In der Public Key Infrastructure (PKI) Objektkennungen (OIDs) sind alphanumerische Zeichenfolgen, die zur eindeutigen Identifizierung von Objekten und Attributen innerhalb der Infrastruktur zugewiesen werden. OIDs sind hierarchisch aufgebaut und folgen einer standardisierten Notation, die typischerweise als eine Reihe von durch Punkte getrennten Zahlen dargestellt wird.
Organisationen können Objektkennungen (OIDs) zur eindeutigen Identifizierung ihrer Objekte oder Standards erhalten. IANA stellt kostenlose OIDs bereit, die typischerweise mit 1.3.6.1.4.1.##### beginnen, während ANSI kostenpflichtige OIDs wie 2.16.840.1.##### verlangt. Jedes Land verfügt über eine eigene OID-Verwaltungsorganisation, wie beispielsweise Kanada und Australien, die ihre eigenen OID-Zweige haben, wie beispielsweise 2.16.124.##### für Kanada und 1.2.36.##### für Australien.
OID 1.3.6.1.4.1.311 ist der Arc für Microsoft. Ein Arc bezieht sich auf einen bestimmten Pfad im globalen OID-Baum, der von der Internationalen Organisation für Normung (ISO) und der Internationalen Fernmeldeunion verwaltet wird.
Die Zahlen 1.3.6.1.4.1 sind Teil der internationalen OID-Baumstruktur, und die nachfolgende .311 gibt den spezifischen Microsoft-Arc innerhalb dieser Struktur an. Diese OID ist ein Basiswert, der als Stamm für verschiedene Microsoft-spezifische OIDs in der PKI Umwelt.
Wenn die erste Active Directory-Zertifikatdienste-Rolle (ADCS) in einer Windows-basierten PKI-Umgebung hinzugefügt wird, wird eine eindeutige OID generiert. Diese eindeutige OID ist jeder einzelnen Instanz einer PKI innerhalb der Active Directory-Infrastruktur zugeordnet.
Die automatische Generierung dieser eindeutigen OID wird beim Hinzufügen von Zertifikatsvorlagen ausgelöst. Zertifikatsvorlagen definieren die Eigenschaften und die Verwendung von Zertifikaten, die von der PKI ausgestellt werden. Die Generierung der eindeutigen OID erfolgt bereits vor der Zertifizierungsstelle (CA) ist vollständig konfiguriert.
Im Wesentlichen bedeutet dies, dass beim Einrichten einer Windows-basierten PKI durch Hinzufügen der ersten Enterprise-CA-Rolle in Active Directory die eindeutige OID als Teil des anfänglichen Einrichtungsprozesses generiert wird.
Die generierte eindeutige OID hilft dabei, jede PKI-Instanz innerhalb des PKI-Ökosystems eindeutig zu identifizieren und zu unterscheiden. Sie ist mit der spezifischen Konfiguration und den Eigenschaften des PKI-Setups verknüpft und spielt eine entscheidende Rolle bei der Gewährleistung der Einzigartigkeit und des ordnungsgemäßen Funktionierens der PKI-Infrastruktur.
Durch den OID-Baum gehen
Hier ist ein einfaches Beispiel für das Durchlaufen des OID-Baums:
- 1.3.6.1.5.5.7.48 - id-ad: arc für Zugriffsdeskriptoren
- 1.3.6.1.5.5.7 - PKIX
- 1.3.6.1.5.5 - Mechanismen
- 1.3.6.1.5 - IANA-Sicherheitsbezogene Objekte
- 1.3.6.1 - OID-Zuweisungen aus dem Internet
- 1.3.6 - US-Verteidigungsministerium
- 1.3 - ISO-zertifizierte Organisation
- 1 - ISO-zugewiesene OIDs
Möglichkeiten zum Abrufen der eindeutigen OID
Es gibt zwei Möglichkeiten, die eindeutige OID abzurufen:
-
Verwenden von GUI
Öffnen Sie AD-Sites und -Dienste und stellen Sie sicher, dass „Dienstknoten anzeigen“ im Menü „Ansicht“ aktiviert ist.
Erweitern Sie „Dienste“. Klicken Sie mit der rechten Maustaste auf den OID-Container unter „Public Key Services“ in AD Sites and Services.
Wählen Sie „Eigenschaften“ aus dem Kontextmenü des OID-Containers.
Suchen Sie im Eigenschaftenfenster das Attribut mit dem Namen „msPKI-Cert-Template-OID“.
Untersuchen Sie den dem Attribut „msPKI-Cert-Template-OID“ zugewiesenen Wert, um auf die eindeutige OID zuzugreifen, die der PKI-Instanz zugeordnet ist.
-
Verwenden von Powershell
Die OID kann auch mit diesem PowerShell-Befehl abgerufen werden: „Get-ADObject ('CN=OID,CN=Public Key Services,CN=Services,'+(Get-ADRootDSE).configurationNamingContext) -Properties msPKI-Cert-Template-OID“
Die OID für diese spezielle PKI lautet 1.3.6.1.4.1.311.21.8.5918542.13482277.16205453.1301746.11955240.196
Die zufällig generierte PKI-OID wird erstellt, indem man mit der Basis-OID von Microsoft (1.3.6.1.4.1.311) beginnt, gefolgt von der Stamm-OID von Microsoft für unternehmensspezifische OIDs (21.8) und abschließend mit einer für die Instanz der PKI spezifischen Zahlenfolge (5918542.13482277.16205453.1301746.11955240.196).
Für bestimmte Anwendungsfälle müssen Administratoren möglicherweise neue Zertifikatvorlagen erstellen, die von den Standardvorlagen abgeleitet sind. Stellen Sie sich beispielsweise ein Szenario vor, in dem eine Organisation eine benutzerdefinierte Vorlage für die Verschlüsselung der E-Mail-Kommunikation benötigt.
Je nach Szenario kann es erforderlich sein, mit dem Zertifikat verknüpfte Anwendungsrichtlinien hinzuzufügen oder zu entfernen. Anwendungsrichtlinien definieren die Zwecke, für die das Zertifikat verwendet werden kann. Zum BeispielBeispielsweise möchte ein Administrator für eine E-Mail-Verschlüsselungsvorlage möglicherweise eine Anwendungsrichtlinie hinzufügen, die die Eignung des Zertifikats für S/MIME (Secure/Multipurpose Internet Mail Extensions) angibt.
Die Anpassung erfolgt über die Registerkarte „Erweiterungen“ beim Erstellen oder Ändern einer Zertifikatsvorlage. Durch die Aktualisierung der Registerkarte „Erweiterungen“ mit den erforderlichen Informationen wird die benutzerdefinierte Zertifikatsvorlage an die spezifischen Anforderungen des Anwendungsfalls angepasst.
Gemeinsame Anwendungsrichtlinien-OIDs
Hier ist eine Tabelle mit allgemeinen Objektkennungen (OIDs) für Anwendungsrichtlinien, die in der Public Key Infrastructure (PKI) verwendet werden:
| Jeder Zweck (2.5.29.37.0) | Lebenslange Verpflichtung (1.3.6.1.4.1.311.10.3.13) |
| Bescheinigung des Identitätsschlüsselzertifikats (2.23.133.8.3) | Microsoft Publisher (1.3.6.1.4.1.311.76.8.1) |
| Bescheinigung des Identitätsschlüsselzertifikats (2.23.133.8.3) | Microsoft-Zeitstempel (1.3.6.1.4.1.311.10.3.2) |
| Zertifikatsanforderungs-Agent (1.3.6.1.4.1.311.20.2.1) | Microsoft Trust List-Signierung (1.3.6.1.4.1.311.10.3.1) |
| Client-Authentifizierung (1.3.6.1.5.5.7.3.2) | OCSP Unterzeichnung (1.3.6.1.5.5.7.3.9) |
| Codesignatur (1.3.6.1.5.5.7.3.3) | Plattformzertifikat (2.23.133.8.2) |
| CTL-Nutzung (1.3.6.1.4.1.311.20.1) | Vorschau der Build-Signatur (1.3.6.1.4.1.311.10.3.27) |
| Digitale Rechte (1.3.6.1.4.1.311.10.5.1) | Archivierung privater Schlüssel (1.3.6.1.4.1.311.21.5) |
| Verzeichnisdienst-E-Mail-Replikation (1.3.6.1.4.1.311.21.19) | Geschützte Prozesslichtüberprüfung (1.3.6.1.4.1.311.10.3.22) |
| Liste der nicht zugelassenen Elemente (1.3.6.1.4.1.311.10.3.30) | Geschützte Prozessüberprüfung (1.3.6.1.4.1.311.10.3.24) |
| Dokumentenverschlüsselung (1.3.6.1.4.1.311.80.1) | Qualifizierte Unterordnung (1.3.6.1.4.1.311.10.3.10) |
| Signieren von Dokumenten (1.3.6.1.4.1.311.10.3.12) | Unterzeichner der widerrufenen Liste (1.3.6.1.4.1.311.10.3.19) |
| Vertrauenswürdigkeit des Domain Name System (DNS)-Servers (1.3.6.1.4.1.311.64.1.1) | Stammlisten-Unterzeichner (1.3.6.1.4.1.311.10.3.9) |
| Vertrauenswürdigkeit des Domain Name System (DNS)-Servers (1.3.6.1.4.1.311.64.1.1) | Sichere E-Mail (1.3.6.1.5.5.7.3.4) |
| Dynamischer Codegenerator (1.3.6.1.4.1.311.76.5.1) | Serverauthentifizierung (1.3.6.1.5.5.7.3.1) |
| Early Launch Antimalware-Treiber (1.3.6.1.4.1.311.61.4.1) | Smartcard-Anmeldung (1.3.6.1.4.1.311.20.2.2) |
| Überprüfung eingebetteter Windows-Systemkomponenten (1.3.6.1.4.1.311.10.3.8) | SpcEncryptedDigestRetryCount (1.3.6.1.4.1.311.2.6.2) |
| Dateisystem verschlüsseln (1.3.6.1.4.1.311.10.3.4) | SpcRelaxedPEMarkerCheck (1.3.6.1.4.1.311.2.6.1) |
| Endorsement Key-Zertifikat (2.23.133.8.1) | Zeitstempeln (1.3.6.1.5.5.7.3.8) |
| Wiederherstellung von Dateien (1.3.6.1.4.1.311.10.3.4.1) | Bestätigte Überprüfung des Windows-Hardwaretreibers (1.3.6.1.4.1.311.10.3.5.1) |
| HAL-Erweiterung (1.3.6.1.4.1.311.61.5.1) | Erweiterte Überprüfung des Windows-Hardwaretreibers (1.3.6.1.4.1.311.10.3.39) |
| IP-Sicherheitsendsystem (1.3.6.1.5.5.7.3.5) | Windows-Hardwaretreiberüberprüfung (1.3.6.1.4.1.311.10.3.5) |
| IP-Sicherheit IKE Zwischenprodukt (1.3.6.1.5.5.8.2.2) | Windows Kits-Komponente (1.3.6.1.4.1.311.10.3.20) |
| IP-Sicherheitstunnel-Terminierung (1.3.6.1.5.5.7.3.6) | Windows RT-Verifizierung (1.3.6.1.4.1.311.10.3.21) |
| IP-Sicherheitsbenutzer (1.3.6.1.5.5.7.3.7) | Überprüfung der Windows-Softwareerweiterung (1.3.6.1.4.1.311.10.3.26) |
| KDC-Authentifizierung (1.3.6.1.5.2.3.5) | Windows Store (1.3.6.1.4.1.311.76.3.1) |
| Kernelmodus-Code-Signierung (1.3.6.1.4.1.311.61.1.1) | Überprüfung der Windows-Systemkomponenten (1.3.6.1.4.1.311.10.3.6) |
| Schlüsselwiederherstellung (1.3.6.1.4.1.311.10.3.11) | Windows TCB-Komponente (1.3.6.1.4.1.311.10.3.23) |
| Schlüsselwiederherstellungsagent (1.3.6.1.4.1.311.21.6) | Windows-Drittanbieteranwendungskomponente (1.3.6.1.4.1.311.10.3.25) |
| Lizenzserverüberprüfung (1.3.6.1.4.1.311.10.6.2) | Windows Update (1.3.6.1.4.1.311.76.6.1) |
Fazit
Zusammenfassend lässt sich sagen, dass Objektkennungen (OIDs) in Public-Key-Infrastruktur (PKI) spielen eine entscheidende Rolle bei der eindeutigen Identifizierung von Objekten und Attributen innerhalb der Infrastruktur. OIDs folgen einer hierarchischen und standardisierten Notation, die durch alphanumerische Zeichenfolgen dargestellt wird. Anwendungsrichtlinien-OIDs sind wesentliche Komponenten der PKI, die Sicherheit, Interoperabilität und Compliance verbessern, indem sie die Zwecke, für die Zertifikate ausgestellt und innerhalb einer Organisation oder eines Ökosystems verwendet werden, explizit definieren.
