Erfahrungen aus der Implementierung einer PKI

Transkript

1 Hessen PKI - Die Sicherheitsinfrastruktur des Landes Hessen Erfahrungen aus der Implementierung einer PKI Dr. Klaus-Dieter Brinkmann, HZD II. Architects Forum 14. April 2005 in Wuppertal

2

3 Agenda Was ist Hessen PKI Wie bekommt man eine Chipkarte Was macht man bei Verlust der Chipkarte Wie werden Zertifikate wiederhergestellt Erfahrungen und Ausblick Folie 6 Dr.K.D.Brinkmann HPKI_Wuppertal_050414

4 Hessen AD Hessen.de Programmierer Hessen AD hzd.hessen.de Audit User Help Desk W h i Exchange Server Share Point Team Service Key Recovery Agent Regelmassige Zertifizierung Stelle ( CA ) Aufgaben Registrierungs Agent Internet W h i W h i Regelmassige Aufgaben Anwender Intranet Vorortbetreuer Projektteam Beim Klicken weitere Informationen Folie 1 Dr.K.D.Brinkmann HPKI_Unter2_ I f i

5 HESSEN PKI Registrierungsagent Der Registrierungsagent hat die Aufgabe Zertifikate bei der C A (Certification Authority ) zu beantragen, diese auf die Chipkarte zu schreiben und ggf. im Active Directory zu veröffentlichen. Weiterhin soll ein PUK Brief erstellt werden, damit bei Fehlbedienung der PIN die Zertifikate der Hessen PKI entsperrt werden können. Bevor diese technischen Aufgaben durchgeführt werden können, sind organisatorische Massnahmen erforderlich. I f i Folie 1 Dr.K.D.Brinkmann HPKI_RA_050501

6 HESSEN PKI Registrierungsagent Nachdem die Personalien überprüft worden sind und die Identität an Hand des Personalausweises festgestellt wurde, wird eine Chipkarte, die in SPTS* inventarisiert und ggf. mit Legic-Informationen beschrieben ist, für die Aufnahme der Zertifikate in das Chipkarten-Lesegerät eingeführt und der RA-Assistent gestartet. * SharePoint TeamServices Projektportal auf SQL-Server Folie 5 Dr.K.D.Brinkmann HPKI_RA_050501

7 HESSEN PKI Registrierungsagent Folie 9 Dr.K.D.Brinkmann HPKI_RA_050501

8 HESSEN PKI Registrierungsagent Folie 10 Dr.K.D.Brinkmann HPKI_RA_050501

9 HESSEN PKI Registrierungsagent Folie 15 Dr.K.D.Brinkmann HPKI_RA_050501

10

11

12

13

14

15 Hessen PKI Zwischenergebnisse des Pilotversuches Microsoft 2003 CA Server stellt Vorlagen für Zertifikate zur Verfügung, die zur Erstellung von neuen Zertifikats-Typen genutzt werden können. Hiermit konnten Vorgaben für die Verwaltungs-PKI erfüllt werden. Am hat der Microsoft Windows 2003 Certificate Server nach Prüfung durch das Secorvo Prüflabor vom ISIS-MTT-Board das ISIS-MTT-Konformitätssiegel erhalten. Durch Entwicklung eines neuen Registrierungsagenten können Daten aus dem Active Directory vor Übernahme in die Smart Card kontrolliert und editiert werden. Durch die Anpassung des Crypto Service Provider von Kobil ist ein Key Recovery möglich. D.h. bei Verlust oder Zerstörung einer Karte kann der Schlüssel zur Verschlüsselung wieder hergestellt werden. Im April 2004 erhält Kobil Microsoft-Zertifizierung und wird Microsoft ISV-Partner. Weltweit erster CSP Verified for Windows XP. I f i Folie 1 Dr.K.D.Brinkmann HPKI_Unter03_050501

16 Hessen PKI Zwischenergebnisse des Pilotversuches Die Installation der Chipkarten-Leser ist mit ca. 20 Minuten pro Gerät zu aufwändig Die Chipkarten-Leser werden von den Anwendern als zu langsam bezeichnet Absicherung von Laptops durch Chipkarten bisher noch nicht möglich I f i Folie 2 Dr.K.D.Brinkmann HPKI_Unter03_050501

17 Hessen PKI Zwischenergebnisse des Pilotversuches Der neue RA erzeugt u.a. automatisch PIN und Sperrkennwort,speichert Zertifikatsdaten und Legic Chip Information in Zertifikatzwischenspeicher und druckt den PUK Brief automatisch Die Ausgabe der Karten erfordert mehr Aufwand als geplant I f i Folie 3 Dr.K.D.Brinkmann HPKI_Unter03_050501

18 Hessen PKI Zwischenergebnisse des Pilotversuches Fehler bei der Nutzung wurden bisher wenig gemeldet Die Nutzung als Multifunktionale Karte scheint keine Probleme zu bereiten Signieren von Office Dokumenten und mit Acrobat Writer funktioniert ohne Probleme Kryptografische Validierung unter Outlook kann zu Irritationen führen Der neue CSP zeigt an, auf welche Zertifikate zugegriffen wird. I f i Folie 4 Dr.K.D.Brinkmann HPKI_Unter03_050501

19 Hessen PKI Aufnahme Wirkbetrieb 2005 Hessen PKI ist Bestandteil der egovernment Strategie des Landes Hessen und wird bis Mitte 2005 in den Wirkbetrieb überführt. Nutzung durch Erlass vom Januar 2005 vorgeschrieben! Das Metadirectory Land Hessen MLH auf Basis DirX ist führendes System für alle Personaldaten. Ein Beitritt zur Verwaltungs PKI ist für Sommer 2005 geplant. Mehrere Ministerien, die HZD und Dienststellen aus dem nachgeordneten Bereich sollen zu 100 % mit Chipkarten ausgestattet werden. I f i Folie 6 Dr.K.D.Brinkmann HPKI_Unter03_050501

20 Hessen PKI Aufnahme Wirkbetrieb 2005 Ausbaustufe 1 Verschlüsselungsund Signaturzertifikate Logonzertifikate I f i Folie 7 Dr.K.D.Brinkmann HPKI_Unter03_050501

21 Hessen PKI Aufnahme Wirkbetrieb 200x Ausbaustufe x Verschlüsselungsund Signaturzertifikate Logonzertifikate I f i Folie 8 Dr.K.D.Brinkmann HPKI_Unter03_050501

22 Hessen PKI Chipkarte Prozessor für kryptografische Verfahren qualifizierte und fortgeschrittene Signatur Verschlüsselung Windows Logon Legic Chip mit genormter Datenstruktur für Hessische Dienststellen RFID Technologie Zugangskontrolle Zeiterfassung Bezahlfunktion etc. Folie 9 Dr.K.D.Brinkmann HPKI_Unter03_050501