Wie auf der [Hauptseite dieser Dokumentation](index.md) beschrieben, bezieht das KIT seine Zertifikate über GÉANT TCS, wobei der Betrieb der Zertifizierungsstelle an Sectigo vergeben haben.
Dieser Vertrag sollte eigentlich bis April laufen, würde jetzt aber einseitig durch Sectigo gekündigt, wobei Sectigo der Meinung ist, dass ein Vertragsende bereits zum 10.01.2025 vertraglich möglich ist.
Wie auf der [Hauptseite](index.md) beschrieben, bezieht die KIT-CA ihre Zertifikate über GÉANT TCS, wobei der Betrieb der Zertifizierungsstelle an Sectigo vergeben haben.
Dieser Vertrag sollte eigentlich bis April 2025 laufen, würde jetzt aber einseitig durch Sectigo gekündigt, wobei Sectigo der Meinung ist, dass ein Vertragsende bereits zum 10.01.2025 vertraglich möglich ist.
Auch wenn GÉANT und die DFN-PKI das anders sehen, reicht für einen Rechtstreit die Zeit nicht aus.
Sowohl GÉANT als auch die DFN-PKI bemühen sich, zeitnah einen neuen CA-Betreiber zu finden, damit eine Versorgungslücke so klein wie möglich gehalten wird.
...
...
@@ -21,26 +21,27 @@ Um möglichst umfassend zu informieren und die Anzahl der betroffenen Nutzenden
- Information der IT-Beauftragten über die Situation durch Verweis auf diese Seite.
- 28.11.2024: Vortrag auf der ITB-Versammlung.
- Informationsmail an Kontakte von Serverzertifikaten und alle KIT-Angehörigen, die ein Mailzertifikat haben, das innerhalb eines Jahres abläuft.
- Angebot eines Informations- und Diskussionstermins via Teams, um Fragen und Bedenken zu klären. Diese werden für IT-Beauftragte ausgerichtet, wenn Sie als Endanwender Fragen haben, bitte geben Sie diese an Ihre IT-Beauftragten weiter.
- Angebot eines Informations- und Diskussionstermins via Teams, um Fragen und Bedenken zu klären. Dieser werden für IT-Beauftragte ausgerichtet, wenn Sie als Endanwender Fragen haben, bitte geben Sie diese an die IT-Beauftragten Ihrer Organisation weiter.
### Was passiert mit meinen Zertifikaten nach Vertragsende? {data-toc-label="Zertifikate nach Vertragsende"}
Die Zertifikate behalten nach unserem besten Wissen und Gewissen Ihre Gültigkeit.
Entsprechend der Zertifizierungsrichtlinie und den Vertragsbedingungen ist eine Sperrung nach Vertragsende nicht erlaubt und Sectigo würde sich damit global bei vielen Stakeholdern ins Abseits stellen.
Ausgestellte, gültige Zertifikate behalten nach unserem besten Wissen und Gewissen Ihre Gültigkeit.
Entsprechend der Zertifizierungsrichtlinie und den Vertragsbedingungen ist eine Sperrung nach Vertragsende nicht erlaubt.
Sectigo würde sich damit bei vielen globalen Vertrauensankern (z.B. Betriebssysteme und Browser) unbeliebt machen, weswegen wir zuversichtlich sind, dass Sectigo keine gültigen Zertifikate sperren wird.
### Mein Mailzertifikat läuft bald ab, was soll ich tun? {data-toc-label="Ablaufende Mailzertifikate"}
Vermutlich lesen Sie diesen Abschnitt, weil Sie von uns eine Mail mit der Information bekommen haben, dass Sie Ihr Zertifikat erneuern sollten.
Bitte folgen Sie unserer [Anleitung](https://ca.kit.edu/p/nutzer), um ein neues Zertifikat zu erhalten.
Nach Ausstellung wird in den meisten Fällen für an Sie gesendete Mails sofort das neue Zertifikat verwendet, achten Sie daher unbedingt auf eine korrekte Einrichtung.
Nach Ausstellung wird in den meisten Fällen für an Sie verschlüsselt gesendete Mails sofort das neue Zertifikat verwendet, achten Sie daher unbedingt auf eine korrekte Einrichtung.
Es funktionieren bis zum Ablauf des alten Zertifikats beide Varianten weiter (beachten Sie dazu auch den Abschnitt "[Was passiert mit meinen Zertifikaten nach Vertragsende?](sectigo_contract_ends.md#was-passiert-mit-meinen-zertifikaten-nach-vertragsende)").
Falls in Ihrer Mail mehrere Zertifikate erwähnt sind, reichte es **ein** neues Zertifikat zu beantragen.
Mehr Details über die zu beachtenden Konzepte hinter Zertifikaten gibt es unter [Konzepte](concepts.md).
### Bei uns fängt in Q1/Q2 2025 eine neue Person an, die für Ihre Arbeit zwingend ein Mailzertifikat braucht! {data-toc-label="Mailzertifikat für neue Mitarbeitende in Q1/Q2"}
### Bei uns fängt in Q1/Q2 2025 eine jemand Neues an, die für Ihre Arbeit zwingend ein Mailzertifikat braucht! {data-toc-label="Mailzertifikat für neue Mitarbeitende in Q1/Q2"}
Bei ausreichender Begründung können wir auch für noch nicht existierende Accounts ein Funktionszertifikat ausstellen, da die für den Account vergebenen Mailadressen vorhersagbar sind.
Der Prozess ist allerdings aufwändiger für uns.
...
...
@@ -51,7 +52,7 @@ Falls Sie diesen Abschnitt erst nach dem 10.01.2025 lesen, schreiben Sie bitte e
### Mein Serverzertifikat läuft in Q1/Q2 2025 ab, was soll ich tun? {data-toc-label="Ablaufende Serverzertifikate"}
Wir werden rechtzeitig zentral alle aktuell über Sectigo ausgestellten Serverzertifikate erneuern.
Dabei wird (entgegen unserer üblichen Empfehlungen) der private Schlüssel weiterverwendet, Sie müssen dann nur das Zertifikat tauschen.
Dabei wird (entgegen unserer üblichen Empfehlungen) der private Schlüssel des aktuellen Zertifikates weiterverwendet, Sie müssen dann nur das Zertifikat tauschen.
Das neue Zertifikat werden Sie automatisch per Mail an die beim Erstantrag angegebene Mailadresse erhalten.
### Ich muss in Q1/Q2 2025 einen wichtigen Dienst aufsetzen und benötige Serverzertifikate! {data-toc-label="Serverzertifikat für neuen Dienst in Q1/Q2"}
...
...
@@ -60,7 +61,7 @@ So gut wie alle Anwendungsfälle für Serverzertifikate lassen sich mit Zertifik
Dies gilt auch für Mutual Authentication und Systeme, die nicht selbst aus dem Internet erreichbar sind.
Eine Anleitung zur Einrichtung finden Sie in unserer [ACME4NETVS-Dokumentation](https://docs.ca.kit.edu/acme4netvs).
Falls eine Umsetzung mit Let's Encrypt für Sie kurzfristig nicht machbar ist, haben wir unseren [Transition-Dienst](https://transition.ca.kit.edu/) wiederbelebt.
Falls eine Umsetzung mit Let's Encrypt für Sie so kurzfristig nicht machbar ist, haben wir unseren [Transition-Dienst](https://transition.ca.kit.edu/) wiederbelebt.
Dieser ermöglicht es, Zertifikate von Let's Encrypt zu bekommen, ohne einen ACME-Client einzurichten.
Das Zertifikat ist dann, wie bei Let's Encrypt üblich, nur 3 Monate gültig.
As described on the [main page](index.md), KIT-CA obtains its certificates via GÉANT TCS.
The operation of the certification authority for GÉANT TCS has been awarded to Sectigo.
This contract was originally meant to run until April 2025, but was recently terminated unilaterally by Sectigo.
Sectigo is of the opinion that a contract end on January 10, 2025 is contractually possible.
Even though GÉANT and DFN-PKI interpret the contract differently, there is not enough time for a legal dispute.
Both GÉANT and DFN-PKI are working hard to find a new CA operator as soon as possible in order to keep any gap in certificate issuance as small as possible.
However, due to the short notice of the termination, it will probably not be possible to avoid such a gap.
**KIT-CA will therefore no longer be able to issue certificates from 10.01.2025 for an indefinite period of time.**
!!! quote "I want to know *everything*!"
Everything we currently know is documented by DFN-PKI in a [blog article](https://doku.tid.dfn.de/de:dfnpki:tcsfaq:aktuellesituation).
We do not have more information than the DFN-PKI.
Please refrain from inquiries that do not concern the specific measures taken by KIT-CA.
### What is KIT-CA's strategy to mitigate the situation? {data-toc-label="Strategy of KIT-CA"}
In order to provide as much information as possible and to keep the number of affected users as small as possible, we plan to provide information in several stages.
- Inform IT officers about the situation by referring them to this page.
- 28.11.2024: Presentation at the ITB-Versammlung.
- Information email to contacts of server certificates and all KIT members who have a mail certificate that expires within a year.
- Offering an information and discussion meeting via Teams to answer questions and concerns. This will be exclusive to IT officers. If you have questions as an end user, please pass them on to the IT officer of your organizational unit.
### What happens to my certificates after the contract ends? {data-toc-label="Certificates after contract end"}
To the best of our knowledge, all issued and valid certificates will remain valid.
According to the certification guideline and the terms of the contract, revocation after the end of the contract is not permitted.
Sectigo would put themselves into distrust with global trust anchors like operating systems and browsers, which gives us confidence that they won't revoke any valid certificates.
### My mail certificate is about to expire, what should I do? {data-toc-label="Expiring mail certificates"}
You are probably reading this section because you have received an email from us informing you that you should renew your certificate.
Please follow our [instructions](https://ca.kit.edu/p/nutzer) to obtain a new certificate.
Once issued, the new certificate will in most cases be used immediately for encrypted emails sent to you - make sure you set it up correctly.
Both variants will continue to work until the old certificate expires (please also refer to the section "[What happens to my certificates after the contract ends?](sectigo_contract_ends.md#what-happens-to-my-certificates-after-the-contract-end)").
If several certificates are mentioned in your mail, it is sufficient to request **one** new certificate.
More details about the concepts behind certificates can be found at [concepts](concepts.md).
### Someone new will join us in Q1/Q2 2025 who absolutely needs a mail certificate for their work! {data-toc-label="Mail certificate for new employees in Q1/Q2"}
If there is sufficient justification, we can issue a function certificate for accounts that do not yet exist, as the email addresses assigned to the account are predictable.
However, the process is time-consuming for us.
Please email us at [kit-ca-betrieb@scc.kit.edu](mailto:kit-ca-betrieb@scc.kit.edu) with sufficient justification as to why a certificate is absolutely necessary.
If you only read this section after 10.01.2025, please email us at [kit-ca-betrieb@scc.kit.edu](mailto:kit-ca-betrieb@scc.kit.edu).
### My server certificate expires in Q1/Q2 2025, what should I do? {data-toc-label="Expiring server certificates"}
We will renew all server certificates currently issued via Sectigo in time.
The private key of your current certificate will be reused (contrary to our usual recommendations), you will only have to swap the certificate.
You will automatically receive the new certificate by e-mail to the e-mail address you provided when you first applied.
### I have to set up an important service in Q1/Q2 2025 and need server certificates! {data-toc-label="Server certificate for new service in Q1/Q2"}
Almost all use cases for server certificates can be accomodated for with certificates from Let's Encrypt.
This also applies to mutual authentication and systems that are not accessible from the Internet themselves.
You can find instructions on how to set this up in our [ACME4NETVS documentation](https://docs.ca.kit.edu/acme4netvs).
If you need more time to switch to using Let's Encrypt, we have revived our [Transition service](https://transition.ca.kit.edu/).
This makes it possible to obtain certificates from Let's Encrypt without setting up an ACME client.
The issued certificate is, as usual with Let's Encrypt, only valid for 3 months.
If you still have a use case that absolutely requires long-running or organization validated certificates, please follow our [Instructions for applying for server certificates](server.md) with the domain names you likely need **before the KIT closes over Christmas and New Year's Eve**.
If you only read this section after 10.01.2025 and none of the other solutions work for you, please email us at [kit-ca-betrieb@scc.kit.edu](mailto:kit-ca-betrieb@scc.kit.edu).
