Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Bedrohungen für Zertifikatdienste und Eindämmungsmöglichkeiten 275
Bedrohungen für Zertifikatdienste und
Eindämmungsmöglichkeiten
Wenn Sie Zertifikatdienste bereitstellen, müssen Sie eine Reihe neuer Bedrohungen beachten,
die in diesem Zusammenhang auftauchen. Diese Bedrohungen sind unter anderem:
Kompromittierung des Schlüsselpaars einer Zertifizierungsstelle
Verhinderung von Zertifikatsperrprüfungen
Versuche, die Konfiguration der Zertifizierungsstelle zu verändern
Versuche, eine Zertifikatsvorlage zu verändern
Hinzufügen nichtvertrauenswürdiger Zertifizierungsstellen zum Speicher der vertrauenswürdigen
Stammzertifizierungsstellen
Registrierungs-Agenten, die nichtautorisierte Zertifikate ausstellen
Kompromittierung einer Zertifizierungsstelle durch einen einzelnen Administrator
Unautorisierte Wiederherstellung des privaten Schlüssels eines Benutzers aus der Zertifizierungsstellendatenbank
Wir beginnen dieses Kapitel damit, dass wir uns diese Bedrohungen genauer ansehen und
aufzeigen, welche Methoden zur Verfügung stehen, um die Bedrohungen einzudämmen.
Kompromittierung des Schlüsselpaars einer Zertifizierungsstelle
Jede Zertifizierungsstelle in einer Zertifizierungsstellenhierarchie hat ein digitales Zertifikat,
das die Zertifizierungsstelle repräsentiert. Das Zertifikat enthält einen öffentlichen Schlüssel
und den zugehörigen privaten Schlüssel. Falls Angreifer es schaffen, sich Zugriff auf den
privaten Schlüssel einer Zertifizierungsstelle zu verschaffen und das Zertifikat mit den zugehörigen
Schlüsseln zu exportieren, können Sie eine Kopie der Zertifizierungsstelle aufbauen
und im Netzwerk gültige Zertifikate ausstellen. Sie müssen alle Paare aus privaten
und öffentlichen Schlüsseln der Zertifizierungsstelle schützen, damit Angreifer niemals
Zugriff darauf bekommen.
Falls Sie einen softwarebasierten Kryptografiedienstanbieter (Cryptographic Service Provider,
CSP) einsetzen, kann jedes Mitglied der lokalen Gruppe Administratoren den privaten
Schlüssel und die Zertifikate der Zertifizierungsstelle in ein portables Dateiformat exportieren.
Dieser exportierte private Schlüssel kann dann auf jedem Computer importiert werden,
der darauf in der Lage ist, Zertifikate auszustellen, denen im Netzwerk Ihrer Organisation
vertraut wird. Und weil die echte Zertifizierungsstelle die gefälschten Zertifikate gar nicht
kennt, können sie nicht ohne Weiteres gesperrt werden. Die einzige Methode, einen solchen
Angriff unwirksam zu machen, besteht darin, das Zertifikat der Zertifizierungsstelle zu sperren,
eine Ersatzzertifizierungsstelle einzurichten und alle Zertifikate, die von der angegriffenen
Zertifizierungsstelle ausgestellt wurden, neu auszustellen.
Sie können folgende Maßnahmen ergreifen, um die Zertifizierungsstellen in Ihrer Zertifizierungsstellenhierarchie
gegen diese Art Angriff zu schützen:
Überwachen und Kontrollieren Sie die Mitgliedschaft in der lokalen Gruppe Administratoren.
Indem Sie die Mitgliedschaft in der lokalen Gruppe Administratoren kontrollieren,
können Sie einschränken, welche Benutzerkonten auf den privaten Schlüssel der Zertifizierungsstelle
zugreifen dürfen. Außerdem sollten Sie die Mitgliedschaft überwachen,
um festzustellen, ob ein nichtautorisierter Benutzer hinzugefügt wurde.