Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Bedrohungen für Zertifikatdienste und Eindämmungsmöglichkeiten 285
während Schlüsselwiederherstellungsoperationen durchgeführt werden. Sie weisen diese
Rolle zu, indem Sie dem Benutzer oder der Gruppe in der Konsole Zertifizierungsstelle
die Berechtigung Zertifikate ausstellen und verwalten zuweisen.
Revisor Diese Rolle hat die Aufgabe, die Überwachungsprotokolle der Zertifizierungsstelle
zu verwalten und zu konfigurieren. Sie weisen diese Rolle zu, indem Sie dem
Benutzer oder der Gruppe entweder in der Konsole Lokale Sicherheitsrichtlinie oder in
einem Gruppenrichtlinienobjekt, das mit der Organisationseinheit verknüpft ist, in dem
das Computerkonto der Zertifizierungsstelle liegt, das Benutzerrecht Verwalten von
Überwachungs- und Sicherheitsprotokollen zuweisen.
Datensicherungsoperator Diese Rolle hat die Aufgabe, Datensicherungen von PKI-
Informationen vorzunehmen. Sie weisen diese Rolle zu, indem Sie dem Benutzer oder
der Gruppe entweder in der Konsole Lokale Sicherheitsrichtlinie oder in einem Gruppenrichtlinienobjekt,
das mit der Organisationseinheit verknüpft ist, in dem das Computerkonto
der Zertifizierungsstelle liegt, das Benutzerrecht Sichern von Dateien und
Verzeichnissen zuweisen.
Windows Server 2008 Enterprise Edition und Windows Server 2008 Datacenter Edition
ermöglichen Ihnen, die Common-Criteria-Rollentrennung zu erzwingen, sodass niemals
dieselbe Person mehrere Common-Criteria-Rollen übernehmen kann. Ein Benutzer kann nur
eine einzige der Rollen Zertifizierungsstellenadministrator, Zertifikatverwaltung, Revisor
oder Datensicherungsoperator übernehmen. Werden einem Benutzer zwei oder mehr dieser
Rollen zugewiesen, wird der Benutzer von allen Zertifikatverwaltungsaktionen ausgeschlossen.
In der Standardeinstellung sind Mitglieder der Gruppen Organisations-Admins, Domänen-
Admins der Gesamtstruktur-Stammdomäne und der lokalen Gruppe Administratoren auf der
Zertifizierungsstelle von der PKI-Verwaltung ausgeschlossen, wenn Sie die Rollentrennung
aktivieren. Dieser Ausschluss wird durchgeführt, weil diese Gruppen aufgrund der Standardberechtigungszuweisungen
sowohl die Rolle des Revisors als auch des Datensicherungsoperators
einnehmen.
Hinweis Common-Criteria-Rollentrennungserzwingung kann von einem lokalen Administrator aktiviert
werden, indem er an der Eingabeaufforderung certutil –setreg CA\RoleSeparationEnabled 1 eingibt
und dann die Zertifikatdienste neu startet. Denken Sie daran, dass alle Benutzer, denen mehr als eine
Zertifikatadministrationsrolle zugewiesen ist, ab diesem Zeitpunkt von allen Zertifizierungsstellenverwaltungsaktivitäten
ausgeschlossen sind. Das können Sie rückgängig machen, indem Sie die Erzwingung der
Common-Criteria-Rollentrennung mit dem Befehl certutil –delreg CA\RoleSeparationEnabled
deaktivieren und dann die Zertifikatdienste neu starten.
Unautorisierte Wiederherstellung des privaten Schlüssels
eines Benutzers aus der Zertifizierungsstellendatenbank
Windows Server 2008 bietet die Möglichkeit, den privaten Schlüssel, der mit dem Verschlüsselungszertifikat
eines Benutzers verknüpft ist, zu archivieren (hinterlegen), sofern die
Zertifizierungsstelle unter Windows Server 2008 Enterprise Edition oder Windows Server
2008 Datacenter Edition läuft. Ein Angreifer könnte das Zertifikat eines beliebigen Benutzers
und den privaten Schlüssel aus der Zertifizierungsstellendatenbank abrufen, falls
der Angreifer sowohl ein lokaler Administrator als auch ein vorhandener Schlüsselwieder-