Vertrauensmodelle von Public-Key-Infrastrukturen (PKIs) - Prof. Dr. Norbert
Pohlmann
Vertrauensmodelle von Public-Key-Infrastrukturen (PKIs)
Inhaltsverzeichnis
Was sind Vertrauensmodelle von Public-Key-Infrastrukturen?
Vertrauensmodelle von Public-Key-Infrastrukturen (PKIs) Für offene PKI-Systeme, mit deren Hilfe mehrere Organisationen mit je eigener PKI über ihre Grenzen hinweg vertrauenswürdig mit anderen Organisationen kommunizieren, werden Vertrauensmodelle benötigt. Dazu sind die verschiedenen organisationsspezifischen Leitlinien der beteiligten Public Key-Infrastrukturen miteinander abzugleichen. Die Leitlinien beschreiben neben den verwendeten Technologien, Verfahren und Schnittstellen unter anderem den für die Nutzer-Registrierung notwendigen Prozess, insbesondere Maßnahmen zur initialen Identifizierung und Authentifikation der Nutzer, die zum angestrebten Schutzniveau der PKI passen. So kann es in einem Fall notwendig sein, dass die Personalausweise überprüft und Kopien für die Unterlagen gemacht werden, während in einem anderen die Stammdaten aus der Personalverwaltung für die Zertifikatserstellung ausreichen. Wichtig ist, dass die Geschäftspartner sich auf einen Mindeststandard einigen.
Zertifizierungshierarchie und Vertrauensmodelle
Mit der zunehmenden Verbreitung von PKI-basierten Dienstleistungen erhalten die Nutzer eine Vielzahl von verschiedenen Zertifikaten für spezielle Applikationen. Zusätzlich gibt es sehr viele unterschiedliche Public Key-Infrastrukturen. In der Praxis ist daher sicherzustellen, dass sich die unterschiedlichen Zertifikate auf ihre Gültigkeit und Richtigkeit sowie den passenden Level of Trust überprüfen lassen, damit die angestrebte vertrauenswürdige Kommunikation stattfinden kann. Dies wiederum lässt sich durch verschiedene Vertrauensmodelle von Public-Key-Infrastrukturen (PKIs) erreichen. Der organisationsübergreifende Einsatz von Public Key-Infrastrukturen erfordert verbindliche Vertrauensmodelle, für die prinzipiell drei Ansätze existieren.
Vertrauensmodell: Übergeordnete CA (Wurzel-CA, Root CA)
Eine Methode ist die Schaffung einer übergeordneten Certification Authority (CA), welche die Wurzelzertifikate der untergeordneten CAs aufnimmt.
Wurzelzertifikate sind Zertifikate mit den öffentlichen Schlüsseln der Cas (CAA bis CAX).
Ablauf: Übergeordnete CA Die Wurzel-CA generiert Zertifikate der öffentlichen Schlüssel der untergeordneten CAs. Der öffentliche Schlüssel der Wurzel-CA ist im Personal Security Environment (zum Beispiel auf einer Smartcard) untergebracht oder wird für einen einfachen Abruf als Zertifikat der untergeordneten CAs zur Verfügung gestellt. Damit ist jeder Nutzer einer speziellen untergeordneten CA in der Lage, die öffentlichen Schlüssel einer anderen untergeordneten CA zu verifizieren und auch die Zertifikate mit den öffentlichen Schlüsseln der Nutzer der entsprechenden untergeordneten CAs zu überprüfen.
Bewertung: Übergeordnete CA In den meisten Fällen akzeptieren Unternehmen, Organisationen oder Länder keine derartige Unterordnung, da sie zu große Abhängigkeiten von einer zentralen Autorität schafft: Im Extremfall würde eine für alle verbindliche „Welt-CA“ eingerichtet. Da dieses Maß an Zentralisierung meist weder nötig noch realisierbar ist, hat sich das Modell der Wurzel-CA nur in großen, geschlossenen PKI-Systemen etabliert, die nicht für eine organisationsübergreifende Kommunikation konzipiert wurden.
Vertrauensmodell: n:n-Cross-Zertifizierung
Ein weiterer Ansatz ist, dass jede Certification Authority (CA) ihre öffentlichen Schlüssel selbstständig mit jeder anderen CA austauscht.
Ablauf: n:n-Cross-Zertifizierung Jede CA stellt jeder anderen ihre eigenen öffentlichen Schlüssel zur Verfügung und übernimmt deren Zertifikate beziehungsweise erkennt sie an. Dieser Prozess ist sehr aufwendig, weil der authentische Austausch der öffentlichen Schlüssel in der Regel ein persönliches Treffen der beteiligten PKI-Betreiber notwendig macht.
Bewertung: n:n-Cross-Zertifizierung Dieses Vertrauensmodell erfordert multiple Vertragsverhandlungen und ermöglicht abweichende Verträge und Vereinbarungen zwischen den beteiligten PKI-Betreibern. Bei einer Vielzahl von Beteiligten wird die daraus entstehende Infrastruktur jedoch schnell sehr komplex und lässt sich nur schwer verwalten. Daher hat sich dieses Vertrauensmodell nur bei kleinen Gruppen unabhängiger PKI-Betreiber durchgesetzt, und auch dort nur in abgegrenzten Geschäftsprozessen.
Vertrauensmodell: 1:n Cross-Zertifizierung (Bridge CA)
Ein vielversprechendes Konzept stellt der Bridge-CA-Ansatz dar, weil er zum einen den Verwaltungsaufwand klein hält, zum anderen den angeschlossenen Cas die Entscheidungsfreiheit über die passende Vertrauenskette lässt. Erreicht wird dies durch eine sehr einfach gehaltene Struktur, bei der alle CAs authentisch ihre öffentlichen Schlüssel an die Bridge Certification Authority (Bridge CA) übergeben, die ihrerseits als eine zentrale Vermittlungsinstanz zwischen den beteiligten Organisationen fungiert.
Ablauf: Bridge CA Die CAs (CAA bis CAX) übergeben authentisch ihre öffentlichen Schlüssel an eine zentrale Bridge CA. Diese signiert eine Tabelle der öffentlichen Schlüssel aller beteiligten CAs. Die eigene CA stellt dann all ihren Nutzern den öffentlichen Schlüssel der Bridge CA als Zertifikat zur Verfügung.
Bewertung: Bridge CA Bei der 1:n-Cross-Zertifizierung gibt es für jede CA nur einen Vertragspartner, die Bridge-CA. Das reduziert den Abstimmungsaufwand und ermöglicht es dennoch, in jedem Fall ein passendes Vertrauensmodell einzuführen. Die Kunst einer erfolgreichen Bridge CA besteht darin, eine Policy zu erarbeiten, die möglichst viele PKI-Betreiber politisch wollen und technisch erfüllen können. Ein Beispiel für dieses Vertrauensmodell ist die von Bundesverband IT-Sicherheit – TeleTrusT betriebene European Bridge CA, die sich zum Ziel gesetzt hat, eine „Brücke des Vertrauens“ zwischen verschiedenen PKIs weltweit herzustellen. Zu diesem Zweck hat TeleTrusT pragmatische Leitlinien-Anforderungen und technische Vorbedingungen definiert, die eine vertrauenswürdige Kommunikation über organisatorische Grenzen hinweg erlauben. Gleichzeitig gilt es, bei allen Beteiligten ein gemeinsames Verständnis für den Nutzen und den korrekten Einsatz digitaler Signaturen herzustellen. Die Praktikabilität, die Flexibilität der vereinbarten Lösungen und der Schutz der getätigten Investitionen in die Sicherheitsinfrastruktur stehen im Vordergrund. Die European Bridge CA stellt eine allgemeine Plattform dafür zur Verfügung, die die teilnehmenden CAs auf eine vertrauenswürdige, aber einfache Weise verbindet. Ein standardisiertes technisches und organisatorisches Regelwerk erleichtert die Integration neuer CAs in die Infrastruktur. Sobald sich eine neue CA (PKI) anschließt, können alle Mitglieder seiner PKI mit allen Mitgliedern der anderen Bridge-CA-Partner vertrauenswürdig kommunizieren. Eine einheitliche formale Registrierungsprozedur stellt dabei sicher, dass alle PKIs den Mindestanforderungen gerecht werden (siehe dazu die Webseite https://www.ebca.de/startseite/).
In der Praxis hat sich das Modell der 1:n-Cross-Zertifizierung durchgesetzt, das den PKI-Betreibern die größtmögliche Entscheidungsfreiheit bei der Wahl der Vertrauenskette lässt.
Vertrauensmodelle von Public-Key-Infrastrukturen (PKIs)
Description
Vertrauensmodelle werden benötigt, damit mehrere Organisationen mit je eigener PKI vertrauenswürdig miteinander kommunizieren können. Dazu sind die verschiedenen organisationsspezifischen Leitlinien der beteiligten Public Key-Infrastrukturen untereinander abzugleichen.
Author
Prof. Norbert Pohlmann
Publisher Name
Institut für Internet-Sicherheit – if(is)
Publisher Logo
Vertrauensmodelle von Public-Key-Infrastrukturen (PKIs) Prof. Dr. Norbert Pohlmann - Cyber-Sicherheitsexperten
