EST (Enrollment over Secure Transport) ist ein IETF-Standard, der in RFC 7030 definiert ist und die Zertifikatsregistrierung über TLS mit gegenseitiger Authentifizierung automatisiert. Er ist als sichererer Nachfolger von SCEP für die Ausstellung von Zertifikaten an Geräte und Clients konzipiert.
EST automatisiert die Zertifikatsregistrierung mittels HTTPS mit gegenseitiger TLS-Authentifizierung, im Gegensatz zum Shared-Secret-Modell von SCEP. EST ist in RFC 7030 definiert und unterstützt eine stärkere Client-Authentifizierung, die Erneuerung von Zertifikaten ohne vollständige Neuregistrierung sowie moderne kryptografische Algorithmen. Dadurch eignet es sich besser für sicherheitsbewusste Unternehmen und IoT-Umgebungen.
Wichtige Erkenntnisse
- EST ist in IETF RFC 7030 definiert und wurde speziell entwickelt, um die Authentifizierungs- und TransportsicherheitslĂĽcken in SCEP zu schlieĂźen.
- Die EST-Registrierung erfolgt ĂĽber HTTPS unter Verwendung einer TLS-Clientzertifikatsauthentifizierung (oder einer anderen starken Anmeldeinformation) anstelle eines gemeinsam genutzten Einmalpassworts.
- EST unterstützt einen separaten Verlängerungsvorgang (simplereenroll) unabhängig von der Erstanmeldung, im Gegensatz zu SCEP, bei dem typischerweise der gesamte Anmeldevorgang wiederholt wird.
- EST ist von Grund auf algorithmenunabhängig und eignet sich daher besser als SCEP für Organisationen, die einen Übergang zu Post-Quanten-Zertifikatalgorithmen planen.
- Trotz seines stärkeren Sicherheitsmodells hinkt die Akzeptanz von EST deutlich hinter der von SCEP her, da SCEP auf jahrzehntelange Unterstützung durch Hersteller und Plattformen zurückgreifen kann, die EST noch nicht erreicht hat.
Worin unterscheidet sich die EST-Anmeldung von der SCEP-Anmeldung?
| Aspekt | SCEP | EST |
|---|---|---|
| Authentifizierung | Gemeinsames Geheimnis (Einmalpasswort) | TLS-Clientzertifikat oder andere starke Anmeldeinformationen |
| Transport | HTTP, optional ĂĽber TLS | HTTPS mit obligatorischem TLS |
| Erneuerung | Führt in der Regel eine vollständige Wiederholung der Einschreibung durch | Spezieller SimpleReenroll-Vorgang |
| Standard | Informativer IETF-Entwurf, weit verbreitet umgesetzt | RFC 7030, ein vollständiger IETF-Standard |
| Anbieter-/Plattformunterstützung | Weitgehend und seit langem etabliert (MDM, NDES, Netzwerkgeräte) | Wachsend, aber schmaler als der Wirkungsbereich von SCEP. |
Was sind die Kernaufgaben der EST?
- cacerts: Ruft die aktuelle Zertifikatskette der Zertifizierungsstelle ab, damit ein Client vor der Registrierung Vertrauen herstellen kann.
- simpleenroll: stellt eine Zertifikatsignierungsanforderung fĂĽr die Erstregistrierung, die ĂĽber Mutual TLS authentifiziert wird.
- simplereenroll: beantragt die Erneuerung des Zertifikats unter Verwendung des bestehenden Zertifikats des Kunden (bald ablaufend) Zertifikat als Authentifizierungsnachweis.
- serverkeygen: Optional kann der Server die folgenden generieren: Schlüsselpaar im Auftrag des Clients, nützlich für leistungsschwache Geräte, die nicht effizient selbst Schlüssel generieren können.
Warum hat EST SCEP trotz höherer Sicherheit nicht ersetzt?
SCEP genießt seit Jahrzehnten breite Unterstützung: Nahezu jede MDM-Plattform, jeder Netzwerkgerätehersteller und jede CA-Software implementiert es, und die Umstellung einer bestehenden Geräteflotte auf ein anderes Registrierungsprotokoll ist ein echtes Migrationsprojekt und keine einfache Konfigurationsänderung. Das robustere Sicherheitsmodell von EST hat es zur bevorzugten Wahl für neue, sicherheitskritische Implementierungen gemacht, insbesondere in IoT- und Industrieumgebungen. Die große installierte Basis von SCEP bedeutet jedoch, dass es voraussichtlich noch viele Jahre das gängigere Protokoll bleiben wird.
Wie VerschlĂĽsselungsberatung hilft
Wie Verschlüsselungsberatung hilft: PKI-as-a-Service und CertSecure Manager unterstützen sowohl die EST- als auch die SCEP-Registrierung. So können Sie eine gehärtete EST-Bereitstellung für neue Systeme realisieren und gleichzeitig den Betrieb bestehender SCEP-basierter Systeme ohne Unterbrechung fortsetzen. Die Lösungen basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.
Häufig gestellte Fragen
Ist EST sicherer als SCEP?
Ja, im Hinblick auf sein Authentifizierungsmodell. EST erfordert eine TLS-basierte gegenseitige Authentifizierung für die Registrierung, während SCEP auf einem gemeinsamen Einmalpasswort basiert, welches eine schwächere Art von Anmeldeinformationen darstellt und häufiger Ziel für Abfangen oder Wiederverwendung ist, wenn es nicht sorgfältig verwaltet wird.
UnterstĂĽtzt EST die Zertifikatserneuerung?
Ja, durch einen speziellen simplereenroll-Vorgang, der das aktuelle, noch gĂĽltige Zertifikat des Clients als Authentifizierungsnachweis verwendet, im Gegensatz zum ursprĂĽnglichen simpleenroll-Vorgang, der fĂĽr die erstmalige Registrierung verwendet wird.
Welche Branchen nutzen EST am häufigsten?
EST ist am weitesten verbreitet bei IoT- und Industriegeräte-Implementierungen, bei denen eine starke gerätespezifische Authentifizierung wichtig ist und die Geräteflotte neu konzipiert wird, da diese Projekte EST von Anfang an einsetzen können, anstatt eine bestehende SCEP-Implementierung zu migrieren.
Kann eine Organisation SCEP und EST gleichzeitig betreiben?
Ja. Viele Organisationen nutzen SCEP für ältere Geräteflotten und MDM-Plattformen, die nur SCEP unterstützen, während sie EST für neue Implementierungen einsetzen, bei denen eine stärkere Authentifizierung erforderlich ist, anstatt alles auf einmal auf ein einziges Protokoll umzustellen.
UnterstĂĽtzung fĂĽr EST und SCEP von einer Plattform
Gehen Sie den nächsten Schritt: PKI-as-a-Service und CertSecure Manager unterstützen die EST- und SCEP-Registrierung parallel, sodass Sie neue Implementierungen modernisieren können, ohne bestehende Systeme zu beeinträchtigen. Erfahren Sie mehr über PKI-as-a-Service und legen Sie los.