Seminar in-toto Key Management und Signaturprozesse

Inhaltsübersicht

• Signaturmodell und Vertrauensanker
• Rollen und Verantwortlichkeiten
• Schlüsselerzeugung, Ablage und Rotation
• Einbindung in Pipelines
• Notfall- und Wiederherstellungsprozesse

Seminarbeschreibung

Signierte Metadaten sind nur so belastbar wie der Umgang mit den zugrunde liegenden Schlüsseln und Rollen. Das Seminar behandelt Schutzbedarf, Schlüsselarten, Zuständigkeiten, Rotation, Notfallwechsel und die Einbindung von Signaturprozessen in Build- und Freigabeabläufe.

Zielgruppe

Geeignet für Security Engineers, Administratoren, Plattformteams, Release Engineers und Verantwortliche für Kryptografie- oder Secret-Management.

Lernziele

• Signaturpunkte in der Lieferkette festlegen
• Schlüssel und Rollen risikoangemessen verwalten
• Rotation und Notfallwechsel vorbereiten
• Pipelines ohne unnötige Schlüsseloffenlegung gestalten
• Betriebsprozesse für signierte Metadaten dokumentieren

Schrittweise Seminarinhalte

1. Schritt 1: Vertrauensmodell definieren
   Es wird festgelegt, welche Rollen welchen Schritten vertrauen dürfen und welche Signaturen erforderlich sind.
2. Schritt 2: Schutzbedarf bewerten
   Schlüssel, Runner, Build-Umgebungen und Artefaktspeicher werden nach Risiko und Kritikalität eingeordnet.
3. Schritt 3: Signaturprozess entwerfen
   Erzeugung, Nutzung und Ablage von Signaturen werden in technische und organisatorische Abläufe übersetzt.
4. Schritt 4: Rotation vorbereiten
   Planmäßige und außerplanmäßige Schlüsselwechsel werden mit Auswirkungen auf Layouts und Verifikation betrachtet.
5. Schritt 5: Pipeline-Härtung prüfen
   Secrets, Umgebungsvariablen, Runner-Rechte und Protokollierung werden auf unnötige Risiken untersucht.

Praxisübungen

• Entwurf eines Rollen- und Schlüsselmodells
• Simulation eines Schlüsselwechsels
• Bewertung einer Pipeline hinsichtlich Secret-Offenlegung
• Dokumentation eines Notfallprozesses

Voraussetzungen

Benötigt wird ein Grundverständnis von öffentlichen und privaten Schlüsseln, Signaturen und CI/CD-Abläufen. Tiefe Kryptografie-Mathematik ist nicht Gegenstand des Seminars.