802.1x Certificates

This article or section is currently under construction. In order to avoid editing conflicts, please wait until this message is removed or contact the author (Stefan Beck).

ToDo: Page to be translated to English - any contribution is welcome!
For the German version see 802.1x_Zertifikate.

This page summarizes the requirements for certificates and their properties, as they apply to the 802.1x (EAP-TLS) authentication of OpenStage and optiPoint IP phones.

1. Grundsätzliche Eckdaten zu 802.1x Zertifikaten

• Der Verwendungszweck muss "Client Authentication" sein.
• Der Einsatzzweck ist "Signatur und Verschlüsselung".
• Typ ist X.509-Zertifikat, Version: 3.
• Die Algorithmusklasse für den privaten Schlüssel ist: 0xa000(5) ALG_CLASS_KEY_EXCHANGE
• Standardmäßig wird sha1RSA verwendet, es kann aber auf diverse andere Algorithmen zurückgegriffen werden, sofern diese Algorithmen von OpenSSL und z.B. Win2003 unterstützt werden.
• Aus DLS-Sicht sind beliebige X.509 V3 Zertifikate möglich. Einzige Einschränkung ist die Größe (max ca. 7kB).

Phone-Zertifikat

• X509v3 Extended Key Usage: TLS Web Client Authentication
• RSA Public Key: (1024 bit) bei Optipoint, (2048 bit) bei OpenStage

RADIUS-Zertifikat

• RSA Public Key: (2048 bit)
• X509v3 extensions:
• X509v3 Key Usage: critical, Digital Signature, Key Encipherment, Key Agreement, Certificate Sign
• X509v3 Extended Key Usage: TLS Web Server Authentication, TLS Web Client Authentication

SubCA-Zertifikat

• RSA Public Key: (2048/4096 bit)
• X509v3 extensions:
• X509v3 Basic Constraints: critical, CA:TRUE
• X509v3 Key Usage: critical, Digital Signature, Certificate Sign, CRL Sign

RootCA-Zertifikat

• RSA Public Key: (2048/4096 bit)
• X509v3 extensions:
  • X509v3 Basic Constraints: critical, CA:TRUE
  • X509v3 Key Usage: critical, Digital Signature, Certificate Sign, CRL Sign

2. Unterschiede zwischen optiPoint und OpenStage

• OptiPoint SIP/HFA:
  • Phone-Zertifikat (Zertifikatskette + priv. Key in PKCS#12 Container)
  • RootCA-Zertifikat (= public Key = erstes Glied der RADIUS-Zertifikatskette) oder
  • RADIUS-Zertifikat (= public Key des RADIUS-Zertifikates)
  • Key Size: 1024 Bit
• OpenStage SIP/HFA (für OpenStage HFA wird 802.1x ab V2R0 freigeben):
  • Phone-Zertifikat (Zertifikatskette + priv. Key in PKCS#12 Container)
  • RootCA-Zertifikat (= public Key = erstes Glied der RADIUS-Zertifikatskette)
  • Key Size: max. 2048 Bit, sollte aber aus Gründen der Kompatibilität zum optiPoint auf 1024 Bit beschränkt werden.