Jan Mönnich

Transkript

1 Crypto-Token in der Praxis Jan Mönnich

2 Warum Crypto-Token? Auf Crypto-Token werden private Schlüssel nicht extrahierbar gespeichert Crypto-Operationen werden direkt auf dem Gerät durchgeführt Schlüssel sind mit einem Passwort geschützt 2-Faktor Authentifizierung: Besitz des privaten Schlüssels Kenntnis des Passworts Analog zur EC-Karte (Karte und PIN) Folie 2

3 Vorteile Höhere Sicherheit durch 2-Faktor Authentifizierung Portable Möglichkeit für den Einsatz von privaten Schlüsseln Schlüssel kann nicht extrahiert werden und damit nicht durch irgendeine Software- Sicherheitslücke entwendet werden Weitergabe von Gruppenschlüsseln (z.b. RA- Operator Zertifikat) an berechtigte Personen Beispiel: RA Operator Zertifikat auf Token an mehrere Mitarbeiter. Bei Ausscheiden eines Mitarbeiters kein neues Zertifikat nötig Folie 3

4 Nachteile Treiber-Installation auf allen Systemen als Voraussetzung Treiber für UNIX/Linux kompliziert und teilweise noch nicht ausgereift (gilt für Aladdin etoken) Konfiguration der Anwendungen für die Nutzung von Crypto-Token Generierung von Schlüsseln auf Crypto-Token: Bei Verlust/Defekt keine Möglichkeit der Wiederherstellung! Hohe Anschaffungskosten für kleine Stückzahlen Folie 4

5 Linux Treiber Das OpenCT/SC Projekt implementiert einen PKCS#15 Speicher und unterstützt dabei z.b. auch das Aladdin etoken Damit Einsatz von Crypto-Token z.b. auch unter Solaris Vorkompilierte Version für Windows und Mac OS X verfügbar Im UNIX/Linux Bereich empfehlenswert Folie 5

6 Linux Initialisierung Unter UNIX/Linux keine GUI verfügbar Unter UNIX/Linux mit PKCS#15 (OpenCT/SC) Kommandozeilen-Werkzeuge Beispiel Initialisierung Token: # pkcs15 init E C Festlegung einer Benutzer-PIN: # pkcs15 init P a 01 Installation eines privaten Schlüssels und Zertifikats aus einer PKCS#12-Datei: # pkcs15 init S cert.p12 a 01 \ f PKCS12 Folie 6

7 Linux Anwendungen (1) PAM (Pluggable Authentication Module) z.b. Pam PKCS#11 Projekt von Benutzeranmeldung durch Token Flexibles Mapping von Zertfikaten auf Benutzernamen anhand mehrerer Kriterien: z.b. Subject DN, Serial, LDAP, SSH-Key Entwicklung eigener Kriterien möglich Card-Event Manager registriert Einstecken/Entfernen eines Token damit z.b. Logout bei Entfernen möglich Folie 7

8 Linux Anwendungen (2) OpenVPN mit Zertifikaten auf Token PKCS11 ist integraler Bestandteil von OpenVPN Beispiel für Konfiguration: pkcs11 providers /usr/lib/pkcs11/<provider> pkcs11 slot type label pkcs11 slot "Token1" pkcs11 id type label pkcs11 id "AUTH B436961C..." OpenVPN ab 2.1 bringt eigenes Tool für die Initialisierung von Token mit Folie 8

9 Linux Anwendungen (3) OpenSSH Schlüssel auf etoken lagern Patch für OpenSSH z.b. von Alon Bar notwendig SSH Authentication Agent sucht Schlüssel auf einem Token: $ ssh add pkcs11 add provider pkcs11 provider /usr/lib/pkcs11/myprovider.so $ ssh add pkcs11 add id pkcs11 slot type label pkcs11 slot "MyToken pkcs11 id type subject pkcs11 id "/C=XX/CN=YY" $ ssh myhost Folie 9

10 Linux Anwendungen (4) Bei SSH ist eine eigene Schlüsselverwaltung notwendig In diesem Zusammenhang X.509-Unterstützung für SSH möglich Schlüssel aus den Zertifikaten können für SSH-Authentifizierung genutzt werden Vorteile: Sperrung von Schlüsseln durch Sperrliste Gültigkeitsdauer für Schlüssel im Zertifikat festgelegt Folie 10

11 Windows Treiber Beispiel Aladdin etoken Aladdin liefert Treiber für Windows, Linux und Mac OS X Installation erfordert Administrator-Rechte Crypto-Token integriert sich unter Windows in die systemweite Zertifikatverwaltung Treiber enthält eine GUI für die Verwaltung der Zertifikate auf dem Crypto-Token Softwarelizenz mit Updates wird mit dem Kauf eines Tokens erworben Folie 11

12 Windows Initialisierung Grafische Oberfläche für die Verwaltung von Zertifikaten u. Schlüsseln Import von PKCS#12-Dateien oder aus dem systemweiten Zertifikatspeicher Administration (Anzahl Versuche, Password Cache, Password Policy) Initialisierung (Löschen) eines Token Folie 12

13 Nutzung im IE (1) Windows Treiber implementiert eigenen CSP (Cryptographic Service Provider) Dieser wird vom Internet Explorer angesprochen, daher keine weitere Installation Die Zertifikate erscheinen in der Zertifikatverwaltung des Internet Explorer Wenn der private Schlüssel gebraucht wird, erscheint ein Dialog zur PIN-Eingabe Benutzerzertifikate werden angezeigt, obwohl das Token nicht eingesteckt ist (Cache) Zertifikate können aber nur mit eingesteckten Token genutzt werden Folie 13

14 Nutzung im IE (2) In der Oberfläche der DFN-PKI kann der Schlüssel auf einem Token generiert werden Dazu kryptografisches Gerät auswählen Achtung: In diesem Fall KEIN BACKUP des privaten Schlüssels möglich! Folie 14

15 Nutzung in Mozilla Integration in Mozilla Anwendungen über die PKCS#11-Schnittstelle (Windows und Linux) Sowohl OpenCT/SC als auch Aladdin liefern eine solche Schnittstelle Eintragen der PKCS11-Bibliothek unter Edit -> Preferences -> Privacy & Security -> Certificates -> Manage Security Devices Folie 15

16 Vielen Dank für die Aufmerksamkeit!