Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Bedrohungen für Zertifikatdienste und Eindämmungsmöglichkeiten 281
LDAP-Name (Lightweight Directory Access Protocol) der Gesamtstruktur-Stammdomäne
ist. Wie umfangreich die Änderungen sind, die ein Angreifer vornehmen kann, hängt davon
ab, welche Art von Zertifikatsvorlage er manipuliert:
Bei Version-1-Zertifikatsvorlagen kann ein Angreifer lediglich die Berechtigungen für
die einzelnen Zertifikatsvorlagen verändern. Das ermöglicht es dem Angreifer, ein Zertifikat
auszustellen, das erhöhte Berechtigungen gewährt (zum Beispiel ein Zertifikat für
einen Registrierungs-Agenten). So kann der Angreifer zusätzliche Zertifikate im Namen
anderer Benutzer anfordern.
Version-2- oder Version-3-Zertifikatsvorlagen, die von Unternehmenszertifizierungsstellen
veröffentlicht werden, die unter Windows Server 2008 Enterprise Edition oder Datacenter
Edition laufen, verschaffen einem Angreifer viele Möglichkeiten, die Konfiguration
zu manipulieren. Zum Beispiel kann er den gesamten Zweck des Zertifikats,
Anwendungsrichtlinien, Schlüsselarchivierungsanforderungen, Gültigkeitsdauer und
Format des Antragstellernamens verändern. So kann ein Angreifer zum Beispiel den
Zweck der Zertifikatsvorlage so ändern, dass die Schlüsselarchivierung aktiviert wird,
sofern die Zertifikatsvorlage verschlüsselungsfähig ist.
Hinweis Weitere Informationen zur Bedeutung von Zertifikatsvorlagen in einem Microsoft Windows-
Netzwerk finden Sie im Whitepaper »Implementing and Administering Certificate Templates in Windows
Server 2008« unter http://go.microsoft.com/fwlink/?LinkID=92522.
Sie sollten regelmäßig die Zertifikatsvorlagendefinitionen für die Zertifikatsvorlagen überprüfen,
die Sie in Ihrer Gesamtstruktur bereitstellen. Stellen Sie sicher, dass die Einstellungen
Ihrem Entwurf entsprechen. Achten Sie besonders auf Berechtigungszuweisungen, um
sicherzustellen, dass unautorisierte Benutzer keine Lesen- und Registrieren-Berechtigungen
für eine Zertifikatsvorlage zugewiesen bekommen. Zum Beispiel könnte ein Angreifer versuchen,
sich Zugriff auf ein Zertifikat mit besonderen Privilegien zu verschaffen, zum Beispiel
ein Registrierungs-Agent-Zertifikat. Das Registrierungs-Agent-Zertifikat erlaubt dem
Besitzer, das Zertifikat im Namen eines anderen Benutzers anzufordern. Wenn ein Angreifer
über ein Registrierungs-Agent-Zertifikat verfügt, kann er ein Zertifikat für jeden Benutzer in
der Gesamtstruktur anfordern, ohne Konto oder Kennwort des Benutzers wissen zu müssen.
Hinzufügen nichtvertrauenswürdiger Zertifizierungsstellen zum Speicher
der vertrauenswürdigen Stammzertifizierungsstellen
Falls Angreifer ein nicht vertrauenswürdiges Zertifizierungsstellenzertifikat zum Speicher
der vertrauenswürdigen Stammzertifizierungsstellen hinzufügen kann, werden alle Zertifikate,
deren Zertifikatkette zu diesem Stammzertifizierungsstellenzertifikat zurückführen, als
vertrauenswürdig eingestuft. Ein Zertifikat, das auf ein vertrauenswürdiges Stammzertifizierungsstellenzertifikat
zurückführt, gilt für alle Zwecke als vertrauenswürdig. Ein vertrauender
Partner vertraut einem solchen Zertifikat genauso wie er einem Zertifikat vertraut, das
von einer gültigen Zertifizierungsstelle in derselben Hierarchie ausgestellt wurde.
Stattdessen könnte ein Angreifer auch versuchen, eine Zertifikatvertrauensliste (Certificate
Trust List, CTL) zu erstellen. Dies ist eine Liste der Zertifizierungsstellenzertifikate, die
nicht von der Zertifizierungsstellenhierarchie Ihres Unternehmens ausgestellt werden, denen
aber für bestimmte Zwecke und bestimmte Zeiträume vertraut wird. Das ermöglicht es dem
Angreifer, in Ihrem Netzwerk ein Zertifikat zu benutzen, das von einer fremden, nicht ver-