Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

284 Kapitel 10: Implementieren der Active Directory-Zertifikatdienste
zeigt, dass die Gruppe West RAs nur Zertifikate auf Basis der Zertifikatsvorlage Corporate
Smart Card Logon für Mitglieder der Gruppe West Smart Card Users anfordern
darf. Und im rechten Dialogfeld ist festgelegt, dass die Gruppe West RAs nur Zertifikate
auf Basis der Zertifikatsvorlage Federal Bridge Signing für Mitglieder der Gruppe Federal
Bridge Users anfordern darf.
Tipp Sie brauchen nicht alle Zertifikatsvorlagen aufzulisten, wenn Sie einer bestimmten Registrierungs-
Agent-Gruppe erlauben wollen, Zertifikate für alle Zertifikatsvorlagen oder alle Benutzer anzufordern. Sie
können im Feld Zertifikatsvorlagen den Eintrag auswählen und für die Benutzer die Gruppe Jeder.
Außerdem können Sie explizite Verweigern-Berechtigungen hinzufügen, um zu verhindern, dass Zertifikate
an eine bestimmte Gruppe oder auf Basis einer bestimmten Zertifikatsvorlage ausgestellt werden.
Kompromittierung einer Zertifizierungsstelle durch einen
einzelnen Administrator
In der Standardeinstellung gewährt Windows Server 2008 der integrierten Gruppe Administratoren
Berechtigungen und Benutzerrechte, um alle administrativen Aufgaben auszuführen.
Falls der Computer, auf dem die Zertifikatdienste laufen, ein eigenständiger Computer
ist, werden die Berechtigungen der lokalen Gruppe Administratoren zugewiesen. Falls der
Computer Mitglied einer Domäne ist, werden die Berechtigungen auch den Gruppen Organisations-Admins
und Domänen-Admins der Gesamtstruktur-Stammdomäne zugewiesen.
Wenn alle Verwaltungsberechtigungen einem einzigen Konto oder einer Gruppe zugewiesen
werden, kann jedes Mitglied der administrativen Gruppen sämtliche Verwaltungsfunktionen
durchführen, ohne Beaufsichtigung durch andere Administratoren. Es ist möglich, dass ein
böswilliger Administrator Änderungen an der Konfiguration der Zertifizierungsstelle vornimmt,
eine große Menge von Zertifikaten sperrt, das Überwachungprotokoll löscht, um
seine Spuren zu verwischen, oder eine Datensicherung der privaten Schlüssel und Datenbank
der Zertifizierungsstelle durchführt, um eine Kopie der Zertifizierungsstelle anzulegen.
Sie können die Gefahr, die von einem einzelnen böswilligen Administrator ausgeht, dadurch
verringern, dass Sie den Empfehlungen in »Certificate Issuing and Management Components
(CIMC) Family of Protection Profiles« folgen, einem Standarddokument des National
Institute of Standards and Technology (NIST). Dieses Dokument definiert Anforderungen
für die Ausstellung, Sperrung und Verwaltung von X.509-Zertifikaten.
Hinweis Die CIMC-Schutzprofile werden oft als Common-Criteria-Richtlinien bezeichnet.
Die Windows Server 2008-PKI folgt den Empfehlungen im Standarddokument. Eine Organisation
kann daher eine PKI bereitstellen, die das Schutzprofil der Sicherheitsstufe 4 erfüllt.
Dieses Profil definiert vier PKI-Verwaltungsrollen:
Zertifizierungsstellenadministrator Diese Rolle übernimmt die Aufgabe der Kontoadministration
und Schlüsselgenerierung für das Schlüsselpaar des Zertifizierungsstellenzertifikats.
Ein Mitglied dieser Rolle kann die Konfiguration der Zertifizierungsstelle
ändern. Sie weisen diese Rolle zu, indem Sie dem Benutzer oder der Gruppe in der Konsole
Zertifizierungsstelle die Berechtigung Zertifizierungsstelle verwalten zuweisen.
Zertifikatverwaltung Dieser Rolle fällt die Aufgabe zu, die Zertifikate zu verwalten.
Zu den Verwaltungsfunktionen gehört das Ausstellen und Sperren von Zertifikaten und
das Extrahieren der Blobs für private Schlüssel aus der Zertifizierungsstellendatenbank,