Neues aus der DFN-PKI. Jürgen Brauckmann

Transkript

1 Neues aus der DFN-PKI Jürgen Brauckmann

2 Überblick Aktuelle Betriebsinformationen Re-Audit, CP Validierung von -Adressen Cipher Suites für TLS 59. Betriebstagung des DFN-Vereins Folie 2

3 Aktuelle Betriebsinformationen 59. Betriebstagung des DFN-Vereins Folie 3

4 Aktuelles (1) Mehr als 340 Einrichtungen nutzen DFN-PKI Ca gültige Zertifikate Ca gesperrte Zertifikate 1100 Teilnehmerservice-Mitarbeiter Grid: 1060 gültige Zertifikate, 140 weniger als zur letzten BT 59. Betriebstagung des DFN-Vereins Folie 4

5 Aktuelles (2) Nach wie vor ca. 1,9 Millionen OCSP-Anfragen und ca. 4,9 Millionen CRL-Anfragen pro Tag Davon IPv6: Ca. 3%, bei OCSP bis zu 6% IPv6-Adressen können demnächst in Zertifikate aufgenommen werden! Umstieg auf SHA-2 läuft 59. Betriebstagung des DFN-Vereins Folie 5

6 Aktuelles (3) Workshops: 2. DFN-Workshop Datenschutz Hamburg, DFN-Workshop Sicherheit in vernetzten Systemen Hamburg, Bei Interesse an Veranstaltungen: Betriebstagung des DFN-Vereins Folie 6

7 Re-Audit, CP 59. Betriebstagung des DFN-Vereins Folie 7

8 Re-Audit, CP (1) Letztes Jahr: 59. Betriebstagung des DFN-Vereins Folie 8

9 Re-Audit, CP (2) Dieses Jahr: Wiederholungsaudit, Routine Änderung LCP->OVCP Fortschreibung der Audit-Standards => Kleine Anpassungen am CP Besuche mit TÜViT bei Anwendern 59. Betriebstagung des DFN-Vereins Folie 9

10 Re-Audit, CP (3) Selbst-Überprüfung TS-Mitarbeiter: Handlungsberechtigte Person muss jährlich Dokumentation anlegen: TS-Mitarbeiter immer noch dabei (Wenn nicht: Abmeldung bei PCA!) TS-Mitarbeiter kennt grundlegende Dokumente Werkzeuge: Java-RA-Oberfläche kann bald Dokumentation ausdrucken, Abmeldung erleichtern 59. Betriebstagung des DFN-Vereins Folie 10

11 Re-Audit, CP (4) 59. Betriebstagung des DFN-Vereins Folie 11

12 Validierung von -Adressen 59. Betriebstagung des DFN-Vereins Folie 12

13 Validierung von -Adressen (1) Bisher: -Adressen werden manuell geprüft => Einfach für einrichtungseigene Adressen => Schwierig für externe Adressen ( jbr1898@web.de ) Ergänzung: Challenge-Response für externe -Adressen Einführung in Betriebstagung des DFN-Vereins Folie 13

14 Validierung von -Adressen (2) Verfahren: Beantragung von Zertifikaten mit externer Adresse löst Mail an Antragsteller aus: Bitte bestätigen Sie Ihre -Adresse: Erst nach Bestätigung kann der Antrag genehmigt werden 59. Betriebstagung des DFN-Vereins Folie 14

15 Cipher Suites für TLS 59. Betriebstagung des DFN-Vereins Folie 15

16 Cipher Suites für TLS (1) TLS und Krypto-Algorithmen Über 300 Kombinationen Auch unsichere/schwache! Konfigurationsarbeit! Aktuelle Cipher-Attacken (BEAST, CRIME, BREACH, Lucky 13, RC4,...) Politik (Forward Secrecy...) 59. Betriebstagung des DFN-Vereins Folie 16

17 Cipher Suites für TLS (2) Zielkonflikt: 1. Resistenz gegen BEAST/CRIME 2. Forward Secrecy 3. Rückwärtskompatibilität Client 4. Fähigkeiten des Servers => Lösung für 1. und 2.: ECDHE+RSA/AES/GCM Aber: Nur ab TLS 1.2 Kompromiss für 1.,3. und 4.: RC4 Aber: RC4 hat Schwächen Kompromiss für 2.,3. und 4.: DHE+RSA/AES 59. Betriebstagung des DFN-Vereins Folie 17

18 Cipher Suites für TLS (3) Konfigurationsvariablen: Apache: SSLCipherSuite nginx: ssl_ciphers postfix: smtpd_tls_mandatory_ciphers, smtpd_tls_mandatory_exclude_ciphers, smtp_tls_eecdh_grade openldap: TLSCipherSuite exim: tls_require_ciphers 59. Betriebstagung des DFN-Vereins Folie 18

19 Cipher Suites für TLS (4) Beispiel für openssl-basierte Software: SSLCipherSuite DHE-RSA-AES256-SHA:RC4:HIGH:!MD5:!ADH Beispiel für gnutls-basierte Software: tls_require_ciphers PFS:RC4:-MD5 59. Betriebstagung des DFN-Vereins Folie 19

20 Cipher Suites für TLS (5) Konfiguration für IIS: Registry z.b.: [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\C ontrol\securityproviders\schannel\protocols\tls 1.2\Server] "Enabled"=dword: Group Policy Management Console: Computer\ Configuration\Policies\Administrative Templates\Network\SSL Configuration Settings 59. Betriebstagung des DFN-Vereins Folie 20

21 Cipher Suites für TLS (6) Fazit: Komplex Moving target Wichtig, muss man sich mit beschäftigen Testmöglichkeit: Betriebstagung des DFN-Vereins Folie 21

22 Zusammenfassung 59. Betriebstagung des DFN-Vereins Folie 22

23 Zusammenfassung Aktuelle Betriebsinformationen Re-Audit, CP Selbst-Überprüfung TS-Mitarbeiter Validierung von -Adressen Cipher Suites für TLS Betriebstagung des DFN-Vereins Folie 23