Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

282 Kapitel 10: Implementieren der Active Directory-Zertifikatdienste
trauenswürdigen Zertifizierungsstelle ausgestellt wurde. Wenn ein ahnungsloser Client die
Zertifikatvertrauensliste lädt, vertraut er dem Zertifikat des Angreifers.
In der Standardeinstellung bieten Windows Vista und Windows Server 2008 folgende
Mechanismen zum Schutz gegen die Installation eingeschleuster Stammzertifizierungsstellenzertifikate:
Benutzerkontensteuerung (User Account Control, UAC) Nur Mitglieder der lokalen
Gruppe Administratoren können ein Stammzertifizierungsstellenzertifikat zum Speicher
der vertrauenswürdigen Stammzertifizierungsstellen des Computers hinzufügen.
Falls der Angreifer eine Verknüpfung auf sein eingeschleustes Stammzertifikat angibt,
warnt die UAC den Client, dass administrative Privilegien erforderlich sind, um das
Stammzertifikat zu installieren.
Gruppenrichtlinien für vertrauenswürdige Stammzertifizierungsstellen Über
Gruppenrichtlinien können Sie Regeln definieren, wie Stammzertifizierungsstellenzertifikate
hinzugefügt werden dürfen. Wie in Abbildung 10.4 zu sehen, können Sie festlegen,
ob ein vom Benutzer hinzugefügtes Stammzertifikat verwendet werden kann, um
Zertifikate zu validieren. Sie können auch steuern, ob der Client Peervertrauenszertifikaten
vertrauen kann und ob die Clientcomputer sowohl kommerziellen als auch Stammzertifizierungsstellen
des Unternehmens vertrauen oder nur Stammzertifizierungsstellen
des Unternehmens.
Abbildung 10.4 Definieren von Gruppenrichtlinieneinstellungen für
vertrauenswürdige Stammzertifizierungsstellen