Integration von Zertifikaten in Benutzerverwaltungssysteme

Transkript

1 Integration von Zertifikaten in Benutzerverwaltungssysteme FernUniversität in Hagen Universitätsrechenzentrum Certification Authority (CA) Universitätsstr Hagen 1

2 Inhalt Zertifikate Was können Zertifikate? Veröffentlichung von Zertifikaten Active Directory edirectory Control SA Simple-Sign-On (Zertifikate im DFN-Verein / Neue PCA-Wurzelinstanz) 2

3 Zertifikate 3

4 Was können Zertifikate? Funktionen von Zertifikaten Dienst Zuständig Authentisierung Digitale Zertifikate Autorisierung Vertraulichkeit Verschlüsselung Integrität Rechtsgültigkeit (non Repudiation) Digitale Signatur 4

5 Was können Zertifikate? Authentisierung Ziel: Digitale Zertifikate Autorisierung Überprüfung des Zertifikats wie am Zoll durch Gegenchecken des Wurzelzertifikats, Überprüfung der Rückrufliste. Das vorgelegte Zertifikat muss dem Server, auf dem es vorgelegt wird, nicht selbst bekannt sein. Beispiele: WebServer, VPN 5

6 Was können Zertifikate? Ziel: Vertraulichkeit Verschlüsselung Daten werden mit dem Zertifikat der Gegenstelle asymmetrisch verschlüsselt. Damit einem Client vertrauliche Nachrichten übermitteln werden können, muss das Clientzertifikat dem Sender der Nachrichten bekannt sein. Ein Veröffentlichen des Zertifikats auf einem Verzeichnisdienst ist in diesem Fall sinnvoll (Ausnahme: Client-Server-Kommunikation). Beispiele: Microsoft Active Directory, Novell edirectory, (S/MIME) 6

7 Was können Zertifikate? Ziel: Integrität Rechtsgültigkeit (non Repudiation) Digitale Signatur Daten werden gehasht ; der Hashwert wird mit dem private key des Senders verschlüsselt. Damit der Empfänger die Integrität überprüfen kann, muss er den verschlüsselten Hashwert mit dem public key des Senders entschlüsseln. Ein Veröffentlichen des Zertifikats auf einem Verzeichnisdienst ist in diesem Fall sinnvoll (Ausnahme: Client-Server-Kommunikation). Beispiel: Microsoft Active Directory Novell edirectory, 7

8 Was können Zertifikate? Ziel: Integrität Rechtsgültigkeit (non Repudiation) Digitale Signatur Signaturen, die mit einem Zertifikat erstellt wurden, sind wie bei der handgeschriebenen Unterschrift nicht bestreitbar. Diese Eigenschaft ist keine technische Eigenschaft; sie wird durch die Gesetzgebung (SigG, SigV) garantiert. 8

9 Veröffentlichung von Zertifikaten Microsoft, Novell bieten mit Active Directory und edirectory Verzeichnisdienste an, die Zertifikate unterstützen. Damit alle Eigenschaften von Zertifikaten genutzt werden können, müssen Benutzerzertifikate in diesen Verzeichnisdiensten geführt werden. Arbeitserleichterung durch User-Management-System (BMC Control SA) bei der Verteilung der Zertifikate vom Zertifikatsserver in Active Directory / edirectory? 9

10 Veröffentlichung von Zertifikaten Wie funktioniert die Veröffentlichung von Zertifikaten? Organisatorisch: Beim Ausstellen von Zertifikaten wird geprüft, welche Benutzerverwaltungssysteme betroffen sind; Zertifikate werden dann dort integriert. Technisch: Integration von Zertifikaten erfolgt über LDAP-Schnittstelle (Active Directory, edirectory sprechen LDAP). Entsprechende Attribute müssen bekannt sein. 10

11 Veröffentlichung von Zertifikaten Veröffentlichung im Active Directory Zertifikate werden im NTAuth Store unter dem samaccountname des jeweiligen Benutzers im Attribut usercertificate abgelegt. Voraussetzung: Die Microsoft CA muss installiert sein (aber nicht zum Ausstellen der Zertifikate benutzt werden). Definition von weiteren Attributen obligatorisch. Frage: Welche Attribute? UPN, SmartCardLogon, 11

12 Veröffentlichung von Zertifikaten Veröffentlichung im edirectory Zertifikate werden im edirectory unter dem Account des jeweiligen Benutzers abgelegt. Serverseitige Installation: Netware 6 (SP3), Certificate Server 2.2.0, NMAS 2.0.1, NICI 2.0.1, edirectory 8.6.2, ConsoleOne (mit SnapIns) Clientseitige Installation: Windows XP, Novell Client (SP2), NMAS 2.0.1, NICI

13 Veröffentlichung von Zertifikaten Was kann BMC Control SA? BMC Control SA ist eine Sammlung von serverseitigen Komponenten, die eine Toolsammlung für domänenweite Single-Point of Control-Benutzerverwaltung bereitstellen. Control SA ermöglicht insbesondere zentral organisierte Benutzerregistrierung, Benutzereinrichtung und Management von Benutzerressourcen, dabei Synchronisation von Benutzer- und Zugangsinformationen (Passworte) auf den Zielsystemen mit Agententechnologie. 13

14 Veröffentlichung von Zertifikaten Was kann BMC Control SA bei der Veröffentlichung von Zertifikaten helfen? Der Zertifikatsserver der FernUniversität authentisiert Benutzer mit Daten aus Control SA. Wenn Control SA mit Hilfe der Agententechnologie Zertifikate verteilen könnte, müsste diese Schnittstelle nicht durch Eigenentwicklungen der Certification Authority (CA) der FernUniversität erfolgen. Dazu erforderlich: Agenten lernen PKI Funktionen, Control SA liest Zertifikate aus der Zertifikatsdatenbank 14

15 Nach der Integration der Zertifikate WebServer Windows/Novell VPN 15

16 Simple-Sign-On das ist 16

17 Simple-Sign-On Simple-Sign-On funktioniert überall da, wo Zertifikate integriert werden können und wo Accounts mit einem Master-Password geschützt werden können (nicht Philosophie der FernUniversität) 17

18 Simple-Sign-On Die FernUniversität benutzt Simple-Sign-On bei: F-Secure SSH Cisco VPN selbstentwickelte WebApplikationen (Prüfungsportal, Anmeldefunktionen, ) Die FernUniversität plant Simple-Sign-On bei: Verschlüsseln des Dateisystems (mit Gruppenfunktion) Signieren von PDF-Formularen Netz-Login (Novell, Microsoft) epayment (Universitätsbibliothek) 18

19 Q&A Henning Mohren FernUniversität in Hagen Universitätsrechenzentrum Universitätsstr Hagen 19