
Der Menüeintrag → (Strg+N) startet den Assistenten zur Erstellung des Zertifikats, der Sie durch die notwendigen Schritte zur Erzeugung einer Zertifikatsanfrage führt.
Wenn Sie mit dem Ausfüllen einer Seite im Assistenten fertig sind, klicken Sie auf , um zum nächsten Schritt zu kommen (mit können Sie bereits durchgeführte Schritte noch einmal anschauen). Die Erzeugung der Zertifikatsanfrage kann jederzeit mit der Schaltfläche abgebrochen werden.
Auf der ersten Seite des Assistenten wird die Art des Zertifikats ausgewählt, das erstellt werden soll.
- Persönliches OpenPGP-Schlüsselpaar erzeugen
OpenPGP-Schlüsselpaare werden lokal auf Ihrem Rechner erstellt und von Ihren Freunden und Bekannten beglaubigt. Es gibt keine zentrale Beglaubigungsinstanz; jeder Anwender erstellt ein persönliches Netz des Vertrauens durch die Beglaubigung der Schlüsselpaare anderer durch sein eigenes Zertifikat.
Es muss ein Name, eine E-Mail-Adresse und wahlweise ein Kommentar eingegeben werden.
- Persönliches X.509-Schlüsselpaar und Beglaubigungs-Anfrage erstellen
X.509-Schlüsselpaare werden lokal erstellt, aber zentral durch eine Beglaubigungsinstanz (Certificate Authority, CA) beglaubigt. CAs können andere CAs beglaubigen, dadurch entsteht eine hierarchische Vertrauenskette.
Der nächste Schritt im Assistenten besteht darin, Ihre persönlichen Daten für das Zertifikat einzutragen. Die auszufüllenden Felder lauten:
Allgemeiner Name (CN): Ihr Name;
E-Mail-Adresse (EMAIL): Ihre E-Mail-Adresse; geben Sie diese sorgfältig ein, denn an diese Adresse werden Nachrichten verschickt, wenn Ihr Zertifikat verwendet wird.
Ort (L): Die Stadt oder der Ort, wo Sie leben;
Abteilung (OU): Die Organisationseinheit, zu der Sie gehören (etwa „Logistik“);
Organisation (O): Die Organisation, die Sie repräsentieren (etwa Ihr Arbeitgeber);
Ländercode (C): Der zweibuchstabige Code, der das Land bezeichnet, in dem Sie leben (z. B. „DE“);
Im nächsten Schritt des Assistenten wählen Sie aus, ob das Zertifikat in einer Datei gespeichert oder direkt an eine CA geschickt werden soll. Sie müssen entweder den Dateinamen oder die E-Mail-Adresse, an die die Zertifikatsanfrage geschickt werden soll, angeben.
Solange Sie den privaten Schlüssel und das Passwort besitzen, können Sie einen abgelaufenen Schlüssel wieder benutzbar machen. Wenn Sie einen Schlüssel endgültig unbenutzbar machen möchten, müssen Sie ihn sperren. Das wird mittels einer speziellen Sperrsignatur erreicht, die zum Schlüssel hinzugefügt wird.
Eine Widerrufssignatur in einer gesonderten Datei gespeichert. Diese kann später in den Schlüsselbund importiert werden und wird dann an den Schlüssel angehängt und macht ihn damit unbrauchbar. Bitte beachten Sie, dass dazu das Passwort des Schlüssels nicht erforderlich ist. Deshalb sollten Sie die Datei mit der Sperrsignatur sicher aufbewahren, am besten getrennt von Ihrem privaten Schlüssel. Es ist ratsam, dazu einen Ort zu wählen, der nicht mit einem Computer verbunden ist, z. B. können Sie die Datei auf ein externes Speichermedium wie einen USB-Stick übertragen oder Sie drucken sie einfach aus.
In Kleopatra gibt es keine Funktion, um so eine Widerrufssignatur zu einem beliebigen Zeitpunkt zu erzeugen. Sie können dazu jedoch das KDE-Programm KGpg verwenden und in diesem Programm → im Menü wählen und dann gegebenenfalls diese Signatur sofort in Ihren Schlüsselring importieren.