Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Bedrohungen für Zertifikatdienste und Eindämmungsmöglichkeiten 279
Wenn Sie die CDP- und AIA-URLs definieren, sollten Sie sicherstellen, dass Sie die URLs
so sortieren, dass die Mehrzahl der Anwendungen, die eine Zertifikatsperrprüfung durchführen,
auf die primäre URL zugreifen. In Abbildung 10.2 sind die URLs so angeordnet, dass
eine HTTP-URL die primäre URL ist und LDAP die sekundäre URL. Diese Reihenfolge
erlaubt es Nicht-Windows-Computern, über die primäre URL auf Zertifikatsperrliste oder
Zertifizierungsstellenzertifikat zuzugreifen, ohne auf die sekundäre URL zurückgreifen zu
müssen.
Falls Sie OCSP für die Zertifikatsperrprüfung implementieren, müssen Sie sicherstellen,
dass der OCSP-Responder für alle Zertifikatsperrprüfungen zur Verfügung steht. Sie können
Netzwerklastenausgleich implementieren, um sicherzustellen, dass der OCSP-Responder
hochverfügbar ist.
Versuche, die Konfiguration der Zertifizierungsstelle zu verändern
Falls es einem Angreifer gelingt, sich auf dem Computer, der die Active Directory-Zertifikatdienste
ausführt, Zugriff als lokaler Administrator zu verschaffen, kann er die Konfiguration
der Zertifizierungsstelle verändern. Dabei kann er zum Beispiel die URLs für die Veröffentlichung
von Zertifikatsperrlisten ändern, echte Zertifikate sperren und Zertifikate an ungültige
Computer oder Benutzer ausstellen.
Sie können solche Manipulationen an der Konfiguration der Zertifizierungsstelle verhindern,
indem Sie die Mitgliedschaft in den Verwaltungsgruppen der Zertifizierungsstelle einschränken.
Die Konfigurationsänderungen werden als Registrierungseinträge gespeichert. Nur Mitglieder
der lokalen Gruppe Administratoren und Gruppen, denen die Berechtigung Zertifizierungsstelle
verwalten für die Zertifizierungsstelle zugewiesen wurde, können Änderungen
an der Konfiguration der Zertifizierungsstelle vornehmen. Das Problem ist, dass ein
Mitglied der Gruppe Administratoren Änderungen an der Konfiguration der Zertifizierungsstelle
vornehmen kann. Um feststellen zu können, wer eine autorisierte oder unautorisierte
Änderung an der Konfiguration der Zertifizierungsstelle vorgenommen hat, sollten Sie die
Überwachung auf der Zertifizierungsstelle aktivieren. In Windows Server 2008 können Sie
definieren, welche Verwaltungsvorgänge im Sicherheitsprotokoll der Zertifizierungsstelle
aufgezeichnet werden. Um sicherzustellen, dass alle Ereignisse im Bereich der Active Directory-Zertifikatdiensteüberwachung
im Sicherheitsprotokoll aufgezeichnet werden, sollten
Sie Erfolgs- und Fehlerereignisse für Objektzugriffsversuche auf der Zertifizierungsstelle
aktivieren. Die Einstellungen können Sie direkt in der Konsole Lokale Sicherheitsrichtlinie
vornehmen, Sie können aber auch ein Gruppenrichtlinienobjekt (Group Policy Object, GPO)
mit den erforderlichen Überwachungseinstellungen anwenden.
Sobald Sie die Objektzugriffsüberwachung aktiviert haben, können Sie einzelne Überwachungseinstellungen
in der Konsole Zertifizierungsstelle aktivieren. Wie in Abbildung 10.3
gezeigt, können Sie folgende Überwachungsoptionen auf der Registerkarte Überwachung
im Eigenschaftendialogfeld der Zertifizierungsstelle aktivieren:
Datenbank der Zertifizierungsstelle sichern/wiederherstellen Protokolliert alle
Versuche, die Zertifizierungsstellendatenbank zu sichern oder wiederherzustellen, im
Windows-Sicherheitsprotokoll.
Zertifizierungsstellenkonfiguration ändern Protokolliert alle Versuche, die Konfiguration
der Zertifizierungsstelle zu verändern. Das umfasst unter anderem die Definition
von AIA- (Authority Information Access) und CDP-URLs (CRL Distribution Point) oder
eines Schlüsselwiederherstellungs-Agenten.