Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

286 Kapitel 10: Implementieren der Active Directory-Zertifikatdienste
herstellungs-Agent auf dem Zertifizierungsstellencomputer ist, auf dem der private Schlüssel
des Benutzers archiviert ist.
Falls der Angreifer Zugriff auf den privaten Schlüssel des Benutzers erlangt, kann der Angreifer
alle Informationen entschlüsseln, die mit dem ausgespähten Zertifikat geschützt sind.
Und falls das Zertifikat eine Signierung ermöglicht, kann der Angreifer sich für den Benutzer
ausgeben, um Daten digital zu signieren.
Sie können diesen Angriff verhindern, indem Sie Zertifikatverwaltungen von Schlüsselwiederherstellungs-Agenten
trennen. Das hat folgende Konsequenzen:
Der Inhaber der Rolle Zertifikatverwaltung stellt fest, wer der Schlüsselwiederherstellungs-Agent
für den archivierten privaten Schlüssel ist, und extrahiert eine verschlüsselte
PKCS#7-Blob-Datei aus der Zertifizierungsstellendatenbank. Nur der Inhaber der Rolle
Zertifikatverwaltung kann diese Blob-Datei extrahieren.
Der Inhaber der Rolle Schlüsselwiederherstellungs-Agent kann die verschlüsselte Blob-
Datei mit dem privaten Schlüssel im Zertifikat des Schlüsselwiederherstellungs-Agenten
entschlüsseln. Nur der Schlüsselwiederherstellungs-Agent hat Zugriff auf den privaten
Schlüssel, der die verschlüsselte Blob-Datei entschlüsseln kann.
Ein Administrator kann sich selbst zu einem Schlüsselwiederherstellungs-Agenten für vorhandene
archivierte Zertifikate machen. Der Schlüsselwiederherstellungs-Agent wird zu
dem Zeitpunkt bestimmt, an dem der private Schlüssel archiviert wird. Solange der private
Schlüssel geschützt bleibt (indem er zum Beispiel auf einer Smartcard gespeichert wird),
kann ein Administrator keinen Zugriff auf den privaten Schlüssel bekommen.
Schützen von Zertifikatdiensten
Um die Wahrscheinlichkeit zu verringern, dass die verschiedenen weiter oben beschriebenen
Bedrohungen für einen erfolgreichen Angriff genutzt werden, können Sie folgende Maßnahmen
ergreifen:
Implementieren von physischen Sicherheitsmaßnahmen
Implementieren von logischen Sicherheitsmaßnahmen
Implementieren physischer Sicherheitsmaßnahmen
Physische Sicherheitsmaßnahmen verhindern, dass Angreifer physischen Zugriff auf den
Computer bekommen, der die Active Directory-Zertifikatdienste ausführt. Wenn ein Angreifer
physischen Zugriff auf einen Computer erhält, ist eine Vielzahl von Angriffen möglich.
Physische Sicherheitsmaßnahmen können Folgendes umfassen:
Verwenden Sie Offlinezertifizierungsstellen. Indem Sie eine dreischichtige Hierarchie
aufbauen, können Stammzertifizierungsstelle und Zertifizierungsstellen der zweiten
Ebene (auch als Richtlinienzertifizierungsstellen bezeichnet) Offlinezertifizierungsstellen
sein, auf die kein Remotezugriff möglich ist. Sie brauchen nicht einmal eingeschaltet
zu sein. Bei einer zweischichtigen Hierarchie kann nur die Stammzertifizierungsstelle
eine Offlinezertifizierungsstelle. Eine Offlinezertifizierungsstelle ist nicht an das Netzwerk
angeschlossen; sie wird nur eingeschaltet, um neue Zertifikate für untergeordnete
Zertifizierungsstellen auszustellen, Zertifikate für untergeordnete Zertifizierungsstellen
zu erneuern und aktualisierte CRLs zu veröffentlichen. Selbst während dieser Operationen
ist sie nicht mit dem Netzwerk verbunden und braucht nicht von ihrem sicheren