Neues aus der DFN-PKI. Jürgen Brauckmann

Transkript

1 Neues aus der DFN-PKI Jürgen Brauckmann

2 Überblick Aktuelles Nachfolge Deutsche Telekom Root CA 2 Sperrung DFN-PCA-Zertifikat 02/ Betriebstagung des DFN-Vereins Folie 2

3 Aktuelles Audit 2015: Erfolgreich durchgeführt. Danke für die Unterstützung! Aktuelle Zertifikatzahlen: gültige Nutzerzertifikate ( Personen) gültige Serverzertifikate 64. Betriebstagung des DFN-Vereins Folie 3

4 Aktuelles SHA-1 seit Ende 2015 in Zertifikaten verboten (nach wie vor OK: Requests, Signatur der Root) Einige Fehler bei anderen CAs (z.b. Symantec) Probleme bei DFN-PKI Anwendern, z.b. mit Druckmanagement-Systemen 64. Betriebstagung des DFN-Vereins Folie 4

5 Aktuelles Zertifikate für interne Domains / reservierte IP- Adressen: Localhost, uni-pellworm.intern, In Global verboten seit Ende Oktober 2015! Zum Sperrung noch bestehender Zertifikate 64. Betriebstagung des DFN-Vereins Folie 5

6 Aktuelles DROWN Attack veröffentlicht; wenn ein Server SSLv2 anbietet, kann auch der sichere TLS 1.2 Traffic entschlüsselt werden (auch nachträglich) (auch von Servern, die den Privkey sharen) TLS-Algorithmen kontinuierlich anpassen! Betriebstagung des DFN-Vereins Folie 6

7 Aktuelles Status Let's Encrypt: Produktiv, 90 Tage lang gültige Zertifikate Aktuell nur für Server, die public sind Keine IP-Adressen Zustand : Roh DANGER: Do not implement this specification. It has a known signature reuse vulnerability. For details, see the following discussion: qq1o_qpvhjcv4dqwf-4yc 64. Betriebstagung des DFN-Vereins Folie 7

8 Aktuelles Unterschied DFN-PKI: Let's Encrypt: Domain Validated, auch von kompromittierten Rechnern aus möglich DFN-PKI: Organisation Validated Aus Nutzersicht schwierig zu sehen 64. Betriebstagung des DFN-Vereins Folie 8

9 Aktuelles Neues DFN-PKI Zertifikatprofil ab Ende März: Webserver Must-Staple (RFC7633) Für Webserver, die OCSP-Stapling anbieten 64. Betriebstagung des DFN-Vereins Folie 9

10 Aktuelles SMTP-Transportverschlüsselung wichtig! GMail: 64. Betriebstagung des DFN-Vereins Folie 10

11 Aktuelles Veranstaltungen: Tutorium Linux Firewalling mit nftables 13. April 2016, Hamburg Bei Interesse: Betriebstagung des DFN-Vereins Folie 11

12 Nachfolge Deutsche Telekom Root CA Betriebstagung des DFN-Vereins Folie 12

13 Nachfolge DT Root CA 2 Wieder über T-Systems: CN=T-TeleSec GlobalRoot Class Betriebstagung des DFN-Vereins Folie 13

14 Nachfolge DT Root CA 2 T-TeleSec GlobalRoot Class 2 Wie bestehende DFN-PKI verankert (Ausnahme Android 4) Wie bisher fehlt: Adobe, Microsoft Kernel CodeSigning Neues DFN-PCA-Zertifikate wurde von T- Systems erstellt: CN=DFN-Verein Certification Authority 2 Laufzeit: Bis Februar Betriebstagung des DFN-Vereins Folie 14

15 Nachfolge DT Root CA 2 Wie geht es weiter? Neue Policy in Vorbereitung Längere Laufzeiten für Nutzerzertifikate geplant (Prozess-Auflagen, nur für Smartcards?) DFN-PCA bereitet PKI-Systeme vor DFN-PCA informiert Anwender, wenn Umstieg stattfinden kann DFN-PKI Deutsche Telekom weiter nutzbar 64. Betriebstagung des DFN-Vereins Folie 15

16 Nachfolge DT Root CA 2 Rahmenbedingungen Telesec GlobalRoot Class 2: Eigenes Sub-CA-Zertifikat für Einrichtungen nur noch in Ausnahmefällen Weiterverwendung bestehender TS-MA- Zertifikate möglich 64. Betriebstagung des DFN-Vereins Folie 16

17 DFN-PCA Zertifikat Februar Betriebstagung des DFN-Vereins Folie 17

18 DFN-PCA Februar 2014 Lange ist es her: Februar 2014: Erstellung einer SHA-2 DFN- PCA durch T-Systems Mai 2014: Einsatz in der DFN-PKI ab Mai Juli 2014: Austausch gegen neue SHA-2 DFN-PCA wg. Auditor von T-Systems.. Februar 2016: T-Systems sperrt SHA-2 DFN-PCA vom Feb Betriebstagung des DFN-Vereins Folie 18

19 DFN-PCA Februar 2014 Herausforderungen: Vergessene Server, z.b. Microsoft SSTP- VPN. Apple Mail: 64. Betriebstagung des DFN-Vereins Folie 19

20 DFN-PCA Februar 2014 Übersicht über DFN-PCA Zertifikate: (gesperrte und nicht gesperrte) Betriebstagung des DFN-Vereins Folie 20

21 Zusammenfassung 64. Betriebstagung des DFN-Vereins Folie 21

22 Zusammenfassung SHA-1 endgültig out Interne Domainnamen/reservierte IP-Adressen nicht mehr in DFN-PKI Global Deutsche Telekom Root CA 2 => T-Telesec GlobalRoot Class 2 Signaturprobleme in Apple Mail: Gesperrtes DFN- PCA-Zertifikat Februar dfnpca@dfn-cert.de 64. Betriebstagung des DFN-Vereins Folie 22