@MLangguth : Ich bräuchte bitte, wenn möglich, nochmal etwas allgemeine fachlich-technische "Einordnungshilfe" beim Thema KIM + Zertifikate:

Ich hänge hier inhatlich grad beim CGM KIM beim Versuch, eine Funktion zu verstehen , die man dort unter Experteneinstellungen findet : also ein Bereich, wo man das/die eigene/n Zertifikat(e) runterladen kann oder Zertfiikate verwalten kann...



Wenn ich unter "meine KIM Zertifikate verwalten" gehe, erscheint folgende Übersicht:



Aktueller Stand bei mir:
Ich habe eine SMC-B im Verbund am Start- eine neue FOlge-SMC-B ist bestellt, Zertifikate sind freigeschaltet , aber die SMC-B alt gegen neu habe ich NOCH nicht getauscht. Somit kann ich hier bislang auch nur 1 SMC-B anwählen im KIM Assist

Allen "Zertifikaten" in der Liste ist die Zahl 10 vorangestellt- das erste in der LIste hat der 10 nachfolgend dann die gleiche Nummer wie die aktuell laufende SMC-B.
Die beiden "Zertifikate" da drunter haben andereZahlenfolgen, von denen ich vermute, dass sie der Folge-SMC-B entsprechen- wobei ich noch nicht schlüssig finde, warum ich hier dann 2 x die gleichen und nicht nur eines angezeigt bekomme...?!?

Und was wäre dann hier mal ein Beispiel für die Option "Zertfiikate dem TI Verzeichniseintrag hinzufügen" - also da kann ich ja eine Karte auswählen , aktuell wird nur die alte SMC-B von mir angezeigt, weil die neue ja noch auf den Einsatz wartet- aber wenn die neue dann mal dran ist- und wir hatten ja an anderer Stelle gesagt: bei Wechsel SMC-B bei gleicher Ti-ID muss man nichts weiter machen, weil alle SMC-Bs der gleichen TI-ID dann zugeordnet sind: Aber wofür ist dann diese Funktion? Wann käme sowas zum Einsatz praktisch?

Dann gibt es noch die Option: "Zertfiikat herunterladen":

Da finde ich dort dann im Ggs. zu "Meine Zertifikate verwalten" nur genau 1 Zertifikat:



Wenn ich im KIM Ordner unter Programme schaue, finde ich bei Data hierzu das Pendant auch im Backend wieder:



Und wenn ich dieses Zertifikat mir da mal rauskopiere ( hab es über Backend gemacht, gleiches wird vermutlich passieren, wenn man Frontend via KIM "herunterladen" sagt: dann hab ich ein p.12 , private Key- wenn ich das lokal installieren möchte, fragt er nach dem Schlüssel und ich erinnerte mich, dass CGM mal im Level 3 sowas im Nebensatz sagte, die ersten 8 Ziffern vom "Zertifikat", so wie es der KIM Assist anzeige, seien der Privat Key - und das hat auch tatsächlich funktioniert:



Wenn ich mir aber jetzt die Gültigkeit von DIESEM Zertifikat anschaue: 2.7.20 bis 1.7.25- dann ist das ja WIEDER eine ganz andere "Gültigkeitsdauer" als von den anderen "Zertifikaten" , die mir grad nach und nach jetzt bis Anfang 2023 ablaufen werden.

Und ich hänge grad, das hier alles technisch richtig einzuordnen:

Eiiigentlich dachte ich nach bisherigem Verständnis, dass z.B. bei SMC-B basiertem KIM Verkehr, die KIM Mail von mir an Dr. Beispiel dann auch mit allen public keys der für Dr. Beispiel zur Mailadresse registierten SMC-Bs verschlüsselt wird- und wenn Dr. Beispiel MIR eine SMC-B schickt- dann holt er sich den Pubkey von meiner SMC-B/meinen SMC-Bs und ich kann es hier dann mit dem Private-Key entschlüsseln- das würde auch erstmal zu der Grundstruktur des Zertifikats passe unter dem Item "Zertfiikat herunterladen"- aber warum hat DAS jetzt wieder eine andere Laufzeit als meine jetzige SMC-B ? (die ja schon Ende 1/23) den löffel abgibt?

Das muss ja noch eine Sache unabhängig davon sein?!? Also WAS genau ist mein KIM Zertifikat hier an DIESER Stelle, was ist gemeint?

Und es ist ja wohl dann so, dass DIESES Zertifikat hier etwas anderes als Begriff meint als die Zusammenstellung "meine Zertfiikate verwalten"- bei lezterem scheint es eher dann direkt um die einzelne Smart-Card im TIVerbund zu gehen, bei ersteren frage ich mich grad: kriegt man vielleicht doch noch irgendwie, zusammen mit dem Antrag auf "KIM Adresse"/Bestellung halt noch ein weiteres 'Zertfiikat', was direkt in Beziehung zur KIM Mail Adresse steht?

Und welche Funktion hat dieses p.12 dann innerhalb des KIM Verschlüsselungsprozesses genau? Warum gibt es eine Extraoption, dieses Zertifikat herunterzuladen- hierzu wäre auch nochmal ien praktisches BEispiel schön.

Und kann dieses Zertifikat auch ablaufen- also was passiert dann ab dem 2.7. 2025- muss ich da was regeln oder regelt der KIM Provider da was im Hintergrund für mich und ich muss nichts weiter tun?

Und ist es eigentlich (interessehalber gefragt) der Regelfall (hierzu fehlt mir die Erfahrung) dass die ersten 8 Ziffern eine p.12private Key dann immer in Klartext sichtbarer Teil innerhalb der "Schlüsselantragstellerbezeichnung" werden ? (In den Bildern geschwärzt, aber die Stelle, wo es so ist, mit grün gekennzeichnet + 8 dazu geschrieben in grün... )

Nochmal im Vergleich zu siehe oben:

Also der Teil 1 der Frage ist denke geklärt jetzt schon -das passt zu Ihrer sehr hilfreichen Antwort bei "KIM und neue SMC-B bei gleicher Telematik-ID-Frage" und dort hab ich es jetzt mit reingenommen und nochmal dazu in beziehung gesetzt.

@MLangguth Weiterhin offen ist für mich aber immer noch der 2. Teil dieses Beitrags: dieses "p.12Zertifikat", was man runterladen kann und was in den KIM Client Data zu liegen kommt - und von dem die ersten 8 Ziffern (grün) der regcode sind.


Auch level 2Support CGM, den ich was wunder eben nach wenigen Minuten überraschenderweise an den Apparat bekam ohne Warteschleife- konnte mir dazu nichts sagen: Also hier ist mir die funktionelle Einordnung immer noch unklar, habe aber zumindest auch hier jetzt einige Ideen, wie man es ggf. funktionell einordnen könnte, bin mir aber nicht sicher:

Evt. passt DAS jetzt wieder noch mit zu meiner Frage mit Reg/Deregprozess? Also dass hier sich CGM (oder ggf. jeder KIM Provider) doch noch was Eigenes bastelt , wo offensichtlich der RegCode mit verwendet wird- und sich über dieses Zertifikat somit selbst absichert, dass ein ordentlicher Bestellprozess hinter der KIM Adresse, die verwendet wird, steht?

Und interessant wäre dann aber auch, wenn es auch noch länger hin ist: auch dieses Zertfiikat hat offensichtlich nur 5 Jahre Laufzeit...was ist, wenn das mal ausläuft?

(Und evt. ist dieser Punkt auch nochmal wichtig, für die Fallkonstellation "Servermigration"- also wenn ein Server komplett neu aufgesetzt wird und wir mal von der Fallkonstellation ausgehen, dass nicht der alte KIM aus einem Image sauber rückgesichert werden kann: dann muss vermutlich , damit man speziell dieses p.12 bekommt, neu wieder registriert werden, und DAS wiederum geht evt. dann nur, wenn man vorher auf dem alten Server deregistirert? Wir haben ja auch hier bereits im Forum so einen Beitrag laufen, wo es Probleme mit CGM KIM Standalone bei Servermigration gab...)

Hallo,
bzgl "Allen "Zertifikaten" in der Liste ist die Zahl 10 vorangestellt- das erste in der LIste hat der 10 nachfolgend dann die gleiche Nummer wie die aktuell laufende SMC-B.":

Die "10" bedeutet in Ihrem Fall, dass es SMCBs der Dtrust sind; die Nummer hinter "10." ist die ICCSN der SMCB; Ihre neue SMCB hat zwei Verschlüsselungszertifikate , die - weil auf der gleichen Karte "befindlich" - die selbe ICCSN haben; deswg sind da 2* die gleichen Nummern gezeigt

Bzgl ".p12"
Das Zertifikat in der p12 wird für die Clientauthentifizierung zum Fachdienst und für eine TLS-Verbindung zum E-Mail-Client verwendet. Der Sinn der PKCS#12-Datei ist ausführlicher in der gemSpec_CM_KOMLE beschrieben u wird nicht für die Ende zu Ende Verschlüsselung einer KIM Nachricht verwendet

Vielen Dank für die ausführlichen p.12 Erläuterungen:-) super, jetzt hab ich endlich wieder rundes Bild zu der Sache und die Einzelteile passen wieder zueinander, yeah...

Dann komm ich nochmal auf das Thema Servermigration/KIM Client Modul zurück:

Zitat von Junioruser1976 im Beitrag #3

---

Und evt. ist dieser Punkt auch nochmal wichtig, für die Fallkonstellation "Servermigration"-

---

Zitat von rfkoem im Beitrag #2

---

so wie ich die ti kenne, geht alles vollautomatisch,

---