Public-Key-Infrastrukturen

Transkript

1 TECHNISCHE UNIVERSITÄT DARMSTADT FACHGEBIET THEORETISCHE INFORMATIK PROF. DR. J. BUCHMANN DR. A. WIESMAIER Aufgabe 1: LDAP Directories Lösungsvorschlag zur 13. Übung zur Vorlesung Public-Key-Infrastrukturen Sommersemester 2010 Im folgenden ist eine LDIF Datei von einem LDAP Server abgebildet: dn: dc=tud,dc=de objectclass: dcobject dc: root description: LDAP directory of the TUD o: TU Darmstadt dn: c=de,dc=tud,dc=de objectclass: country c: de dn: o=tud,c=de,dc=tud,dc=de o: TUD dn: o=fraunhofer,c=de,dc=tud,dc=de o: mycompany o: Fraunhofer dn: ou=cdc,o=tud,c=de,dc=tud,dc=de ou: CDC dn: cn=alice,ou=cdc,o=tud,c=de,dc=tud,dc=de 1

2 cn: Alice mail: sn: Alice dn: cn=bob,ou=cdc,o=tud,c=de,dc=tud,dc=de cn: Bob mail: sn: Bob dn: cn=carl,ou=cdc,o=tud,c=de,dc=tud,dc=de cn: Carl mail: sn: Carl dn: cn=fraunhofer CA,o=Fraunhofer,c=de,dc=tud,dc=de objectclass: crldistributionpoint objectclass: pkica cacertificate;binary:: MIIFJjCCBA6gAwIBAgICHkswDQYJKoZIhvcNAQEFBQAwTTELMAkGA DjOKxYK8C3qDN8S204HP+jZgqfPVx9+VtrXx0uVdvO6P0zqpkgGEwjRD/nnE= certificaterevocationlist;binary:: MIIB4TCByjANBgkqhkiG9w0BAQUFADCBmjELMAkGA L9xXFw= cn: Fraunhofer CA dn: ou=sit,o=fraunhofer,c=de,dc=tud,dc=de ou: SIT dn: ou=igd,o=fraunhofer,c=de,dc=tud,dc=de ou: IGD dn: cn=diana,ou=igd,o=fraunhofer,c=de,dc=tud,dc=de cn: Diana 2

3 mail: sn: Diana dn: cn=bob,ou=sit,o=fraunhofer,c=de,dc=tud,dc=de cn: Bob mail: sn: Bob dn: cn=tud CA,o=TUD,c=de,dc=tud,dc=de objectclass: crldistributionpoint objectclass: pkica cacertificate;binary:: MIIFJjCCBA6gAwIBAgICHkswDQYJKoZIhvcNAQEFBQAwTTELMAkGA DjOKxYK8C3qDN8S204HP+jZgqfPVx9+VtrXx0uVdvO6P0zqpkgGEwjRD/nnE= certificaterevocationlist;binary:: MIIB4TCByjANBgkqhkiG9w0BAQUFADCBmjELMAkGA L9xXFw= cn: TUD CA a) Wie lautet die Wurzel dieses Verzeichnisses? b) Entwerfen Sie den Informationsbaum (DIT - Directory Information Tree). c) Was ist die Tiefe des Baumes? d) Der Benutzer Bob, der der Gruppe CDC angehört und der Benutzer Bob, der zur Gruppe SIT gehört, haben den selben RDN (cn=bob). Ist das erlaubt? e) Dürften Alice und Bob, die zur Gruppe CDC gehören, den selben RDN (z.b RDN:cn=CDC Benutzer) haben? Begründen Sie Ihre Antwort. f) Wie viele Einträge gibt es in diesem Verzeichnis? g) Wie lautet der LDAP Filter (siehe auch RFC der alle Einträge in diesem Verzeichnis findet? h) Wie viele Zertifikate gibt es in diesem Verzeichnis? Wie viele davon gehören zu end-entities und wie viele zu einer CA? Mit welchem Filter kann ein Client nach ihnen suchen? i) Wie lautet die LDAP URL (siehe auch RFC die alle Zertifikate zurück gibt? j) Wie lautet die LDAP URL, die alle Zertifikate mit OU=CDC zurück gibt? k) Wie viele CRLs gibt es in diesem Verzeichnis? l) Was ist der LDAP CRL Distribution Point des Zertifikats von Alice? 3

4 dc=tud,dc=de c=de o=tud o=fraunhofer ou=cdc cn=tud CA ou=igd ou=sit cn=fraunhofer CA cn=alice cn=bob cn=carl cn=diana cn=bob Abbildung 1: Directory Information Tree Lösungsvorschlag a) Die Wurzel lautet: dc=tud,dc=de. b) Siehe Abbildung 1 c) Die Tiefe des Baums ist 4. d) Ja, weil sie keine siblings sind. e) Nein, weil sie siblings sind. f) Es gibt 14 Einträge. g) (objectclass=*) h) Die Anzahl der Zertifikate beträgt fünf. Drei davon sind end-entity Zertifikate und zwei sind CA Zertifikate. Der Filter lautet: ( (usercertificate;binary=*)(cacertificate;binary=*)) i) ldap://host:389/c=de,dc=tud,dc=de?usercertificate;binary,cacertificate; binary?sub?( (usercertificate;binary=*)(cacertificate;binary=*)) j) ldap://host:389/ou=cdc,o=tud,c=de,dc=tud,dc=de?usercertificate;binary, cacertificate;binary?sub?( (usercertificate;binary=*)(cacertificate; binary=*)) In diesem Fall würde auch die URL: ldap://host:389/ou=cdc,o=tud,c=de,dc=tud,dc=de?usercertificate;binary, cacertificate;binary?base?( (usercertificate;binary=*)(cacertificate; binary=*)) 4

5 funktionieren. k) Es gibt zwei CRLs l) Der CRL DP lautet: ldap://host:389/cn=tud\%20ca,o=tud,c=de,dc=tud,dc=de?certificaterevocationlist; binary?base?(objectclass=crldistributionpoint) Eine Alternative wäre: ldap://host:389/c=de,dc=tud,dc=de?certificaterevocationlist;binary?sub? (objectclass=crldistributionpoint) allerdings liefert diese URL alle CRLs in diesem Verzeichnis zurück. 5