Die Fraport AG hat 2016 im Zuge der Ablösung von SHA1 auf SHA2 eine neue PKI ("PKI 2016") aufgebaut, die die alte PKI von 2008 ablöst. Die hierarchisch aufgebaute PKI 2016 besteht aus folgenden CAs:
- Fraport AG CA Root 2016: Die Root-CA ist die führende Authentifizierungsinstanz. Sie fungiert als Stammzertifizierungsstelle. Ihr Zweck ist es, Sub-CAs zu erzeugen bzw. zu signieren. Die CA wird offline betrieben und hat ein sehr hohes Sicherheitsniveau.
- Fraport AG SCA BaseOn 2016: Diese Online-CA stellt Zertifikate für Server, Clients und User aus.
- Fraport AG SCA MailOff 2016: Die CA E-Mail-Security stellt Zertifikate zur Verschlüsselung und digitalen Signatur von E-Mails aus. Sie wird offline betrieben.
- Fraport AG SCA WebBC 2016: Die CA Websicherheit wird auf dem Proxy eingesetzt. https-Verbindungen zwischen Clients aus dem Fraport-Netz und Servern im Internet werden in einer Blackbox unterbrochen, auf Viren überprüft und anschließend wieder verschlüsselt. Die https-Verbindungen gehen daher vom Client zum Proxy und vom Proxy zum Server (und andersherum). Der Proxy übernimmt dabei die Prüfung des Zertifikats der Server, die Clients wiederum Vertrauen dem Proxy.Die CA hat ein normales Sicherheitsniveau und wird online betrieben.
- Fraport AG SCA ServerOff 2016: Die CA Serversicherheit stellt SSL-Zertifikate für Server aus. Sie wird offline betrieben.
- Fraport AG SCA EmbeddedOff 2016: Die CA Embedded Systems erzeugt Zertifikate für Clients zur 802.1x-Authentifizierung am Netzwerk. Diese Clients haben die Besonderheit, dass sie, aufgrund ihrer Beschaffenheit, nicht als einzelnes Objekt, sondern als Klasse angesehen werden. Demnach werden nicht die einzelnen Geräte, sondern alle Geräte einer Klasse mit jeweils einem Zertifikat ausgestattet. Die CA Embedded Systems wird im Sicherheitsniveau Hoch betrieben.
- Fraport AG SCA CodeOff 2016: Die CodeSigning dient zur Signierung von Anwendungen. Die Zertifikate werden für die jeweilige Applikation ausgegeben. Sie hat ein normales Sicherheitsniveau und wird offline betrieben.
Die PKI 2008 ist ebenfalls hierarchisch aufgebaut und besteht aus den folgenden Certification Authorities (CAs). Die PKI wird durch die PKI 2016 abgelöst.
- Root-CA: Die Root-CA ist die führende Authentifizierungsinstanz. Sie fungiert als Stammzertifizierungsstelle. Ihr Zweck ist es, Sub-CAs zu erzeugen bzw. zu signieren. Die CA wird offline betrieben und hat ein sehr hohes Sicherheitsniveau.
- E-Mail-Security: Die CA E-Mail-Security stellt Zertifikate zur Verschlüsselung und digitalen Signatur von E-Mails aus. Sie wird offline betrieben.
- Websicherheit: Die CA Websicherheit wird auf dem Proxy eingesetzt. https-Verbindungen zwischen Clients aus dem Fraport-Netz und Servern im Internet werden in einer Blackbox unterbrochen, auf Viren überprüft und anschließend wieder verschlüsselt. Die https-Verbindungen gehen daher vom Client zum Proxy und vom Proxy zum Server (und andersherum). Der Proxy übernimmt dabei die Prüfung des Zertifikats der Server, die Clients wiederum Vertrauen dem Proxy. Die CA hat ein normales Sicherheitsniveau und wird online betrieben.
- Serversicherheit: Die CA Serversicherheit stellt SSL-Zertifikate für Server aus. Sie wird offline betrieben.
- Computer Certificates: Die CA Computer Certificates stellt Zertifikate bereit, mit denen sich Endgeräte authentifizieren. Sie hat ein normales Sicherheitsniveau und wird online betrieben.
- User Certificates: Die CA User Certificates stellt Zertifikate bereit, mit denen sich Mitarbeiter authentifizieren. Sie hat ein normales Sicherheitsniveau und wird online betrieben.
- Embedded Systems: Die CA Embedded Systems erzeugt Zertifikate für Clients zur 802.1x-Authentifizierung am Netzwerk. Diese Clients haben die Besonderheit, dass sie, aufgrund ihrer Beschaffenheit, nicht als einzelnes Objekt, sondern als Klasse angesehen werden. Demnach werden nicht die einzelnen Geräte, sondern alle Geräte einer Klasse mit jeweils einem Zertifikat ausgestattet. Die CA Embedded Systems wird im Sicherheitsniveau Hoch betrieben.
- CodeSigning: Die CodeSigning dient zur Signierung von Anwendungen. Die Zertifikate werden für die jeweilige Applikation ausgegeben. Sie hat ein normales Sicherheitsniveau und wird offline betrieben.
