Alles, was Sie über Microsoft PKI wissen müssen

Derzeit PKI wird von Unternehmen verwendet, um die Sicherheit durch VerschlüsselungDie derzeit gängigste Verschlüsselungsart verwendet zwei Schlüssel: einen öffentlichen Schlüssel, mit dem jeder Nachrichten verschlüsseln kann, und einen privaten Schlüssel, auch Geheimschlüssel genannt, der nur einer Person zugänglich sein sollte. Apps, Geräte und Menschen können diese Schlüssel verwenden. 

In den 1990er Jahren wurde die PKI-Sicherheit erstmals eingesetzt, um die Kontrolle von Verschlüsselungsschlüsseln durch die Ausgabe und Verwaltung von digitale ZertifikateDie Zertifikate entsprechen einem digitalen Führerschein oder Reisepass. Um die Sicherheit zu gewährleisten, bestätigen diese PKI-Zertifikate den Besitzer eines privaten Schlüssels und die Gültigkeit dieser Beziehung in der Zukunft.

Nachrichten werden mithilfe hochentwickelter mathematischer Berechnungen, sogenannter kryptografischer Algorithmen, ver- und entschlüsselt. Sie bilden die Grundlage für die PKI-Authentifizierung. Nach heutigen Maßstäben ist die symmetrische Verschlüsselung eine einfache kryptografische Technik, galt jedoch früher als hochmodern. Im Zweiten Weltkrieg nutzte die deutsche Armee sie sogar zur Übermittlung geheimer Nachrichten. Der Film „The Imitation Game“ beschreibt die Funktionsweise der symmetrischen Verschlüsselung und ihre Bedeutung im Konfliktverlauf anschaulich.

Warum wir PKI brauchen

Die Überprüfung einer Zertifikatskette beinhaltet die Bestätigung, dass eine bestimmte Zertifikatskette zuverlässig, authentisch und korrekt signiert ist. Der folgende Prozess überprüft eine Zertifikatskette, beginnend mit dem zur Authentifizierung eingereichten Zertifikat.

Typischerweise wird die Zertifikatskette bis zur Stammzertifizierungsstelle mit dem Zertifikat eines Clients übermittelt, dessen Gültigkeit überprüft wird. Mithilfe des öffentlichen Schlüssels des Ausstellers prüft der Prüfer das Zertifikat. Das Zertifikat des Ausstellers folgt in der Kette dem Zertifikat des Clients, in dem sich auch der öffentliche Schlüssel des Ausstellers befindet. Wenn der Prüfer der übergeordneten Zertifizierungsstelle, die das Zertifikat des Ausstellers signiert hat, vertraut, gilt der Prüfvorgang als erfolgreich.

Wie funktioniert PKI?

Schlüssel und Zertifikate sind zwei Technologien, die in PKI implementiert sind.

• Ein Schlüssel ist eine wesentliche Zahl, die zur Verschlüsselung verwendet wird.
• Mit der Schlüsselformel werden alle Komponenten einer Nachricht verschlüsselt. Wer diesen Schlüssel besitzt, kann scheinbar bedeutungslose Nachrichten entschlüsseln. So wird beispielsweise aus A ein B, wenn man eine Nachricht konstruieren möchte, bei der die Eins jeden nachfolgenden Buchstaben ersetzt. Nach C kommt D usw.
• PKI verwendet zwei Schlüssel: einen privaten Schlüssel und einen öffentlichen Schlüssel.
• Sobald Sie die Nachricht erhalten haben, entschlüsseln Sie sie mit einem privaten Schlüssel. Die Verbindungen zwischen den Schlüsseln werden über eine anspruchsvolle mathematische Gleichung hergestellt. Obwohl der private und der öffentliche Schlüssel miteinander verknüpft sind, ermöglicht diese komplexe Berechnung die Verbindung. Daher ist es sehr schwierig, den privaten Schlüssel anhand der Informationen des öffentlichen Schlüssels zu bestimmen.

Symmetrische Verschlüsselung

Der Begriff "symmetrische Verschlüsselung„“ bezeichnet eine Methode zur Ver- und Entschlüsselung von Nachrichten, die denselben Schlüssel verwendet. Eine im Klartext eingegebene Nachricht mit symmetrischer Verschlüsselung wird nach einer Reihe mathematischer Permutationen verschlüsselt. Derselbe Buchstabe im Klartext erscheint in der verschlüsselten Nachricht manchmal anders, was die Entschlüsselung erschwert. Beispielsweise würde der Ausdruck „HHH“ nicht in dieselben drei Zeichen verschlüsselt. Die Tatsache, dass zum Ver- und Entschlüsseln der Nachricht derselbe Schlüssel verwendet werden muss, birgt erhebliche Risiken, obwohl das Entschlüsseln von Nachrichten ohne den Schlüssel äußerst schwierig ist. Denn das System zum Senden sicherer Nachrichten funktioniert nicht mehr, wenn der zur Verteilung des Schlüssels verwendete Kanal kompromittiert wird.

Hier sind einige der besten Verschlüsselungsalgorithmen, die Sie zum Schutz sensibler Daten verwenden können.

• Erweiterter Verschlüsselungsstandard (AES)

  Der symmetrische Verschlüsselungsalgorithmus Advanced Encryption Standard verschlüsselt Datenblöcke von jeweils 128 Bit. Diese Datenblöcke werden mit Schlüsseln der Längen 128, 192 und 256 Bit verschlüsselt. Die Datenverschlüsselung dauert 14 Runden für einen 256-Bit-Schlüssel, 12 Runden für einen 192-Bit-Schlüssel und zehn Runden für einen 128-Bit-Schlüssel. Jeder Zyklus umfasst mehrere Schritte für Substitution, Transposition, Klartextmischung und weitere Operationen.

• Dreifacher Datenverschlüsselungsstandard (DES)

  Der Data Encryption Standard (DES) verschlüsselt Datenblöcke mit einem 56-Bit-Schlüssel und verwendet dabei ein symmetrisches Verschlüsselungsverfahren namens Triple DES. Jeder Datenblock wird bei Triple DES dreimal mit der DES-Verschlüsselungsmethode verschlüsselt. Sowohl Geldautomaten-PINs als auch UNIX-Passwörter können mit Triple DES verschlüsselt werden. Bekannte Programme wie Mozilla Firefox und Microsoft Office verwenden ebenfalls Triple DES.

Asymmetrische Verschlüsselung

Das Austauschproblem, das die symmetrische Verschlüsselung behinderte, wird durch asymmetrische Verschlüsselung, auch asymmetrische Kryptografie genannt, gelöst. Dies wird durch die Generierung zweier eindeutiger kryptografischer Schlüssel erreicht – eines privaten und eines öffentlichen Schlüssels – daher der Name „asymmetrische Verschlüsselung“. Bei der asymmetrischen Verschlüsselung wird eine Nachricht mithilfe mathematischer Permutationen verschlüsselt. Die Entschlüsselung erfolgt mit einem privaten Schlüssel, den nur der Empfänger kennen darf, und die Verschlüsselung mit einem öffentlichen Schlüssel, der an jeden weitergegeben werden kann.

Beispiel: Mit Bobs öffentlichem Schlüssel erstellt Alice einen verschlüsselten Geheimtext, den nur Bobs privater Schlüssel entschlüsseln kann, um Bob eine private Nachricht zu senden. Wenn Bob sicherstellt, dass niemand sonst Zugriff auf seinen privaten Schlüssel hat, kann Alice die Nachricht sicher übermitteln, da niemand sie lesen kann, nicht einmal ein Lauscher. Eine weitere, bei symmetrischer Verschlüsselung schwierigere Aktion ist die Verwendung digitaler Signaturen, die wie folgt funktionieren: 

Bob kann mit seinem privaten Schlüssel Alice eine Nachricht mit verschlüsselter Signatur senden. Wenn Alice die Nachricht erhält, kann sie mit Bobs öffentlichem Schlüssel zwei Dinge bestätigen. Die Nachricht wurde von Bob oder jemandem gesendet, der Bobs privaten Schlüssel verwendet. Denn wenn die Nachricht während der Übertragung verändert wird, ist die Verifizierung nicht erfolgreich.

In beiden Fällen muss Alice selbst noch einen Schlüssel erstellen. Alice kann verschlüsselt mit Bob kommunizieren und die von Bob signierten Dokumente nur über einen öffentlichen Schlüsselaustausch verifizieren. Wichtig ist, dass diese Aktivitäten nur in eine Richtung funktionieren. Alice müsste ihren privaten Schlüssel erstellen und den dazugehörigen öffentlichen Schlüssel freigeben, um die Aktivitäten rückgängig zu machen, damit Bob Alice private Nachrichten senden und ihre Signatur bestätigen kann.

Dieses Verfahren erzeugt zwei 1024 Bit lange Primzahlen und multipliziert diese miteinander. Die beiden Primzahlen, aus denen die Antwort erstellt wird, sind der private Schlüssel, während die Antwort der öffentliche Schlüssel ist.

Diese Methode funktioniert, weil es bei zwei Primzahlen dieser Größe sehr schwierig ist, die Berechnung umzukehren. Dadurch ist es relativ einfach, den öffentlichen Schlüssel aus dem privaten Schlüssel zu berechnen, aber sehr unmöglich, den privaten Schlüssel aus dem öffentlichen Schlüssel zu berechnen.

Die Public Key Infrastructure (PKI) nutzt zur Bereitstellung des zugrundeliegenden Sicherheitsdienstes ein Schlüsselpaar. Das Schlüsselpaar besteht aus dem privaten und dem öffentlichen Schlüssel.

Da die öffentlichen Schlüssel öffentlich zugänglich sind, ist ein Missbrauch wahrscheinlich. Daher muss eine zuverlässige Infrastruktur zur Verwaltung dieser Schlüssel geschaffen werden.

Zum Schutz vertraulicher Informationen werden folgende Algorithmen verwendet:

Rivest-Shamir-Adleman (RSA)

Ein asymmetrisches Verschlüsselungsverfahren namens Rivest-Shamir-Adleman basiert auf der Faktorisierung des Produkts zweier riesiger Primzahlen. Nur wer diese Zahlen kennt, kann die Nachricht effektiv entschlüsseln. Die Datenübertragung zwischen zwei Kommunikationsstandorten wird häufig durch RSA. Bei der Verschlüsselung großer Datenmengen ist die Wirksamkeit jedoch geringer. Dennoch ist diese Verschlüsselungstechnologie aufgrund ihrer einzigartigen mathematischen Eigenschaften und Komplexität besonders vertrauenswürdig bei der Übermittlung sensibler Daten.

PKI-Zertifikate

PKI bietet Sicherheit für öffentliche Schlüssel. Sie ermöglicht die Verteilung und Identifizierung öffentlicher Schlüssel. Die folgenden Komponenten bilden die Struktur einer PKI.

• Ein öffentliches Schlüsselzertifikat wird allgemein als „digitales Zertifikat“ bezeichnet.
• Private Schlüsseltoken.
• Zertifizierungsstelle.
• Registrierungsbehörde.
• Zertifikatsverwaltung -System.

Digitales Zertifikat

Menschen nutzen Ausweise wie Reisepässe oder Führerscheine, um ihre Identität nachzuweisen. Mit einer Ausnahme erfüllt ein digitales Zertifikat in der elektronischen Umgebung dieselbe grundlegende Funktion.

Digitale Zertifikate können an Computer, Softwareprogramme und andere Geräte vergeben werden, die ihre Identität in der elektronischen Welt nachweisen müssen. Der ITU-Standard X.509, der ein gemeinsames Zertifikatsformat für Public-Key-Zertifikate und die Validierung von Zertifikaten vorgibt, bildet die Grundlage für digitale Zertifikate. Daher sind X.509-Zertifikate eine andere Bezeichnung für digitale Zertifikate. Die Zertifizierungsstelle speichert den öffentlichen Schlüssel des Benutzerclients in digitalen Zertifikaten (CA).

Zertifizierungsstelle (CA)

Die Zertifizierungsstelle stellt einem Client ein Zertifikat zur Verfügung und unterstützt andere Benutzer bei der Validierung des Zertifikats. Die Zertifizierungsstelle ist dafür verantwortlich, die Identität des Clients, der ein Zertifikat anfordert, genau zu überprüfen, die Richtigkeit des Zertifikatsinhalts zu prüfen und das Zertifikat digital zu signieren.

Schlüsselfunktionen von CA

Die wichtigsten Funktionen einer CA sind wie folgt:

• Schlüsselpaare generieren

  Der Client und die CA können gemeinsam oder unabhängig voneinander ein Schlüsselpaar erstellen.

• Ausstellen digitaler Zertifikate

  Die Zertifizierungsstelle (CA) ist vergleichbar mit der PKI eines Passamts. Nach Erhalt der zur Überprüfung der Identität des Kunden erforderlichen Anmeldeinformationen stellt die CA das Zertifikat aus. Anschließend signiert die CA das Zertifikat, um Änderungen an den darin enthaltenen Informationen zu verhindern.

• Veröffentlichungszertifikate

  Die Zertifizierungsstelle muss Zertifikate veröffentlichen, damit Benutzer sie finden können. Hierfür gibt es zwei Möglichkeiten. Entweder veröffentlichen Sie Zertifikate in einer Art elektronischem Telefonbuch. Oder Sie senden Ihr Zertifikat an Personen, die es Ihrer Meinung nach auf die eine oder andere Weise benötigen.

• Zertifikate überprüfen

  Um die Überprüfung seiner Signatur auf den digitalen Zertifikaten der Clients zu erleichtern, stellt die CA ihren öffentlichen Schlüssel in der Umgebung zur Verfügung.

• Widerruf von Zertifikaten

  Wenn der Benutzer seinen privaten Schlüssel kompromittiert oder die Zertifizierungsstelle das Vertrauen in den Client verliert, kann das Zertifikat widerrufen werden. Widerruf, CA führt eine Liste aller Zertifikate, die widerrufen wurden und auf die die Umgebung zugreifen kann.

So funktioniert der Zertifikatserstellungsprozess

Bei der Zertifikatserstellung kommt häufig eine asymmetrische Verschlüsselung zum Einsatz, die wie folgt funktioniert:

• Es wird ein privater Schlüssel generiert und der zugehörige öffentliche Schlüssel berechnet.
• Die CA fordert alle persönlichen Informationen über den Besitzer des privaten Schlüssels an und überprüft diese.
• Der Besitzer des privaten Schlüssels signiert die Zertifikatsignierungsanfrage (CSR) um den Besitz des öffentlichen Schlüssels zu bestätigen. Die ausstellende Zertifizierungsstelle überprüft dann die Anforderung und signiert das Zertifikat mit dem privaten Schlüssel der Zertifizierungsstelle.

Komponenten des PKI-Ökosystems

Die Zertifizierungsstelle ist ein Unternehmen, das zuverlässige Zertifikate erstellt, die von einer Vielzahl von Softwareanwendungen erkannt werden, vor allem von den gängigsten Browsern wie Google Chrome, Safari, Firefox, Opera und Xbox 360.

• Die Registrierungsbehörde

  Normalerweise führt diese Stelle die Validierung durch. Nach Abschluss aller erforderlichen Vorbereitungen sendet sie die Anfrage zur Ausstellung des Zertifikats an die Zertifizierungsstelle (CA). Die RA kann ein Unternehmen, eine Anwendung oder ein Teil davon sein.

• Vertrauende Seite

  Ist die Person auf der Website, die das Zertifikat verwendet. Der Abonnent ist der Websitebesitzer, der das Zertifikat kauft.

Die Architektur der PKI

Zweischichtige Architektur

Für die meisten Unternehmen ist eine zweistufige Architektur ein praktikables Konzept. Die Stammzertifizierungsstelle befindet sich auf der ersten Ebene und sollte offline bleiben. Durch die Trennung der Rollen von Stammzertifizierungsstelle und ausstellender Zertifizierungsstelle wird die Sicherheit verbessert. Darunter sollte die untergeordnete ausstellende Zertifizierungsstelle funktionieren.

• Eine zweistufige Architektur verbessert zudem Flexibilität und Skalierbarkeit und erhöht die Fehlertoleranz. Durch die Offline-Funktion kann die Root-CA ihre privaten Schlüssel besser schützen und die Wahrscheinlichkeit einer Kompromittierung verringern. Da die Rollen unterschiedlich sind, können wir mehrere ausstellende CAs erstellen und diese hinter einem Load Balancer platzieren.

Dreischichtige Architektur

Eine dreistufige Architektur ähnelt einem zweistufigen System, da sie über eine Offline-Stammzertifizierungsstelle an der Spitze und eine Online-ausstellende Zertifizierungsstelle an der Basis verfügt. Die Offline-Stammzertifizierungsstelle wird jedoch nun von einer Zwischenschicht verwaltet. Die Richtlinienzertifizierungsstelle, die die Anforderungen festlegt, die erfüllt sein müssen, bevor ein Zertifikat ausgestellt wird, kann die Zwischenzertifizierungsstelle sein.

• Jeder authentifizierte Benutzer kann ein Zertifikat erhalten, allerdings kann die Annahme des Zertifikats die physische Anwesenheit des Benutzers erfordern.
• Eine dreistufige PKI erhöht zwar die Sicherheit, Skalierbarkeit und Flexibilität, ist jedoch mit zusätzlichen Kosten und einem höheren Verwaltungsaufwand verbunden.
• Wenn jedoch eine ausstellende Zertifizierungsstelle kompromittiert wird oder Ähnliches passiert, kann die zweite Ebene die Zertifikate widerrufen, während die anderen Zweige aktiv bleiben.

Was sind einige typische Herausforderungen

Wenn Hacker versuchen, MITM Angriffe zum Abfangen, Verändern oder Stehlen von Informationen sind eines der Hauptprobleme, die PKI zu lösen versucht. Die Person, die versucht, sich in den Weg zu stellen, verfügt nicht über den privaten Schlüssel. Daher kann sie die Nachricht nicht entschlüsseln. Ihre Bemühungen werden daher abgefangen. 

• Zum Entschlüsseln einer 2048-Bit-Verschlüsselung ist eine große Rechenleistung erforderlich. PKI bietet daher eine starke Abwehr gegen derartige Online-Angriffe.
• PKI befasst sich auch mit der Verwaltung von Zertifikaten. Dies wird erreicht, indem die Echtheit jedes einzelnen Zertifikats durch Validierung bestätigt wird. Auch verlorene oder gestohlene falsche Zertifikate können mithilfe von PKI entfernt werden. Darüber hinaus können Zertifikate widerrufen werden.

Komponenten des PKI-Ökosystems

Die Zertifizierungsstelle ist ein Unternehmen, das zuverlässige Zertifikate erstellt, die von einer Vielzahl von Softwareanwendungen erkannt werden, vor allem von den gängigsten Browsern wie Google Chrome, Safari, Firefox, Opera und Xbox 360.

• Die Registrierungsbehörde

  Normalerweise führt diese Stelle die Validierung durch. Nach Abschluss aller erforderlichen Vorbereitungen sendet sie die Anfrage zur Ausstellung des Zertifikats an die Zertifizierungsstelle. Die RA kann ein Unternehmen, eine Anwendung oder ein Teil davon sein.

• Vertrauende Seite

  ist die Person auf der Website, die das Zertifikat verwendet. Der Abonnent ist der Websitebesitzer, der das Zertifikat kauft.

Hierarchie der CA

Angesichts der Größe der Netzwerke und der Anforderungen der globalen Kommunikation ist es unrealistisch, nur eine vertrauenswürdige Zertifizierungsstelle zu haben, von der alle Benutzer ihre Zertifikate erhalten. Zweitens könnte die Verfügbarkeit nur einer Zertifizierungsstelle problematisch sein, wenn diese gehackt wird. Die hierarchische Zertifizierungsarchitektur ist in dieser Situation wertvoll, da sie die Verwendung von Public-Key-Zertifikaten in Umgebungen ermöglicht, in denen zwei kommunizierende Parteien keine Vertrauensbeziehung zu einer gemeinsamen Zertifizierungsstelle haben.

Die Stammzertifizierungsstelle (Root CA) ist die höchste Ebene der CA-Hierarchie und ihr Zertifikat wurde selbstsigniert. Die Stammzertifizierungsstelle signiert die CA-Zertifikate für die ihr direkt untergeordneten CAs (z. B. CA1 und CA2).

Die übergeordneten untergeordneten CAs signieren die CA-Zertifikate für die ihnen in der Hierarchie untergeordneten CAs (z. B. CA5 und CA6). Hierarchien von Zertifizierungsstellen (CAs) spiegeln sich in Zertifikatsketten wider. Eine Zertifikatskette zeigt die Abfolge der Zertifikate, die von einem Hierarchiezweig zu seiner Wurzel geführt haben.

Die Überprüfung einer Zertifikatskette stellt sicher, dass die jeweilige Zertifikatskette legitim, ordnungsgemäß signiert und zuverlässig ist. Der Prüfer prüft das Zertifikat mithilfe des öffentlichen Schlüssels des Ausstellers. Das Zertifikat des Ausstellers, das sich in der Kette neben dem Client-Zertifikat befindet, enthält den öffentlichen Schlüssel des Ausstellers. 

Fazit

Nur eine umfassende Public-Key-Infrastruktur kann eine vertrauenswürdige Umgebung für das Systemmanagement schaffen und aufrechterhalten und gleichzeitig eine praktikable, transparente und automatisierte Grundlage bieten. PKI bietet erhebliche Vorteile durch Kostensenkung, optimierte Unternehmensprozesse und verbesserten Kundenservice. Durch die Fokussierung auf bestimmte Geschäftsanwendungen kann Ihre Public-Key-Infrastruktur Ihnen helfen, den gewünschten finanziellen Erfolg zu erzielen. Virtuelle private Netzwerke, Zugriffskontrolle, E-Commerce, webbasierte Sicherheit, Desktop-Sicherheit und sichere E-Mail können über Ihr bestehendes Netzwerk bereitgestellt werden.