Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

276 Kapitel 10: Implementieren der Active Directory-Zertifikatdienste
Implementieren Sie FIPS-140-2-Level-2 (Federal Information Processing Standards)
oder -Level-3-Hardwareschutz für die privaten Schlüssel der Zertifizierungsstelle. Ein
Hardwaresicherheitsmodul (Hardware Security Module, HSM) schützt den privaten
Schlüssel der Zertifizierungsstelle in einem dedizierten Hardwaregerät. Das private
Schlüsselmaterial wird mit Sicherheitstoken geschützt, die erzwingen, dass mehrere Personen
anwesend sind, um auf den privaten Schlüssel der Zertifizierungsstelle zugreifen
zu können.
Verhinderung von Zertifikatsperrprüfungen
Zertifikatbasierte Anwendungen überprüfen Zertifikate normalerweise, bevor sie die Zertifikate
für Authentifizierung, Signierung oder Verschlüsselung einsetzen. Bei einer der durchgeführten
Überprüfungen wird festgestellt, ob das vorgelegte Zertifikat vor seinem normalen
Ablaufdatum gesperrt wurde. Wenn ein Zertifikat gesperrt wird, werden die Seriennummer
des Zertifikats, der Sperrzeitpunkt und ein Grund für die Sperrung in einer Zertifikatsperrliste
(Certificate Revocation List, CRL) aufgezeichnet.
Ein Angreifer hat drei Möglichkeiten, eine solche Zertifikatsperrprüfung zu verhindern:
Der Angreifer kann die Anwendung daran hindern, die Zertifikatsperrung zu prüfen.
Bei diesem Angriff verhindert der Angreifer, dass die Anwendung den Sperrstatus eines
Zertifikats überprüft. Zum Beispiel hat der Internet Explorer 7.0 sicherere Standardeinstellungen,
sodass er automatisch den Sperrstatus für die Zertifikate von Anwendungsherausgebern
und SSL-geschützten (Secure Sockets Layer) Websites prüft. Wie
in Abbildung 10.1 zu sehen, kann für heruntergeladene Anwendungen und Websitezertifikate
geprüft werden, ob sie gesperrt wurden.
Abbildung 10.1 Aktivieren der Zertifikatsperrprüfung im Internet Explorer