Open Source Public Key Infrastrukturen mit OpenXPKI

Transkript

1 Open Source Public Key Infrastrukturen mit OpenXPKI Alexander alech Klink, Cynops GmbH

2 Übersicht Kurze Einführung in PKI Smartcard-Personalisierung Support Hackers wanted! OpenXPKI Features und Konzepte Workflows am Beispiel Zertifikatsantrag Simple Certificate Enrollment Protocol (SCEP)

3 Public Key Infrastrukturen Protecting your private bits Alice und Bob, oder auch nicht Certificate Authorities (CAs) stellen Zertifikate aus -- an end entities (User/Server) oder CAs Zertifikatsantrag + Vertrauen + Freigabe = Zertifikat hierarchische Strukturierung von CAs 6. Gulaschprogrammiernacht --

4 OpenXPKI features All the best, for free Features, nicht die typische 5 Enterprise Minuten CA für das Heim-VPN 4.5+2% 6 <5'0=,-. 4"/ *(' 3"02'()0B 394 4"/ 3"/+2 3*0$ $" 9*1' 78# $9*$ *(' 1*+)2 *$ $9' #*&' $)&': F' )&5+'&'0$'2 $9)# $" #"+1' "0' "6 $9' 5("G+'&# &"#$,-. #"+/$)"0# 9*1' D $9' 'E5)(4 "6 $9' 78 %'($)6)%*$': CA rollover für kontinuierlichen Betrieb 4.5+2% 7 8/$"&*$)% 78 ("++"1'( 6. Gulaschprogrammiernacht --

5 # $%&'() * &+,-(&,./ 01 2-''-3%2 #$ %"&&'(%)*+,-. #"+/$)"0 1'02"(# 3)++ 3*0$ $" #'++ 4"/ * 0'3 5)'%' "6 #"6$3*(' 6"( * 0'3 ($)6)%*$' 8/$9"()$4: 7"0$(*(4 $" $9*$; <5'0=,-. "66'(# $" (/0 #'1'(*+ %"&5+'$'+4 )02'5'02'0$ All+'*2# the$"best, free@'*+&#a; 39)%9 B("/5# $"B'$9'( # 3)$9)0 $9' #*&' )0#$*++*$)"0: >9)# 39*$ 3'for %*++?,-. # 3)$9 $9' #*&' $*#C D 4"/ &)B9$ 9*1' *,-. ('*+& 6"( 4"/( '&5+"4''#; "0' 6"( 4"/( #'(1'(# 2 "0' 6"( 4"/( %/#$"&'(# 6"( 'E*&5+': F)$9)0 $9'#' ('*+&#; 4"/ %*0 2'6)0' 78# 39)%9 &)B9$ Multimandantenfähigkeit 0 G' 1*+)2 *$ $9'PKI #*&'realms $)&': OpenXPKI features 4.5+2% 6 <5'0=,-. 6. Gulaschprogrammiernacht -- 4G' 4"/ *(' 3"02'()0B 394 4"/ 3"/+2 3*0$ $" 9*1' 78# $9*$ *(' 1*+)2 *$ $9' #*&' $)&': F'

6 OpenXPKI Features All the best, for free Support für professionelle Backends: HSM, RDBMS, LDAP,... I18N: Englisch, Deutsch, Russisch Request-Tracker-Anbindung Flexibilität durch Workflows Interfaces: Web, SCEP, Perl Smartcard-Personalisierung Konfigurationsvererbung (<tag super=../../foo >) 6. Gulaschprogrammiernacht --

7 Workflows Beispiel Zertifikatsantrag Wie sieht es für den User aus? Zugriff über ein Webinterface PKCS#10-Upload Schlüsselgenerierung auf der CA Und so sieht s aus (ungefähr)... Erstellung durch Browser (SPKAC/XEnroll) 6. Gulaschprogrammiernacht --

8 Workflows Zertifikatsantrag: User Interface 6. Gulaschprogrammiernacht --

14 Workflows Visualisierung mit GraphViz INITIAL CREATED create_csr if ACL::create_csr States null2 if server_key_generation SERVER_KEY_GENERATION generate_key null if!server_key_generation KEY_GENERATED generate_pkcs10 PENDING change_details if ACL::change_csr_role approve_csr if ACL::approve_csr cancel_csr_approval if ACL::cancel_csr_approval APPROVAL approve_csr if ACL::approve_csr reject_csr if ACL::reject_csr persist_csr if ACL::persist_csr && Condition::check_csr_approvals reject_csr if ACL::reject_csr CSR_PERSISTED fork_cert_issuance REJECTED null SLEEPING_FOR_CHILD FAILURE sleep_for_child CHECK_CHILD_FINISHED null if wf_child_instance_finished SUCCESS Certificate Signing Request Workflow 6. Gulaschprogrammiernacht --

15 Workflows Visualisierung mit GraphViz INITIAL create_csr if ACL::create_csr CREATED null2 if server_key_generation SERVER_KEY_GENERATION generate_key null if!server_key_generation KEY_GENERATED generate_pkcs10 approve_csr if ACL::approve_csr PENDING change_details if ACL::change_csr_role cancel_csr_approval if ACL::cancel_csr_approval Activities (if condition) APPROVAL approve_csr if ACL::approve_csr reject_csr if ACL::reject_csr persist_csr if ACL::persist_csr && Condition::check_csr_approvals reject_csr if ACL::reject_csr CSR_PERSISTED fork_cert_issuance REJECTED null SLEEPING_FOR_CHILD FAILURE sleep_for_child CHECK_CHILD_FINISHED null if wf_child_instance_finished SUCCESS Certificate Signing Request Workflow 6. Gulaschprogrammiernacht --

16 if!server_key_generation INITIAL CREATED Workflows Visualisierung mit GraphViz create_csr if ACL::create_csr null2 if server_key_generation KEY_GENERATED generate_pkcs10 PENDING change_details if ACL::change_details SERVER_KEY_GENERATION generate_key KEY_GENERATED null if!server_key_generation approve_csr if ACL::approve_csr cancel_csr_approval if ACL::cancel_csr_approval generate_pkcs10 approve_csr if ACL::approve_csr PENDING change_details if ACL::change_csr_role cancel_csr_approval if ACL::cancel_csr_approval APPROVAL approve_csr if ACL::approve_csr reject_csr if ACL::reject_csr APPROVAL approve_csr if ACL::approve_csr reject_csr if ACL::reject_csr CSR_PERSISTED persist_csr if ACL::persist_csr && Condition::check_csr_approvals fork_cert_issuance reject_csr if ACL::reject_csr REJECTED null persist_csr if ACL::persist_csr && Condition::check_csr_approvals reject_csr if ACL::reject_csr SLEEPING_FOR_CHILD FAILURE sleep_for_child CHECK_CHILD_FINISHED null if wf_child_instance_finished CSR_PERSISTED Flexibles Approval REJECTED SUCCESS Certificate Signing Request Workflow fork_cert_issuance null SLEEPING_FOR_CHILD 6. Gulaschprogrammiernacht -- sleep_for_child FAILURE

17 Workflows XML-Konfiguration 6. Gulaschprogrammiernacht -- a snippet from workflow_def_certificate_signing_request.xml

18 Workflows ganz unten: Perl & Workflow.pm 6. Gulaschprogrammiernacht -- a snippet from Workflow/Activity/CSR/PersistRequest.pm

19 SCEP Worum geht s? SCEP = Simple Certificate Enrollment Protocol IETF-Draft ausgehend von Cisco Protokoll um automatisch Zertifikate zu beantragen oder zu erneueren PKCS#10 in PKCS#7 über HTTP (könnte also schlimmer sein...) In vielen Hardware-Devices eingebaut 6. Gulaschprogrammiernacht --

20 SCEP Die Motivation Alternative: manueller Prozess: Zertifikat anfordern, installieren, Ablaufdatum in den Kalender eintragen (wahrscheinlich mindestens den vom nächsten Jahr) Vor dem Ablaufdatum: gleiche Prozedur wiederholen... ziemlich unmöglich für große Installationen 6. Gulaschprogrammiernacht --

21 SCEP... unter Unix mit sscep CA-Zertifikate vom SCEP-Server anfordern Fingerprints überprüfen (out of band) 6. Gulaschprogrammiernacht --

22 SCEP... unter Unix mit sscep Zertifikatsantrag an die CA schicken Mit einem vorher generierten Schlüssel und PKCS#10-File 6. Gulaschprogrammiernacht --

23 SCEP... unter Unix mit sscep Zertifikatsantrag an die CA schicken... auf Freigabe warten... fertig! 6. Gulaschprogrammiernacht --

24 SCEP... schon wieder Workflows set_error_code_1 if!valid_signature_with_requested_dn INITIAL create CREATED extract_csr CSR_EXTRACTED null if valid_signature_with_requested_dn SIGNATURE_OK null2 if is_initial_enrollment INITIAL_ENROLLMENT set_error_code_4 if!initial_enrollment_allowed null if!is_initial_enrollment set_context_from_csr if initial_enrollment_allowed set_error_code_2 if!auto_renewal_allowed RENEWAL null if auto_renewal_allowed set_error_code_2 if!correct_timing RENEWAL_ALLOWED null if correct_number_of_valid_certs NUMBER_OF_VALID_CERTS_CORRECT reject_csr if ACL::reject_csr FAILURE set_context_from_original_cert if correct_timing TIMING_CORRECT null if auto_approval_allowed &&!signed_using_original_cert null2 if!auto_approval_allowed &&!signed_using_original_cert null3 if!auto_approval_allowed && signed_using_original_cert change_details if ACL::change_details PENDING cancel_csr_approval if ACL::cancel_csr_approval approve_csr if ACL::approve_csr reject_csr if ACL::reject_csr set_error_code_2 if wf_child_instance_failure das kommt uns bekannt vor... change_session_role_to_ca_operator if auto_approval_allowed && signed_using_original_cert approve_csr if ACL::approve_csr APPROVAL persist_csr persist_csr if ACL::persist_csr && Condition::check_csr_approvals APPROVED fork_cert_issuance_instance FORKED sleep_for_child WAITED_FOR_CHILD SESSION_ROLE_CHANGED null if wf_child_instance_success set_error_code_2 if!correct_number_of_valid_certs 6. Gulaschprogrammiernacht -- SUCCESS

25 SCEP... schon wieder Workflows Approval: ull!signed_using_original_cert ll2!signed_using_original_cert ll3 & signed_using_original_cert change_details if ACL::change_details PENDING cancel_csr_approval if ACL::cancel_csr_approval approve_csr if ACL::approve_csr le_to_ca_operator signed_using_original_cert approve_csr if ACL::approve_csr APPROVAL persist_csr if ACL::persist_csr && Condition::check_csr_approvals 6. Gulaschprogrammiernacht -- APPROVED

26 SCEP Alternativen PKIX-CMP (Certificate Management Protocol) standardisiert in RFC 4210, 4211, aber sehr wenig benutzt... CMC (CM over CMS, kein Transport definiert) RFC 2797, wird von Microsoft CA mit COM/ DCOM als proprietärem Transport genutzt Support in OpenXPKI wäre super, da wir so einfach eine MS CA für Domain-Controller- Enrollment ersetzen könnten 6. Gulaschprogrammiernacht --

27 SCEP Hilfswerkzeug: CertNanny Automatisches Renewal von Zertifikaten und Austausch im Keystore (SCEP + Signatur mit dem alten Zertifikat) Verfügbar auf Unix (getestet: Linux, AIX, Solaris, Darwin), Win32, Tandem NonStop Arbeitet mit OpenSSL-Schlüsseln, PKCS#8, Java Keystores, IBM GSKit, Windows Certificate Store, PKCS#12 weit verbreitet in einer großen Bank 6. Gulaschprogrammiernacht --

28 Smartcard-Personalisierung Wofür eigentlich Smartcards? Authentisierung: Smartcard logon (W)LAN (802.1x) Fileserver-Verschlüsselung (outsourcing!) ( )-Encryption...aber: Problem Key Recovery 6. Gulaschprogrammiernacht --

29 Smartcard-Personalisierung Warum Self-Service-Personalisierung? Eine große Anzahl Karten in einen funktionsfähigen Zustand bringen: selbst machen oder es die Benutzer machen lassen Da fällt die Entscheidung leicht :-) User braucht nur IE, Smartcard-Treiber und ein bisschen Zeit screencast 6. Gulaschprogrammiernacht --

30 Die Zukunft von OpenXPKI Releases und neue Ideen Erstes Release real soon now (dieses Jahr) Dokumentation (Wiki statt DocBook) Testen, testen, testen mittelfristig: Anbindung an Tivoli, Nagios,... Cluster-Support Neue Live-CD-Version 6. Gulaschprogrammiernacht --

31 Support Wenn RTFM nicht weiterhilft... Leider ist die Dokumentation noch nicht fertig aber selbst wenn sie es irgendwann ist, ist OpenXPKI immer noch ziemlich komplex Support über die Mailingliste: Sourceforge Tracker #openxpki im Freenode-Netz Cynops GmbH bietet auch kommerziellen Support an... :-) 6. Gulaschprogrammiernacht --

32 Hackers wanted Use it, break it, enhance it... Wir sind immer auf der Suche nach neuen Leuten Entwicklern Bug^H^H^H Feature-Reportern :-) Leute, die gerne WTFM betreiben Leute, die gerne Exploits finden Leute, die SCEP-Hardware besitzen Gleich, oder später: 6. Gulaschprogrammiernacht --

33 Fragen? Kommentare? Konfusion? Jetzt ist Zeit dafür... Aber gerne auch noch später: hier oder via Danke für Eure Zeit! 6. Gulaschprogrammiernacht --