Der Countdown für die Keyfactor Tech Days läuft - sichern Sie sich noch heute Ihren Platz!

  • Startseite
  • Blog
  • Die 5 wichtigsten Fehler bei der Unterzeichnung von Root-CA-Schlüsseln

Die 5 wichtigsten Fehler bei der Unterzeichnung von Root-CA-Schlüsseln

Vertrauen, wie es für die meisten Komponenten einer Public Key Infrastuktur (PKI) gilt, wird erworben. Es wird durch eine Art von Bewertung hergestellt. Eine Bewertung, die oft eine Widerrufsprüfung oder eine Richtlinienprüfung beinhaltet.

Im Fall der Root-CA wird das Vertrauen jedoch *nicht* verdient. Im Fall der Root-CA wird das Vertrauen zugewiesen. Dieses zugewiesene Vertrauen ist aus Sicht der Teilnehmer und der vertrauenden Parteien häufig obligatorisch.

Aus diesem Grund ist es bei der Erstellung einer neuen Stammzertifizierungsstelle unerlässlich, dass sie gut verstanden, gut dokumentiert und gut ausgeführt wird.

Der Sicherheitsbericht der daraus resultierenden Stammzertifizierungsstelle sollte über jeden Zweifel erhaben und für alle Vertrauensstufen geeignet sein, die sich letztlich an diese neue Stammzertifizierungsstelle ketten können. Es ist diese Geschichte, die letztlich die Grundlage für jedes zugewiesene Vertrauen ist.

Um diese Sicherheitsgeschichte effektiv zu erzählen, ist es jedoch oft notwendig, eine Reihe von formalen Dokumenten zu erstellen, von denen eines als Root-CA-Schlüssel-Signierungszeremonie-Dokument bezeichnet wird. Dieses Dokument umreißt und regelt den Schlüsselerstellungsprozess für eine neue Root-CA. Durch diesen ersten Prozess wird das Schlüsselpaar der Stammzertifizierungsstelle erstellt, an das sich schließlich die gesamte PKI ketten wird. Anders ausgedrückt: Das Vertrauen in eine PKI beginnt mit der Stammzertifizierungsstelle und den Prozessen, die zu ihrer Erstellung verwendet werden.

Aus diesem Grund ist es nicht unüblich, die Anwesenheit mehrerer Parteien, wie z. B. der Rechnungsprüfung, der Rechtsabteilung, des Betriebs und von Zeugen zu verlangen, um diesen Prozess zu beobachten. Diese Teilnehmer geben eine eidesstattliche Erklärung ab, dass alle etablierten Praktiken befolgt wurden und dass jegliches Vertrauen in die Wurzel tatsächlich gerechtfertigt ist.

Die Root-Key-Zeremonie ist zweifelsohne ein wichtiger Bestandteil bei der Einrichtung einer neuen PKI. In diesem Blog werden die fünf häufigsten Fehler bei der Root-Key-Zeremonie beschrieben, auf die ich bei der Bewertung von Kunden-PKIs stoße.

  1. Überwachungskette

Bei der Erstellung eines Root-CA-Schlüsselpaars ist es unbedingt erforderlich, dass während des gesamten Prozesses kompensierende Kontrollen eingerichtet und durchgeführt werden. Das bedeutet, dass immer bekannt sein muss, wer die Kontrolle und den Zugriff auf diese Schlüssel hat, auch während des Erstellungsprozesses.

Es nützt wenig, einen umfassenden mehrteiligen Zugangsplan zu den privaten Schlüsseln der Stammzertifizierungsstelle zu erstellen, wenn die Stammzertifizierungsstelle nach ihrer Erstellung in der Mittagspause unbeaufsichtigt im Konferenzraum steht.

1472600993_link.png

Für die Vertrauenswürdigkeit der PKI ist es von entscheidender Bedeutung, dass sie legitimerweise behaupten kann, dass während der gesamten Lebensdauer der Schlüssel immer alle festgelegten Kontrollen durchgeführt wurden. Das gilt auch für den Tag der Erstellung.

Es ist zwingend erforderlich, eine glaubwürdige Aufbewahrungskette aufrechtzuerhalten, wobei die privaten Schlüssel ständig durch alle anwendbaren Kontrollen geschützt werden müssen.

  1. Prüfung

Die Rolle der Auditoren besteht darin, den Prozess zu beglaubigen. Dies sind die Leute, die theoretisch kein Interesse an der PKI haben, sondern nur bestätigen, dass die festgelegten Prozesse eingehalten wurden.

Die Bestätigung der Einhaltung bekannter Verfahren bei der Schlüsselerstellung durch die Auditoren ist ein wesentlicher Faktor für die Schaffung von Grundvertrauen in jede PKI.

1472601019_common-search-lookup-glyph.png

Das Fehlen einer Prüfungskomponente bei einer Root-Key-Zeremonie bedeutet, dass die vertrauenden Parteien einfach darauf vertrauen müssen, dass Sie alles richtig gemacht haben. Je nach dem Grad der Sicherheit, den Sie mit den resultierenden Zertifikaten erreichen wollen, ist das oft nicht gut genug.

Ein unabhängiger Prüfer sollte immer bei allen Teilen der Root-Key-Zeremonie anwesend sein.

  1. Teilnahme

Eine Schlüsselübergabe ist notwendigerweise eine Gruppenveranstaltung. Ein Ereignis, das ein paar Stunden oder einen Tag dauern kann.

Es ist nicht ungewöhnlich, dass die angestrebten Sicherheitsziele der entstehenden PKI die Anwesenheit eines Prozessverantwortlichen (Zeremonienmeisters), eines Auditteams, eines Rechtsteams, von Compliance-Beauftragten, von Schlüsselinhabern und von Betriebspersonal, einschließlich Zeugen der Geschäftsführung, erfordern.

All dies soll die Behauptung ausschließen, dass die Schlüssel der Stammzertifizierungsstelle falsch gehandhabt wurden und dass die Schlüssel der Stammzertifizierungsstelle von Anfang an in einer Art und Weise erstellt und gepflegt wurden, die allen Erwartungen entsprach.

1472601050_1020.png

Daraus wird ersichtlich, dass es wenig sinnvoll ist, den AD-Mitarbeiter lediglich damit zu beauftragen, eine neue Stammzertifizierungsstelle einzurichten und dies in einem Raum ganz allein zu tun. Wer würde dem schon trauen?

Die Teilnahme an Root-Key-Zeremonien sollte ausreichen, um das von der PKI geforderte Sicherheitsniveau zu erreichen. Dies bedeutet häufig, dass das Betriebspersonal, die Rechtsabteilung, die Rechnungsprüfung und die Compliance-Abteilung beteiligt sind.

  1. Artefakte

Nachdem die Schlüssel der Stammzertifizierungsstelle generiert wurden, ist es oft wichtig, verschiedene Aufzeichnungen über den Zeremonieprozess des Stammschlüssels aufzubewahren. Diese Aufzeichnungen bilden die dauerhafte Dokumentation, die beschreibt, warum das Vertrauen in eine bestimmte PKI (zumindest für die beabsichtigten Zwecke) gerechtfertigt ist.

Angesichts der Lebensdauer der meisten Stammzertifizierungsstellen ist es durchaus denkbar und angemessen, dass das Vertrauen in eine bestimmte Stammzertifizierungsstelle in regelmäßigen Abständen überprüft wird. Dies kann nur geschehen, wenn genügend Material zur Bewertung vorhanden ist.

Diese Artefakte liegen in der Regel in Form eines Dokuments vor, in dem die Stammzertifizierungsstelle den Schlüssel signiert. In diesem Dokument wird Schritt für Schritt genau festgehalten, was während des Prozesses geschehen ist, und es wird häufig von einem Mitglied des Prüfungsteams Zeile für Zeile abgezeichnet.

1472601077_device-camera-recorder-video-glyph.png

Das gesamte Dokument wird dann von allen Beteiligten unterzeichnet und notariell beglaubigt. Es ist auch nicht unüblich, die gesamte Veranstaltung auf Video aufzuzeichnen.

Es geht darum, dass damit dauerhaft festgehalten wird, was geschehen ist, und warum das Vertrauen gerechtfertigt ist.

Es nützt wenig, einen gut durchdachten Prozess mit Beteiligung und Prüfung zu verfolgen, wenn es am Ende keine Aufzeichnungen darüber gibt.

Bewahren Sie immer die Dokumentation der Unterzeichnungszeremonie für den Root-CA-Schlüssel auf.

  1. Online

Der häufigste Fehler, der bei einer Root-Key-Zeremonie gemacht wird, besteht darin, die Offline-Root-CA online zu stellen. Der Sinn, dass die Root-CA offline (und ausgeschaltet) ist, besteht darin, dass die Root-CA durch den Luftzwischenraum immun gegen die üblichen Bedrohungen ist, die mit dem Online-Sein verbunden sind.

Dadurch wird die Sicherheit maximiert, dass diese CA nicht dazu gebracht wurde, irgendetwas böswillig zu signieren, und dass diese CA immer nur mit normalen und etablierten Verfahren betrieben wurde.

Das Letzte, was man während einer Root-Key-Zeremonie hören möchte, ist: "Ok, ich habe den Root-CA-Server gepatcht und er ist jetzt nicht mehr erreichbar".

1472601092_88.png

Ich sage oft, dass es keine 5-Sekunden-Regel gibt, wenn es um das Internet geht. Sobald man eine Verbindung hergestellt hat, ist man online, und das kann man nicht mehr rückgängig machen.

In diesem Fall ist es Zeit für einen Neuaufbau.

Sicherlich gibt es noch andere häufige Fehler, die bei einer Root-Key-Zeremonie gemacht werden, aber dies sollte nur eine kurze Auflistung von fünf Dingen sein, die, wenn sie vermieden werden, Ihre Root-CA viel glaubwürdiger in ihrem Anspruch machen, sicher zu sein.