten ist für 127 von 521

Einrichtungen wieder möglich, da diese Einrichtungen von Sectigo

revalidiert wurden.

Der Fortschritt ist absolut unbefriedigend. Das Thema wird natürlich

bereits mit dem ​​GÉANT ​Executive Team bearbeitet und in den

DFN-Vereinsgremien diskutiert.

Ausstellung für Client-Zertifikate (auch geläufig als Nutzerzertifikate bzw. E-Mail-Zertifikate) wieder möglich/restauriert:
[JA] Max-Planck-Gesellschaft (MPG) – seit 06.09.2023
[JA] Soziologisches Forschungsinstitut Göttingen (SOFI) e. V. – seit 08.09.2023
[NEIN] Universität Göttingen
[NEIN] Deutsche Primatenzentrum (DPZ)
[NEIN] Verbundzentrale des GBV (VZG)
[NEIN] GWDG

Wir gehen derzeit davon aus, dass es ab 28.08.2023 in GÉANT TCS zu einer Unterbrechung der Zertifikataustellung für Client-Zertifikate von schwer vorhersehbarer Dauer kommen kann.
Für Server-Zertifikate sind keine Probleme zu erwarten.

Hintergrund: Sectigo hat nun mit dem Update auf SCM 23.8 die Voraussetzungen geschaffen, um nach dem Inkrafttreten der S/MIME-BRs weiterhin Zertifikate für E-Mail Nutzung ausstellen zu können.
Hierbei sehen wir aktuell zwei Probleme:

1. Es wird nach Aussage von Sectigo für jede Organisation die Validierung eines „Organization Identifiers“ vorausgesetzt, um ab 28.08.2023 weiterhin Client-Zertifikate ausstellen zu können.
   Der für uns sichtbare Teil des Prozesses ist so gestaltet, dass es nach unserer Einschätzung illusorisch ist, dass das Sectigo Validierungsteam bis zu diesem Zeitpunkt alle Organization Identifier bestätigen könnte.
2. Als technisches Nebenproblem ist idp/clientgeant noch nicht angepasst. Ob die Anpassungen zum Termin fertig werden, ist uns nicht bekannt.

Diese Information ist abrufbar unter https://blog.pki.dfn.de/2023/08/geant-tcs-unterbrechung-bei-der-ausstellung-von-client-zertifikaten-ab-28-08-2023-zu-erwarten/