Seminar Curity Identity Server – Kryptografie, Schlüssel, Zertifikate und HSM

Das zweitägige Seminar behandelt das kryptografische Fundament der Plattform. TLS, Client- und Serverzertifikate, Signing-, Verification-, Encryption- und Decryption-Keys, JWKS, Algorithmen, Key IDs, Trust Stores, Keystores, HSM-Integration, Rotation, Alarmierung und Notfallverfahren werden zu einem vollständigen Schlüsselmanagementprozess verbunden.

Inhaltsübersicht

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Kryptografische Schlüssel nach Zweck, Vertrauensrichtung und Lebenszyklus trennen.
• TLS-, Signatur- und Verschlüsselungskonfigurationen sicher aufbauen.
• JWKS-Veröffentlichung, Key IDs und Clientvertrauen kontrollieren.
• HSM- und Keystore-Optionen anhand von Risiko und Betriebsanforderungen auswählen.
• Rotation, Ablaufüberwachung, Backup, Recovery und Kompromittierungsfälle standardisieren.

Schrittweise Seminarinhalte

1. Kryptografisches Rollen- und Zweckmodell

Schwerpunkt: Transportverschlüsselung, Signatur, Verifikation, Verschlüsselung, Entschlüsselung, Clientauthentisierung, Tokenbindung und Schlüsseltrennung.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Kryptografisches Rollen- und Zweckmodell“ anhand von Transportverschlüsselung, Signatur, Verifikation, Verschlüsselung, Entschlüsselung, Clientauthentisierung, Tokenbindung und Schlüsseltrennung erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine Key-Purpose- und Trust-Matrix dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

2. TLS, Server Keys und Trust Stores

Schwerpunkt: Serverzertifikate, Zertifikatsketten, Hostnamen, Protokolle, Cipher, Client Trust, Reverse Proxy und Ablaufkontrolle.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „TLS, Server Keys und Trust Stores“ anhand von Serverzertifikate, Zertifikatsketten, Hostnamen, Protokolle, Cipher, Client Trust, Reverse Proxy und Ablaufkontrolle erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine gehärtete TLS- und Vertrauenskonfiguration dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

3. Signing, Encryption und JWKS

Schwerpunkt: JWS, JWE, Algorithmen, Key IDs, Signing Keys, Verification Keys, Encryption Keys, Decryption Keys und JWKS-Metadaten.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Signing, Encryption und JWKS“ anhand von JWS, JWE, Algorithmen, Key IDs, Signing Keys, Verification Keys, Encryption Keys, Decryption Keys und JWKS-Metadaten erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein konsistentes Token- und Metadaten-Schlüsselmodell dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

4. Clientzertifikate und mTLS

Schwerpunkt: Client Keystores, Client Trust Stores, Zertifikatsmapping, Proxy-Szenarien, certificate-bound Tokens und Erneuerung.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Clientzertifikate und mTLS“ anhand von Client Keystores, Client Trust Stores, Zertifikatsmapping, Proxy-Szenarien, certificate-bound Tokens und Erneuerung erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis eine überprüfte mTLS-Vertrauenskette dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

5. HSM und geschützte Schlüsseloperationen

Schwerpunkt: PKCS#11, Slots, Mechanismen, Berechtigungen, Verfügbarkeit, Backup, Redundanz, Latenz und kontrollierter Fallback.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „HSM und geschützte Schlüsseloperationen“ anhand von PKCS#11, Slots, Mechanismen, Berechtigungen, Verfügbarkeit, Backup, Redundanz, Latenz und kontrollierter Fallback erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis ein risikobasiertes HSM-Integrationsdesign dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

6. Rotation, Alarmierung und Notfall

Schwerpunkt: Parallelbetrieb, Überlappung, JWKS-Cache, Zertifikatsalarme, Ablauf, Widerruf, Kompromittierung, Recovery und Nachweisführung.

1. Anforderungen, Schutzbedarf und Abhängigkeiten für den Themenblock „Rotation, Alarmierung und Notfall“ anhand von Parallelbetrieb, Überlappung, JWKS-Cache, Zertifikatsalarme, Ablauf, Widerruf, Kompromittierung, Recovery und Nachweisführung erfassen.
2. Die dafür benötigten Profile, Facilities, Clients, Datenobjekte, Skripte oder Betriebsparameter in einer nachvollziehbaren Referenzkonfiguration anlegen.
3. Den vorgesehenen Ablauf mit realistischen Requests, Benutzerinteraktionen, Datenänderungen oder Betriebszuständen vollständig ausführen.
4. Berechtigungen, Protokollierung, Fehlerverhalten und Missbrauchsschutz mit definierten Positiv-, Negativ- und Randfällen prüfen.
5. Als Arbeitsergebnis einen getesteten Rotations- und Notfallprozess dokumentieren, fachlich abnehmen und für wiederholbare Änderungen versionieren.

Praxisübungen und Laborszenarien

• Aufbau einer Key-Purpose-Matrix und Zuordnung zu Token-, TLS- und Clientfunktionen.
• Konfiguration einer Signing-Key-Rotation mit JWKS-Prüfung und Cachebetrachtung.
• Entwurf eines HSM- und Recovery-Szenarios einschließlich Ausfall und Schlüsselkompromittierung.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Engineering, PKI- und HSM-Administration, Curity-Administration, Plattformbetrieb und OAuth-Architektur.

Voraussetzungen: Grundkenntnisse in PKI, TLS, X.509, JWT, JWS und JWE; praktische Curity-Grundlagen sind hilfreich.

Didaktik und Arbeitsweise

Fachliche Einordnung und Demonstration wechseln mit strukturierten Hands-on-Labs. Jede Übung beginnt mit einem definierten Ausgangszustand, enthält Positiv- und Negativtests und endet mit einer dokumentierten Abnahme sowie einem wiederholbaren Arbeitsablauf.