Sichere und Nutzerzertifizierung an der TUM

Transkript

1 Sichere und Nutzerzertifizierung an der TUM Ziele, Ansatz, Herausforderungen Dr. Matthias Wachs TUM IT-Management Lehrstuhl für Netzarchitekturen und Netzdienste Technische Universität München ZKI AK Verzeichnisdienste Frühjahrstreffen März 2016 Technische Universität München 1

2 Heute und in Zukunft ist einer wichtigsten Dienste im Internet -Nutzung 2015 durchschnittlich 1 : 122 s pro Nutzer pro Tag 205,6 Milliarden s pro Tag Nutzung nimmt weiter zu! Statistics-Report Executive-Summary.pdf Technische Universität München 2

3 Probleme und Herausforderungen ist älter als 35 Jahre: Ursprünglich keinerlei Sicherheit! Technische Universität München 3

4 Probleme und Herausforderungen ist älter als 35 Jahre: Ursprünglich keinerlei Sicherheit! Keine Authentifizierung des Absenders: Sender kann beliebigen Absender angeben Kein Schutz vor Veränderung: Nachrichten können verändert werden Keine vertrauliche Kommunikation: Nachrichten können mitgelesen werden Technische Universität München 3

5 Probleme und Herausforderungen Große Herausforderungen bei Verwendung von Sensible Daten Geschäftskritische Daten Digitalisierung von Geschäftsprozessen Technische Universität München 4

6 Sichere an der TUM Ziel Sichere -Kommunikation für Mitglieder der TUM Technische Universität München 5

7 Sichere an der TUM Ziel Sichere -Kommunikation für Mitglieder der TUM Für interne und externe -Kommunikation: Zusicherung über Urheberschaft Schutz vor Veränderung Vertraulichkeit Technische Universität München 5

8 Sichere im Überblick Signieren der Nachricht: Authentizität & Integrität Verschlüsseln der Nachricht: Vertraulichkeit Technische Universität München 6

9 Sichere im Überblick Signieren der Nachricht: Authentizität & Integrität Verschlüsseln der Nachricht: Vertraulichkeit 2 Verfahren für sichere S/MIME: Einfacher zu verwenden OpenPGP: Facebook, GMX, Web.de, D Technische Universität München 6

10 Sichere im Überblick Verfahren für sichere S/MIME OpenPGP Technische Universität München 7

11 Sichere im Überblick Verfahren für sichere S/MIME OpenPGP Verfahren Primitiven Identifikation Public-Key Kryptografie mit RSA Signatur, Verschlüsselung, Authentifikation Digitale Zertifikate Technische Universität München 7

12 Sichere im Überblick Verfahren für sichere S/MIME OpenPGP Verfahren Primitiven Identifikation Public-Key Kryptografie mit RSA Signatur, Verschlüsselung, Authentifikation Digitale Zertifikate Austellung Zertifizierungsstelle Nutzer Prüfung Hierarchische X.509 PKI Web of Trust Verteilung LDAP Keyserver Technische Universität München 7

13 Sichere im Überblick Verfahren für sichere S/MIME OpenPGP Verfahren Primitiven Identifikation Public-Key Kryptografie mit RSA Signatur, Verschlüsselung, Authentifikation Digitale Zertifikate Austellung Zertifizierungsstelle Nutzer Prüfung Hierarchische X.509 PKI Web of Trust Verteilung LDAP Keyserver Vorteil Einfachere Verwendung Weniger Infrastruktur Technische Universität München 7

14 Sichere an der TUM Ansatz Alle Mitglieder werden mit digitalen Zertifikaten ausgestattet Technische Universität München 8

15 Sichere an der TUM Ansatz Alle Mitglieder werden mit digitalen Zertifikaten ausgestattet Verwendung: Absicherung der -Kommunikation Technische Universität München 8

16 Sichere an der TUM Ansatz Alle Mitglieder werden mit digitalen Zertifikaten ausgestattet Verwendung: Absicherung der -Kommunikation Absicherung der Kommunikation (Telefonie, Messaging) Identitätsnachweis bei Onlineverfahren Schutz von digitalen Dokumenten Anmeldung an Onlinediensten Zugang zu Rechnersystemen Signieren von Programmencode Technische Universität München 8

17 Sichere im Überblick Herausforderungen Nutzerfreundlichkeit Effiziente Prozesse mit niedrigem Aufwand Integration in existierende IT-Infrastruktur Sicherheit auf dem Stand der Technik Technische Universität München 9

18 Sichere an der TUM Herausforderungen Komplexer Lebenszyklus: Nutzerregistrierung und -identifikation Beantragung Bezug, Installation und Verwendung Veröffentlichung Verlängerung Änderung Zurückziehen Technische Universität München 10

19 Sichere an der TUM Ansatz Zertifizierungsdienst: Beantragung und Verwaltung Erstellen von X.509 & OpenPGP Zertifikaten Personen/Funktions/Gruppenzertifikate Enge Integration mit IDM Zusammenarbeit mit PKIs, IDM und Verzeichnisdiensten Zugriff über Webportal und Applikation Technische Universität München 11

20 Sichere an der TUM Ansatz Zertifizierungsapplikation: Auf Anwendersystemen Automatisierung aller Aufgaben: Bezug, Installation, Konfiguration Nutzerinteraktion Aufsetzen neuer Systeme Technische Universität München 12

21 Technische Universita t Mu nchen Sichere an der TUM TUMonline-basierter Ansatz TUMonline zentrales System der TUM: I Campus- & Identity-Management I Portal zur Prozessabwicklung c 2015, Andreas Bernhofer Technische Universita t Mu nchen 13

22 Sichere an der TUM TUMonline-basierter Ansatz Zertifikatverwaltung in TUMonline: Abbildung Prozesse in TUMonline Browser Anwender Webserver + mod_plsql Nutzer verwalten Zertifikate über TUMonline Kollaboration externe Diensten: X.509 PKI, LDAP, etc. TUM-Online Oracle 11 DB Zertifizierungsdienst Kryptografische Java Applikation Operationen X.509 & S/MIME Zertifizierungsanfragen Bouncy Castle Java Security Extension Java Applikation DFN PKI Technische Universität München 14

23 Sichere an der TUM Kollaboration mit externen Diensten Bezieht Nutzerinformationen aus IDM: Nutzer, Organisation, -Adressen Rollen, Berechtigungen,.. Zertifikatsverwaltung mit PKI: DFN-PKI, CMP,... Veröffentlichung von Information: TUMonline Verzeichnisdienste: LDAP, AD, Key-Server Technische Universität München 15

24 Sichere an der TUM Vorteile Durch enge Kopplung mit IDM: Integration in existierende Prozesse IT-Systeme Reaktion bei Veränderungen: Nutzer/Gruppe/Funktion hinzugekommen oder gelöscht Realisierung zentraler Richtlinien Als Erweiterung mit weniger Aufwand zu realisieren Technische Universität München 16

25 Sichere an der TUM Verwendung 1. Ausbaustufe Nutzer greift auf Dienst über Weportal zu: Technische Universität München 17

26 Sichere an der TUM Verwendung 1. Ausbaustufe Nutzer greift auf Dienst über Weportal zu: Meldet sich an TUMonline an Ruft Zertifikatsverwaltung auf Wählt Aktion Zertifikat beantragen Wählt gewünschte E-Adressen und Optionen aus Schlüsselmaterial wird bei Anwender erzeugt Applikation prüft Antrag und leitet an PKI weiter Erstelltes Zertifikat über TUMonline abrufbar Technische Universität München 17

27 Sichere an der TUM Verwendung 2. Ausbaustufe Nutzer verwenden Applikation auf Anwendersystemen: Technische Universität München 18

28 Sichere an der TUM Verwendung 2. Ausbaustufe Nutzer verwenden Applikation auf Anwendersystemen: Neue Rechnersysteme Bezug und Installation von Zertifikaten Konfiguration in Anwendungen Interaktion mit Nutzer Verwaltung von Zertifikaten Synchronisation und Backup Technische Universität München 18

29 Sichere an der TUM Komplexe Probleme Kopplung mit dezentralen Systemen: Hinterlegung weiterer -Adressen Technische Universität München 19

30 Sichere an der TUM Komplexe Probleme Kopplung mit dezentralen Systemen: Hinterlegung weiterer -Adressen Verlust von Zertifikaten: Sicherungs- und Wiederherstellungsverfahren Technische Universität München 19

31 Sichere an der TUM Komplexe Probleme Kopplung mit dezentralen Systemen: Hinterlegung weiterer -Adressen Verlust von Zertifikaten: Sicherungs- und Wiederherstellungsverfahren Verlust des Mitarbeiters: Sicherungs- und Wiederherstellungsverfahren für Dritte Technische Universität München 19

32 Sichere an der TUM Komplexe Probleme Kopplung mit dezentralen Systemen: Hinterlegung weiterer -Adressen Verlust von Zertifikaten: Sicherungs- und Wiederherstellungsverfahren Verlust des Mitarbeiters: Sicherungs- und Wiederherstellungsverfahren für Dritte Nutzer verwendet mehrere Endgeräte: Synchronisation mit Dienst und App Technische Universität München 19

33 Sichere an der TUM Zusammenfassung Zentraler Zertifizierungsdienst Erstellung und Verwaltung von X.509 und OpenPGP Zertifikaten Kompletter Lebenszyklus abgedeckt Enge Integration mit IDM und Verzeichnisdiensten Nutzerapplikation Verwendung der Zertifikate beim Anwender Automatisches Aufsetzen von Systemen Sicherung und Synchronisation Technische Universität München 20

34 Danke für die Aufmerksamkeit! Fragen? Technische Universität München 21

35 Quellen Statistics-Report Executive-Summary.pdf Technische Universität München 22

36 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Welche Verfahren für sichere werden unterstützt? Technische Universität München 23

37 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Welche Verfahren für sichere werden unterstützt? S/MIME: Standard für alle Nutzer OpenPGP: Unterstützung in Prozessen Zertifzierung existierendes Schlüsselmaterial Volle Unterstützung in weiterem Ausbauschritt Technische Universität München 23

38 Fragen & Herausforderungen für sichere an der TUM Welche -Adressen werden zertifiziert? Technische Universität München Technische Universität München 24

39 Fragen & Herausforderungen für sichere an der TUM Welche -Adressen werden zertifiziert? Technische Universität München Alle Addressen die in TUMonline hinterlegt sind Technische Universität München 24

40 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Welche -Adressen werden zertifiziert? Alle Addressen die in TUMonline hinterlegt sind Adressen aus dezentralen Systemen der TUM Private Adressen Technische Universität München 24

41 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Welche -Adressen werden zertifiziert? Alle Addressen die in TUMonline hinterlegt sind Adressen aus dezentralen Systemen der TUM Private Adressen Nutzer kann zusätzliche Adressen hinterlegen Adressen werden validiert Automatische Synchronisation möglich Technische Universität München 24

42 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Wie werden Zertifikate für Funktions/Gruppenadressen werden erstellt? Technische Universität München 25

43 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Wie werden Zertifikate für Funktions/Gruppenadressen werden erstellt? Gleicher Prozess: Funktion in TUMonline hinterlegt Beantragung durch Nutzer Benannter Kontakt & Mitglieder in TUMonline hinterlegt Beantragung durch benannten Kontakt Technische Universität München 25

44 Fragen & Herausforderungen für sichere an der TUM Was passiert beim Verlust von privaten Schlüsseln? Technische Universität München Technische Universität München 26

45 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Was passiert beim Verlust von privaten Schlüsseln? Sicherungs- und Wiederherstellungsfunktion: Private Schlüssel können gesichert werden Verschlüsselt gespeichert in Zertifikatsverwaltung Durch Besitzer wiederherstellbar Gerätesynchronisation Technische Universität München 26

46 Fragen & Herausforderungen für sichere an der TUM Was passiert beim Verlust des Besitzers? Technische Universität München Technische Universität München 27

47 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Was passiert beim Verlust des Besitzers? Sicherungs- und Wiederherstellungsfunktion für Dritte: Prozess zur Wiederherstellung Benannte Kontakte zur Wiederherstellung Mehraugen-Prinzip / Geteiltes Geheimnis (Secret Sharing) Zusammenarbeit von benannten Kontakten Technische Universität München 27

48 Fragen & Herausforderungen für sichere an der TUM Secret Sharing Technische Universität München Vertrauenswürdige Person P1 Öffentlicher Schlüssel P1 Verschlüsselung Privater Schlüssel P1 Entschlüsselung Anwender Geheimer Schlüssel K_anwender Geheimer Schlüssel K1_anwender Geheimer Schlüssel K2_anwender Verschlüsselt P1 Geheimer Schlüssel K1_anwender Verschlüsselt P2 Geheimer Schlüssel K2_anwender Geheimer Schlüssel K1_anwender Geheimer Schlüssel K2_anwender Geheimer Schlüssel K_anwender Verschlüsselung Vertrauenswürdige Person P12 Öffentlicher Schlüssel P2 Entschlüsselung Privater Schlüssel P2 Technische Universität München 28

49 Fragen & Herausforderungen für sichere an der TUM Gefährdet Sicherung die digitale Identität? Technische Universität München Technische Universität München 29

50 Fragen & Herausforderungen für sichere an der TUM Gefährdet Sicherung die digitale Identität? Trennung Identität/Verschlüsselung: S/MIME: Identitätszertifikat Verschlüsselungszertifikat OpenPGP: Unterschlüssel Nur Schlüssel für Verschlüsselung für Dritte gesichert! Technische Universität München 29

51 Fragen & Herausforderungen für sichere an der TUM Aber nicht alle Benutzer sind gleich? Technische Universität München Technische Universität München 30

52 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Aber nicht alle Benutzer sind gleich? Unterscheidung durch Zertifizierungsrichtlinien: Rolle: Student, Mitarbeiter, Alumni Einrichtung: ZV, IN, MW,... Verfahren: Sicherung Dritte? Gültigkeitsdauer?... Technische Universität München 30

53 Fragen & Herausforderungen für sichere an der TUM Können Dienste wie TUMonline/Moodle/... s signieren und verschlüsseln? Technische Universität München Technische Universität München 31

54 Fragen & Herausforderungen für sichere an der TUM Können Dienste wie TUMonline/Moodle/... s signieren und verschlüsseln? Ja S/MIME: Serverzertifikat keyusage: nonrepudiation, digitalsignature, keyencipherment extendedkeyusage: protection OpenPGP: Schlüsselpaar mit TUM-Zertifizierung Technische Universität München Technische Universität München 31

55 Herausforderungen für sichere an der TUM Wie können Nutzer bei Verwendung unterstützt werden? Technische Universität München 32

56 Herausforderungen für sichere an der TUM Wie können Nutzer bei Verwendung unterstützt werden? Zertifikatsverwaltungsapplikation: Auf Anwendersystemen Automatisierung der Prozesse Kein Nutzereingriff Bezug & Installation Konfiguration -Programme Zertifikatsverwaltungsapplikation Webserver + mod_plsql TUM-Online Oracle 11 DB Anwender Browser Zertifizierungs- Dienst Java Applikation Kryptografische Operationen X.509 & S/MIME Bouncy Castle Java Security Extension Java Applikation Technische Universität München 32

57 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Wie findet die Identifizierung der Nutzer statt? Prozesse aufwandsminimiert: Onlineverfahren Verwendung geprüfter Information aus TUMonline Von Prozess unterstützt wenn unbedingt erforderlich Technische Universität München 33

58 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Wieviel Zertifikate werden erstellt? Mehrere: Nutzer kann Adressen für Zertifikat auswählen Technische Universität München 34

59 Fragen & Herausforderungen für sichere an der TUM Technische Universität München Wo werden kryptografische Schlüssel erzeugt? Private Schlüssel sind geheimes Wissen: Digitale Identität Vertraulichkeit Dezentral beim Nutzer (z.b. im Browser) Zur Zeit Ausnahme: Sicherung für Dritte Zentrale Erzeugung des Verschlüsselungsschlüssels Technische Universität München 35