Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Bedrohungen für Zertifikatdienste und Eindämmungsmöglichkeiten 283
Registrierungs-Agenten, die nichtautorisierte Zertifikate ausstellen
In älteren Windows-Versionen war die Rolle Registrierungs-Agent in der Lage, Smartcard-
Zertifikate für beliebige Benutzer in Active Directory auszustellen. Viele Organisationen
betrachteten das als Sicherheitsproblem, weil ein Registrierungs-Agent eine Smartcard für
ein privilegiertes Konto, zum Beispiel ein Mitglied von Organisations-Admins, ausstellen
und dann in dieser Rolle agieren konnte. Ein Benutzer, der ein Registrierungs-Agent war,
war also genauso vertrauenswürdig und mächtig wie jeder andere Benutzer in der Domäne.
Bei einer Unternehmenszertifizierungsstelle, die unter Windows Server 2008 Enterprise
Edition oder Windows Server 2008 Datacenter Edition läuft, können Sie Einschränkungen
für Registrierungs-Agenten erzwingen. Diese Einschränkungen verhindern, dass ein
Registrierungs-Agent Smartcards an unautorisierte Benutzer ausstellt.
Abbildung 10.5 Einschränken von Registrierungs-Agenten
Wie in Abbildung 10.5 gezeigt, können Sie Registrierungs-Agenten nun auf zwei Arten
einschränken:
Sie können Registrierungs-Agenten so einschränken, dass sie nur Zertifikate aus einer
vordefinierten Liste von Zertifikatsvorlagen anfordern dürfen. Selbst wenn der Registrierungs-Agent
versehentlich Lesen- und Registrieren-Berechtigungen für weitere
Zertifikatsvorlagen zugewiesen bekommen hat, bleibt der Registrierungs-Agent auf die
Liste beschränkt, die auf der Registerkarte Registrierungs-Agents definiert ist. In beiden
Dialogfeldern in Abbildung 10.5 wird die Gruppe West RAs darauf beschränkt, nur
Smartcard-Zertifikate auf Basis der Zertifikatsvorlagen Federal Bridge Signing und
Corporate Smart Card Logon auszustellen.
Sie können noch weiter einschränken, an welche Gruppen Smartcard-Zertifikate anhand
von Zertifikatsvorlagen ausgestellt werden dürfen. Das linke Dialogfeld in Abbildung 10.5