Zertifikate an der RWTH

Transkript

1 e an der RWTH

2 Elekronische Signatur fortgeschrittene elektronische Signatur, mit Adobe Reader erstellt einfache elektronische Signatur 2 von 15

3 Elekronische Signatur fortgeschrittene elektronische Signatur, von mailman nicht erkannt und als Anhang behandelt einfache elektronische Signatur fortgeschrittene elektronische Signatur, von Outlook erkannt und verifiziert 3 von 15

4 Symmetrisches Verschlüsseln Message Cipher Message öffentlich Alice Die verschlüsselte Nachricht wird über einen öffentlichen Kanal übertragen. Der Schlüssel hingegen wird über einen sicheren, getrennten Kanal übertragen. Wenn der Empfänger beides hat, kann er die Nachricht entschlüsseln. Bob OOB geheim Nachteile: Viele Schlüssel (n Teilnehmer -> n(n-1)/2 Schlüssel) 2 verschiedene Übertragungskanäle Zeichenquelle: 4 von 15

5 Asymmetrisches Verschlüsseln Message Cipher Message B öffentlicher öffentlich B privater Alice Empfänger sendet seinen öffentlichen Schlüssel vorab an Absender Absender veschlüsselt die Nachricht mit dem öffentlichen Schlüssel des Empfängers Empfänger entschlüsselt die Nachricht mit seinem privaten Schlüssel Bob B privater B öffentlicher Vorteile: Weniger Schlüssel (n Teilnehmer -> 2n Schlüssel) Nur ein Übertragungskanal Zeichenquelle: 5 von 15

6 Man-in-the-Middle-Attack öffentlicher privater Wenn der Absender den öffentlichen Schlüssel des Empfängers geprüft hat, dann ist die Vertraulichkeit der Kommunikation zwischen Empfänger und Sender gewährleistet. B B Alice B Bob B Bob M B Ein Datendieb kann jedoch vortäuschen Bob zu sein und vor Alice seinen öffentlichen Schlüssel als den von Bob ausgeben. Damit verletzt er die Vertraulichkeit und Authentizität der Kommunikation zwischen Alice und Bob. M hier helfen e Mallory Zeichenquelle: 6 von 15

7 RWTH Nutzerzertifikat X.509 Ein digitales sind strukturierte Daten, die den Eigentümer sowie weitere Eigenschaften eines öffentlichen Schlüssels bestätigen. Durch ein digitales können Nutzer eines asymmetrischen Kryptosystems den öffentlichen Schlüssel einer Identität (z. B. einer Person, einer Organisation oder einem IT-System) zuordnen und seinen Geltungsbereich bestimmen. SerialNumber DN:CN=Bob Kraemer,OU=IT Center,O=RWTH Aachen,C=DE Public Key Validity Period Usage:Digital Signature, Protection Issued by:cn=rwth Aachen CA Strukturierte Daten werden mit dem privaten Schlüssel der Zertifizierungsstelle (CA) signiert Signatur CA 7 von 15

8 spfad und Verifizierungspfad signieren selbstsigniert Deutsche Telekom Root CA 2 DFN-Verein PCA Global - G01 Nutzer RWTH Aachen CA SigCA SigPCA SigRoot SigRoot verifizieren Ein elektronisches wird automatisch von der verwendeten Anwendung (Browser, -Anwedung) als vertrauenswürdig eingestuft, wenn es Teil einer Zertifizierungskette ist, die bei einem Built-in-Token endet. Zeichenquelle: 8 von 15

9 Signieren Signieren ist das Verschlüsseln des Fingerabdrucks digitalen Daten. Die Klartextdaten werden mitgeliefert. Verifizieren Daten Hash elektronisch signierte Daten Absender verschlüsselt X Signatur Daten Daten X Signatur Hash entschlüsseln mit Schlüssel Absenders elektronisch signierte Daten ? gleich? -> Signatur gültig! 9 von 15

10 Elektronische Signatur Die digitale Signatur ist gültig - weil der Nachrichtenhash verifiziert werden kann vertrauenswürdig - weil das Teil der vertrauenswürdigen Kette ist 10 von 15

11 9. Sichern Ablauf des Zertifizierungsprozesses Teilnehmer Erklärung Registration Authority (RA) 5. Identitätsprüfung PKCS#12 Certificate Authority (CA) RSA X.509 CSR PKCS#10 2. signieren 3. übermitteln X.509 ldap.pca.dfn.de 8. importieren publizieren Zeichenquelle: 11 von 15

12 sspeicher Firefox teilt seinen sspeicher entweder mit Thunderbird, oder mit Windows oder mit IOS Schlüsselbund RSA RSA.p12.p12 RSA X.509 X.509 X.509 Zeichenquelle: 12 von 15

13 Hauptziele der modernen Kryptographie Ziel Veschlüsseln Signieren Vertraulichkeit/Zugriffsschutz Informationen und Resourcen nur für berechtigte Personen zugänglich Integrität/Änderungsschutz Daten nachweislich vollständig und unverändert Authentizität/Fälschungsschutz - Datenurheber oder Nachrichtabsender eindeutig identifizierbar - Urheberschaft nachprüfbar Verbindlichkeit/Nichtabstreitbarkeit Datenurheber oder Nachrichtenabsender soll nicht in der Lage sein, seine Urheberschaft zu bestreiten 13 von 15

14 RWTH CA Nutzerzertifikate nach -Subdomain Stand Nutzerzertifikate in Summe von 15

15 Ausprägungen elektronischer Signaturen elektronische Signatur z.b. Bitmap einer Unterschrift fortgeschrittene elektronische Signatur Digitale Signatur z.b. PGP-Signatur mit Web of Trust z.b. Signatur mit PKCS#12 und Verwaltungs-PKI Chipkarte z.b. Elster-Signatur qualifizierte elektronische Signatur z.b. von ZDA 15 von 15