Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

288 Kapitel 10: Implementieren der Active Directory-Zertifikatdienste
Warnung Falls Sie Syskey-Level-2- oder -Level-3-Sicherheit implementieren und das Kennwort vergessen
oder keinen Zugriff mehr auf das Kennwort auf dem Syskey-Datenträger haben, können Sie
überhaupt nicht mehr auf den Offlinezertifizierungsstellencomputer zugreifen. Stellen Sie sicher, dass
das Kennwort an einem sicheren Ort aufgezeichnet wird oder dass Kopien des Syskey-Datenträgers
vorhanden sind, um solche Probleme zu vermeiden.
Empfehlungen
Sie sollten die folgenden Verfahrensempfehlungen beachten, um Active Directory-Zertifikatdienste
zu schützen:
Erhöhen Sie die Sicherheit der Stammzertifizierungsstellencomputer Sie können
für diesen Zweck Offlinezertifizierungsstellen und (sofern möglich) Offlinerichtlinienzertifizierungsstellen
bereitstellen, je nachdem, was die Sicherheitsrichtlinie Ihres Unternehmens
vorschreibt.
Implementieren Sie ein Hardwaresicherheitsmodul Sie sollten dies nur tun, falls die
Sicherheitsrichtlinie Ihres Unternehmen oder der Organisationen, mit denen Sie Zertifikate
austauschen wollen, einen starken Schutz des Schlüsselpaars der Zertifizierungsstelle
fordert.
Stellen Sie sicher, dass CRLs und Zertifizierungsstellenzertifikate an Stellen veröffentlicht
werden, auf die zugegriffen werden kann Das Zertifikatverkettungsmodul
muss Zugriff auf alle CRLs und Zertifizierungsstellenzertifikate in der Zertifikatkette
haben, um ein vorgelegtes Zertifikat überprüfen zu können. Falls irgendein Zertifikat
oder eine Zertifikatsperrliste nicht verfügbar ist, kann sein Status nicht bestimmt werden.
Stellen Sie sicher, dass OCSP-Responder hochverfügbar sind Falls Sie OCSP implementieren,
müssen Sie sicherstellen, dass die OCSP-Responder nicht nur für interne
und externe Benutzer verfügbar sind, sondern hochverfügbar. Sie können die Windows-
Lastausgleichsdienste implementieren, um sicherzustellen, dass der OCSP-Responder
auch dann noch OCSP-Anforderungen bedienen kann, wenn ein einzelner Knoten im
Cluster ausfällt.
Aktivieren Sie die Zertifikatsperrlistenprüfung in allen Anwendungen Die Zertifikatsperrlistenprüfung
stellt sicher, dass ein vorgelegtes Zertifikat alle Überprüfungen besteht,
bevor es akzeptiert wird. Falls das Zertifikat irgendeinen Test nicht besteht, wird
es als ungültig eingestuft.
Wenden Sie die neuesten Service Packs und Sicherheitsupdates auf Zertifizierungsstellen
an Auf diese Weise stellen Sie sicher, dass die Zertifizierungsstelle gegen bekannte
Sicherheitslücken geschützt ist.
Trennen Sie die Rollen von Zertifikatverwaltung und Schlüsselwiederherstellungs-
Agent Falls eine Person beide Rollen wahrnimmt, ist es möglich, dass dieser Benutzer
einen verschlüsselten privaten Schlüssel aus einer Windows Server 2003-Zertifizierungsstelle
abruft und entschlüsselt, um ihn für eigene Zwecke zu missbrauchen. Indem
Sie die Rollen trennen, erzwingen Sie, dass zwei Personen am Wiederherstellungsprozess
teilnehmen müssen.
Implementieren Sie Rollentrennung Indem Ihre Organisation den Common-Criteria-
Richtlinien folgt, kann sie sicherstellen, dass niemals eine einzige Person alle PKI-
Verwaltungsrollen wahrnimmt. Wenn Sie Rollentrennung implementieren, kann der