Seminar GnuTLS PKI, Zertifikate und Hardware-Schlüssel

Dieses Seminar behandelt den vollständigen Lebenszyklus von Zertifikaten und Schlüsseln im GnuTLS-Umfeld. Neben der technischen Erstellung und Prüfung stehen Vertrauensmodelle, Sperrinformationen, geschützte Schlüsselablagen und die betrieblichen Prozesse im Mittelpunkt. Ziel ist eine PKI-Praxis, die nicht nur funktioniert, sondern auch sicher betrieben, überprüft und erneuert werden kann.

Zielgruppe

Angesprochen sind PKI- und Security-Verantwortliche, Plattform- und DevOps-Teams, Administratoren sowie Entwickler, die Zertifikate, Trust Stores, HSM oder andere geschützte Schlüsselquellen mit GnuTLS verwenden.

Voraussetzungen

Benötigt werden sichere Kenntnisse der Linux-Kommandozeile sowie Grundlagen zu asymmetrischer Kryptografie, TLS, X.509-Zertifikaten und Vertrauensketten.

Seminarinhalte

X.509 und Vertrauensprüfung

• Zertifikatsstruktur, Namen, Schlüsselverwendung, Constraints und Erweiterungen
• Root-, Intermediate- und End-Entity-Zertifikate
• Pfadaufbau, Pfadvalidierung, Vertrauensanker und anwendungsspezifische Trust Stores
• Hostname-, Zeit-, Signatur- und Richtlinienprüfung
• Typische Ursachen für unvollständige oder mehrdeutige Zertifikatsketten

certtool in der Praxis

• Schlüsselerzeugung und geeignete Parameter
• CSR, Zertifikatsvorlagen und nachvollziehbare Profile
• CA-, Server- und Client-Zertifikate sowie Zertifikatsketten
• PEM, DER, PKCS #8 und PKCS #12
• Inspektion, Konvertierung, Fingerabdrücke und sichere Automatisierung

Sperrung und Statusprüfung

• CRL-Erstellung, Verteilung, Aktualität und Fehlerbilder
• OCSP-Anfragen, Antworten und Vertrauensprüfung
• OCSP Stapling und Auswirkungen auf Client und Server
• Fail-open- und Fail-closed-Entscheidungen im betrieblichen Kontext

PKCS #11, HSM und Smartcards

• Objekte, Slots, Token, URIs und Zugriffsmodelle
• p11tool für Bestandsaufnahme und Tests
• Private Schlüssel verwenden, ohne sie als Datei zu exportieren
• PIN- und Login-Verfahren, Provider- und Modulkonfiguration
• Einordnung von HSM, Smartcards und TPM-nahen Verfahren

Betriebliche Schlüsselprozesse

• Schutzklassen, Rollen, Vier-Augen-Prinzip und Protokollierung
• Rotation, Überlappung, Erneuerung und Notfallwechsel
• Sicherung, Wiederherstellung und kontrollierte Außerbetriebnahme
• Monitoring von Laufzeiten, Ketten und Sperrinformationen
• Fehleranalyse an der Grenze zwischen Anwendung, Bibliothek und Token

Praxis

Die Teilnehmer erstellen eine kleine CA, erzeugen Server- und Client-Zertifikate, prüfen Ketten und Sperrinformationen und binden einen softwarebasierten PKCS-#11-Token ein. Fehlerhafte Profile, abgelaufene Zertifikate und unvollständige Ketten werden gezielt analysiert und korrigiert.