Zertifikatsmanagement im Public Spot (PDF) - LANCOM Systems

. . . c o n n e c t i n g y o u r b u s i n e s sLANCOM TechpaperZertifikatsmanagement im Public SpotZusätzliche SicherheitFür Public Spots bietet es sich an, mit einer Firewallspezifische Protokolle und Ports zu sperren, um Missbrauchweiter vorzubeugen.Der AnmeldevorgangBei einer Verbindung mit dem entsprechenden Webserverwird das Zertifikat an den Client übertragen unddieser prüft, ob die Signatur des Zertifikats vertrauenswürdigist. Zertifikate einer Stammzertifizierungsstelle,bestehend aus ihrem öffentlichen Schlüssel und signiertmit ihrem privaten Schlüssel, sind in den Webbrowsernhinterlegt. Wird die Signatur als authentischeingestuft, generiert der Client einen zufälligen Sitzungsschlüssel,der mit dem öffentlichen Schlüssel desWebservers verschlüsselt wird. Dieser Datensatz wirdBenutzerfreundlichkeitIn einem Public Spot ist die Benutzerfreundlichkeitsehr wichtig. Von daher sollte auf öffentliche Zertifikatezurückgegriffen werden, um Nutzer nicht denSicherheitswarnungen des Webbrowsers auszusetzenund dadurch zu verunsichern.nun an den Webserver übermittelt, der ihn mit Hilfeseines privaten Schlüssels entschlüsseln kann.Nun habe beide Parteien, Webserver und Client denSitzungsschlüssel. Hiermit wird nun ein SSL-Tunnel miteiner 128 Bit Verschlüsselung zwischen Webserver undClient hergestellt, der genutzt wird um Daten zwischenden beiden Parteien zu übertragen. Somit sind die Anmeldedatenverschlüsselt und können nicht von drittenmissbraucht werden.Der Anmeldevorgang ist in Abb.2 schematisch dargestellt.ClientErwerb von ZertifikatenZertifikate, die durch eine vertrauenswürdige Stammzertifizierungsstellesigniert wurden, können bei denentsprechenden Unternehmen erworben werden. EinigeBeispiele für Unternehmen, die einen entsprechendenService anbieten, sind Deutsche Telekom (Telesec)und Verisign. Die Kosten für Standardzertifikate, dieals vertrauenswürdig eingestuft werden, bewegen sichin einem Rahmen von niedrigen zweistelligen Beträgenpro Monat.ServerAufruf der HTTPSAnmeldeseiteAnfrageServerzertifikatPrüfungServerzertifikatServerzertifikatÖffentlicher Schlüssel,signiert mit priv. SchlüsselÜbertragungServerzertifikatÖffentlicherSchlüsselPrivaterSchlüsselErstellungSitzungsschlüsselSitzungsschlüsselempfangenesServerzertifikatVerschlüsselungSitzungsschlüsselÜbertragungSitzungsschlüsselEntschlüsselungSitzungsschlüsselSSL-TunnelVerschlüsselung durch SitzungsschlüsselSitzungsschlüsselAbb.2 Schematische Darstellung eines HTTPS-Anmeldevorgangs2