Netzwerksicherheit mit Windows Server Zertifikatdiensten (PKI) Planung, Implementierung und Verwaltung

Transkript

1 Netzwerksicherheit mit Windows Server Zertifikatdiensten (PKI) Planung, Implementierung und Verwaltung

2 Netzwerksicherheit mit Windows Server 2003-Zertifikatdiensten (PKI) Netzwerksicherheit mit Windows Server 2003-Zertifikatdiensten (PKI) Seminarunterlage Artikelnr. PK Autor: Carlo Westbrook Version: April 2005 Alle in dieser Seminarunterlage enthaltenen Programme, Darstellungen und Informationen wurden nach bestem Wissen erstellt und mit Sorgfalt getestet. Dennoch sind Fehler nicht ganz auszuschließen. Aus diesem Grund ist das in der vorliegenden Seminarunterlage enthaltene Material mit keiner Verpflichtung oder Garantie irgendeiner Art verbunden. Der Autor und CertPro Limited übernehmen infolgedessen keine Verantwortung und werden keine daraus folgende Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieses Materials, oder Teilen davon, oder durch Rechtsverletzungen Dritter entsteht. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in dieser Seminarunterlage berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichenund Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann verwendet werden dürften. Die in diesem Dokument aufgeführten Namen tatsächlicher Firmen und Produkte sind möglicherweise Marken der jeweiligen Eigentümer und werden ohne Gewährleistung der freien Verwendbarkeit benutzt. Dieses Werk ist urheberrechtlich geschützt. Kein Teil dieses Dokuments darf ohne ausdrückliche schriftliche Erlaubnis für irgendwelche Zwecke vervielfältigt oder in einem Datenempfangssystem gespeichert oder darin eingelesen werden (auch nicht zur Unterrichtsvorbereitung), unabhängig davon, auf welche Art und Weise oder mit welchen Mitteln (elektronisch, mechanisch, durch Fotokopieren, Aufzeichnen, usw.). CertPro ist eine eingetragene Marke von Carlo Westbrook. Copyright CertPro Limited. Alle Rechte vorbehalten. 2

3 Einführung Inhaltsverzeichnis Inhalt Seite Voraussetzungen... 7 Kursbeschreibung Rauminstallation Kapitel 1: Grundlagen Einführung Zweck einer PKI Komponenten einer PKI Zertifikate Zertifikaterweiterungen Lebensdauer digitaler Zertifikate Zertifizierungsstelle (Certificate Authoriy, CA) Rollen in einer Zertifizierungsstellenhierarchie Zertifikatsperrlisten Basissperrliste Deltapsperrliste Gründe für das Sperren von Zertifikaten PKI-fähige Anwendungen Zertifikatempfänger PKI-Tools Grundlagen der Kryptofrafie Symmetrische Datenverschlüsselung Asymmetrische Datenverschlüsselung Asymmetrische Signatur Kombination von asymmetrischer und symmetrischer Verschlüsselung Digitale Signatur von Daten Kombination aus asymmetrischer Signatur und Hashalgorithmus Praktische Übung Zusammenfassung Kapitel 2: Entwerfen einer Zertifizierungsstellenhierarchie Einführung Arten von Zertifizierungsstellen Struktur von Zertifizierungsstellen Schichtenmodelle einer Zertifizierungsstellenhierarchie Einschichtige Zertifizierungsstellenhierarchie Zweischichtige Zertifizierungsstellenhierarchie Dreischichtige Zertifizierungsstellenhierarchie Vierschichtige Zertifizierungsstellenhierarchie Bestimmen der Anforderungen für Anwendungen Ermitteln der Zertifikatempfänger Anforderungen an die Sicherheit Räumliche Sicherheit für Offline-Zertifizierungsstellen Zusätzliche Sicherheitsmaßnahmen für Online-Zertifizierungsstellen Schutz des privaten Schlüssels der Zertifizierungsstelle Zusammensetzung der PKI-Verwaltungsabteilung Minimierung des Ausfallrisikos von Zertifizierungsstellen Absichern und Optimieren einer Offline-Zertifizierungsstelle Absichern und Optimieren einer Online-Zertifizierungsstelle

4 Netzwerksicherheit mit Windows Server 2003-Zertifikatdiensten (PKI) Gültigkeitsdauer von Zertifikaten Veröffentlichungspunkte Zusammenfassung Kapitel 3: Implementierung einer Zertifizierungsstellenhierarchie Einführung Die Datei CAPolicy.inf Zertifikatverwendungserklärung (CPS) Object Identifier (OID) Einstellungen für eine Offline-Zertifizierungsstelle Absicherung einer Offline-Zertifizierungsstelle Sicherheitsmaßnahmen bei der Konfiguration Sicherung von Geräten Speicherung privater Schlüssel auf Smartcards Hardware-Sicherheitsmodul (HSM) Empfohlene Vorgehensweise zum Einrichten einer Offline-CA Praktische Übung Nachinstallationskonfiguration Praktische Übung Installieren einer untergeordneten Unternehmens-CA Installieren eines Zertifikats einer untergeordneten Unternehmens-CA Praktische Übung Überprüfung der Installation Vorbereitung einer Windows 2000-Gesamtstruktur Zusammenfassung Kapitel 4: Verwaltung einer Zertifizierungsstelle Einführung PKI-Verwaltungsaufgaben Rollentrennung Aktivieren und Deaktivieren der Rollentrennung Zuweisung von Standardrollen Weitere PKI-Managementrollen Erneuerung eines Zertifizierungsstellenzertifikats Aktivierung der Überwachung der Zertifizierungsstelle Praktische Übung Zusammenfassung Kapitel 5: Planung und Implementierung der Notfallwiederherstellung Einführung Gründe für die Erstellung eines Notfall-Wiederherstellungsplans Erforderliche Dokumentation Auswahl einer Sicherungsmethode Systemstatussicherung Manuelle Sicherung Durchführung einer Systemstatussicherung Durchführung einer manuellen Sicherung Wiederherstellungsmethoden Praktische Übung Praktische Übung Zusammenfassung

5 Einführung Kapitel 6: Entwurf von Zertifikatvorlagen Einführung Zertifikatvorlagen Unternehmenszertifizierungsstellen und Zertifikatvorlagen Speicherort der Definition von Zertifikatvorlagen Zertifikatvorlagentypen Vergleich von Vorlagen der Version 1 zu Version Kategorien von Zertifikatvorlagen Zertifikatvorlagen und Berechtigungen Berechtigungen für Version 1-Zertifikatvorlagen Berechtigungen für Version 2-Zertifikatvorlagen Delegieren der Verwaltung von Zertifikatvorlagen Praktische Übung Aktualisierung von Zertifikatvorlagen Praktische Übung Empfehlungen für den Entwurf von Zertifikatvorlagen Zusammenfassung Kapitel 7: Ausstellen von Zertifikaten Einführung Methoden zum Bereitstellen von Zertifikaten Webbasierte Registrierung von Zertifikaten Anforderung von Zertifikaten mit dem Zertifikatanforderungs-Assistent Zertifikatregistrierung mit Certreq.exe Methoden für die Aktivierung der automatischen Zertifikatregistrierung Praktische Übung Sperren von Zertifikaten Praktische Übung Zusammenfassung Kapitel 8: Archivierung der Verschlüsselungsschlüssel Einführung Gründe für das Wiederherstellen von privaten Schlüsseln Dateiformat für das Exportieren von Schlüsseln und Zertifikaten Tools für das Exportieren von Schlüsseln Exportieren von Schlüsseln Praktische Übung Speicherorte privater Schlüssel auf Computern Rollenverteilung bei der Schlüsselarchivierung Aktivierung einer Zertifizierungsstelle für die Schlüsselarchivierung Schlüsselwiederherstellungsprozess Praktische Übung Zusammenfassung Kapitel 9: Einsatz von Smartcards Einführung Kombinierte Authentifizierung Vorteile der Verwendung von Smartcards für die kombinierte Authentifizierung Einsatzgebiete von Smartcards Komponenten einer Smartcardinfrastruktur

6 Netzwerksicherheit mit Windows Server 2003-Zertifikatdiensten (PKI) Auswahl von Smartcards und Lesegeräten Smartcardzertifikatvorlagen Aktivieren von Smartcardzertifikatvorlagen Methoden zur Zertifikatregistrierung Konfiguration eines Registrierungs-Agenten Registrierung eines Benutzers für ein Smartcardzertifikat Gruppenrichtlinieneinstellungen für das Verwalten einer Smartcardinfrastruktur Konfiguration von Gruppenrichtlinien für Smartcards Behandeln häufiger Smartcardprobleme Praktische Übung Zusammenfassung Kapitel 10: Implementierung der SSL-Verschlüsselung für Webserver Einführung SSL-Verschlüsselung Funktionsweise der SSL-Verschlüsselung Zertifikate für SSL Ausstellung von Webserverzertifikaten Praktische Übung Zusammenfassung Kapitel 11: Sichere s Einführung Sicherungsmethoden für s Sicherung des Inhalts von -Nachrichten Digitale Signatur von s Verfahrensweise der digitalen Signatur von s Verschlüsselung von s Wahl der Zertifizierungsstelle Wahl der Zertifikatvorlage Eine Zertifikatvorlage für Signatur und Verschlüsselung Separate Zertifikatvorlagen Wahl der Ausstellungsmethode für Zertifikate Praktische Übung Aktivierung sicherer Aktivierung von Outlook Aktivierung von Outlook Express Aktivierung von Outlook Web Access (OWA) Versand sicherer s Praktische Übung Protokollsicherheit mit SSL SSL-Ports für die -Kommunikation Installation und Aktivierung eines Webserver-Zertifikats Aktivierung von SSL auf dem Exchange Server Aktivierung von SSL in der -Anwendung Praktische Übung Zusammenfassung Anhang A: Wichtige Weblinks