Neues aus der DFN-PKI. Jürgen Brauckmann

Transkript

1 Neues aus der DFN-PKI Jürgen Brauckmann

2 Überblick Aktuelles eidas OCSP Stapling HTTP Security Header DFN-PKI: Änderungen Betriebstagung des DFN-Vereins Folie 2

3 Aktuelles TÜViT Audit 2014 abgeschlossen. Audit-Besuche bei Anwendern sehr erfolgreich, vielen Dank! Änderungen Dezember 2014 für DFN-PKI Global: Serverzertifikate enthalten keine Mailadressen mehr OCSP-URL in allen Nutzerzertifikate 62. Betriebstagung des DFN-Vereins Folie 3

4 eidas 62. Betriebstagung des DFN-Vereins Folie 4

5 eidas Verordnung über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG => eidas Regulation, Nr. 910/2014 Nachfolger der EU Signaturrichtline (relevant für qualifizierte Signaturen) Im September 2014 in Kraft getreten Direkt rechtsgültig, keine Interpretation durch nationale Gesetzgebung Aber: Erfordert Begleitgesetze, die es noch nicht gibt 62. Betriebstagung des DFN-Vereins Folie 5

6 eidas Viel umfassender als alte Signaturrichtlinie: eid (wie im Neuen Personalausweis) => Hochschulen ab 2018 betroffen? qualifizierte Zertifikate/Signaturen qualifizierte Webserverzertifikate Zeitstempel Electronic Seals Trust Service Provider => Auch DFN-PKI betroffen? 62. Betriebstagung des DFN-Vereins Folie 6

7

8 eidas Termine: : Inkrafttreten von eidas : Regeln für Trust Service Provider treten in Kraft : Gegenseite Anerkennung von eid verpflichtend 62. Betriebstagung des DFN-Vereins Folie 8

9 OCSP Stapling 62. Betriebstagung des DFN-Vereins Folie 9

10 OCSP Stapling Herkömmliche Sperrprüfung mit OCSP: Nachteile: Privacy, Latenz, evtl. Konnektivität 62. Betriebstagung des DFN-Vereins Folie 10

11 OCSP Stapling Lösung: OCSP-Stapling Server liefert Selbstauskunft an Browser 62. Betriebstagung des DFN-Vereins Folie 11

12 OCSP Stapling Implementiert in: Apache >=2.3.3 nginx >=1.3.7 IIS seit Windows Server 2008 (Default!) Konfig Apache: SSLStaplingCache shmcb:/tmp/stapling_cache(102400) SSLUseStapling on SSLStaplingReturnResponderErrors off Zu beachten: SSLStaplingCache außerhalb von VirtualHost SSLCACertificateFile muss konfiguriert sein DNS und Firewall vom Server zum OCSP-Responder? 62. Betriebstagung des DFN-Vereins Folie 12

13 OCSP Stapling Testen: SSL Labs Oder mit openssl: # openssl s_client -connect -status CONNECTED( ) depth=3 C = DE, O = Test, CN = Test Root verify error:num=19:self signed certificate in certificate chain verify return:0 OCSP response: ====================================== OCSP Response Data: OCSP Response Status: successful (0x0) Response Type: Basic OCSP Response [...] 62. Betriebstagung des DFN-Vereins Folie 13

14 HTTP Security Header 62. Betriebstagung des DFN-Vereins Folie 14

15 HTTP Security Header Ziel: Sicherheitsfunktionen im Browser aktivieren Methode: HTTP-Header Z.B. nach OWASP List of useful HTTP headers Verantwortlichkeit oft nicht klar: Server-Administration oder Software-Entwicklung? => Server-Administration kann durch Webserver- Konfiguration Sicherheitsfunktionen aktivieren Testen nicht vergessen, Nebenwirkungen nicht ausgeschlossen Betriebstagung des DFN-Vereins Folie 15

16 HTTP Security Header Beispiel für Apache mit mod_headers: Header always set \ Strict-Transport-Security \ max-age= Header always set \ X-Frame-Options SAMEORIGIN Header always set \ X-XSS-Protection 1; mode=block Header always set \ X-Content-Type-Options nosniff 62. Betriebstagung des DFN-Vereins Folie 16

17 DFN-PKI: Änderungen Betriebstagung des DFN-Vereins Folie 17

18 DFN-PKI: Änderungen 2015 Änderungen im Sicherheitsniveau Global aufgrund von Fristen des CA/Browserforums: Gültigkeit Serverzertifikate: Ab nur noch 39 Monate Serverzertifikate für interne Domains/Hostnamen/reservierte IP-Adressen: Gültigkeit aktuell bis max Sperrung aller evtl. früher ausgestellten derartiger Zertifikate bis Dokument mit Erläuterungen verfügbar 62. Betriebstagung des DFN-Vereins Folie 18

19 Zusammenfassung 62. Betriebstagung des DFN-Vereins Folie 19

20 Zusammenfassung eidas OCSP Stapling OWASP List of useful HTTP headers Interne Domainnamen/reservierte IP-Adressen bald nicht mehr in DFN-PKI Global 62. Betriebstagung des DFN-Vereins Folie 20