Seminar NCP VS GovNet – Authentisierung, PKI und SmartCards

Starke Authentisierung ist nur dann belastbar, wenn Kryptografie, Ausgabeprozesse, Kartenbetrieb, Verzeichnisdienste und Sperrverfahren zusammenpassen. Die Schulung verbindet diese Bereiche zu einem prüfbaren Ende-zu-Ende-Prozess.

Seminarprofil

Die Übungen verwenden eine Test-PKI und exemplarische SmartCards. Produktionsschlüssel und reale personenbezogene Daten werden nicht benötigt.

Inhaltsübersicht

1. Kapitel 1: Authentisierungsmodell und Vertrauensgrenzen
2. Kapitel 2: Zertifikatsprofile und elliptische Kurven
3. Kapitel 3: SmartCards, Leser und PIN-Prozesse
4. Kapitel 4: Backend-Anbindung und Benutzerzuordnung
5. Kapitel 5: Sperrprüfung und Zertifikatslebenszyklus
6. Kapitel 6: Pre-Logon und domänenbasierte Anmeldung
7. Kapitel 7: Diagnose von Zertifikats- und Kartenfehlern

Zielsetzung

Ziel ist die Planung, Konfiguration und Diagnose zertifikatsbasierter Benutzer-, Geräte- und Gateway-Authentisierung einschließlich Karten- und Sperrprozessen.

Zielgruppe

PKI-Administratoren, VPN-Administratoren, Identity- und Access-Management-Fachkräfte, Windows-Administratoren und IT-Sicherheitsverantwortliche.

Voraussetzungen

Grundkenntnisse in X.509, Zertifizierungsstellen, Active Directory oder LDAP sowie TCP/IP und IPsec. Erfahrung mit SmartCard-Middleware ist hilfreich.

Kapitel 1: Authentisierungsmodell und Vertrauensgrenzen

Inhaltsverzeichnis des Kapitels

• Benutzer-, Geräte- und Gatewayidentitäten
• Authentisierung und Autorisierung
• Zugelassene und optionale Verfahren
• Vertrauensanker

Schritt-für-Schritt-Anleitung

1. Schritt 1: Alle beteiligten Identitäten werden nach Zweck und Lebensdauer inventarisiert.
2. Schritt 2: Authentisierung wird von nachgelagerter Rechtevergabe getrennt betrachtet.
3. Schritt 3: Verfahren werden nach vorgesehenem Schutzprofil und Betriebsfall ausgewählt.
4. Schritt 4: Vertrauensanker und zulässige Zertifizierungsketten werden dokumentiert.

Kapitel 2: Zertifikatsprofile und elliptische Kurven

Inhaltsverzeichnis des Kapitels

• X.509-Felder und Erweiterungen
• Schlüsselverwendung
• ECC-Parameter
• Zertifikate für Benutzer, Geräte und Server

Schritt-für-Schritt-Anleitung

1. Schritt 1: Für jede Identitätsklasse wird ein eigenes Zertifikatsprofil definiert.
2. Schritt 2: Schlüsselverwendung, erweiterte Schlüsselverwendung und Namensfelder werden festgelegt.
3. Schritt 3: Zulässige Algorithmen und Kurven werden mit den Systemvorgaben abgeglichen.
4. Schritt 4: Musterzertifikate werden ausgestellt und ihre Kettenprüfung wird nachvollzogen.

Kapitel 3: SmartCards, Leser und PIN-Prozesse

Inhaltsverzeichnis des Kapitels

• Karteninitialisierung
• Leser und Middleware
• PIN- und Fehlversuchsregeln
• Kartenwechsel und Ersatz

Schritt-für-Schritt-Anleitung

1. Schritt 1: Karte, Leser, Treiber und Middleware werden als kompatible Einheit geprüft.
2. Schritt 2: Zertifikate und private Schlüssel werden nach dem vorgesehenen Ausgabeprozess personalisiert.
3. Schritt 3: PIN-Änderung, Fehlversuche, Sperrung und Entsperrung werden kontrolliert getestet.
4. Schritt 4: Ersatzkarten und Kartenverlust werden mit Sperrung und Neuzuordnung vollständig durchgespielt.

Kapitel 4: Backend-Anbindung und Benutzerzuordnung

Inhaltsverzeichnis des Kapitels

• Lokale Benutzerverwaltung
• RADIUS
• LDAP und Active Directory
• Gruppen- und Identitätsmapping

Schritt-für-Schritt-Anleitung

1. Schritt 1: Das führende Identitätssystem wird für den jeweiligen Anwendungsfall festgelegt.
2. Schritt 2: Namensattribute, Gruppen und Zertifikatsmerkmale werden einem eindeutigen Benutzerobjekt zugeordnet.
3. Schritt 3: Authentisierungsanfragen werden vom Gateway bis zum Backend protokolliert verfolgt.
4. Schritt 4: Fehlende, doppelte oder widersprüchliche Zuordnungen werden mit Negativtests erkannt.

Kapitel 5: Sperrprüfung und Zertifikatslebenszyklus

Inhaltsverzeichnis des Kapitels

• CRL und Delta-Listen
• OCSP und Online-Prüfung
• Erneuerung und Ablauf
• Widerruf und Schlüsselkompromittierung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Sperrlisten- und OCSP-Endpunkte werden aus den Zertifikaten ermittelt und erreichbar gemacht.
2. Schritt 2: Aktualisierungsintervalle und Verhalten bei nicht erreichbarer Sperrprüfung werden festgelegt.
3. Schritt 3: Zertifikatserneuerung wird vor Ablauf mit Parallelbetrieb und Rückfallmöglichkeit getestet.
4. Schritt 4: Ein Kompromittierungsfall wird von der Sperrung bis zur erneuten Betriebsfreigabe geübt.

Kapitel 6: Pre-Logon und domänenbasierte Anmeldung

Inhaltsverzeichnis des Kapitels

• PLAP-Ablauf
• Benutzerzertifikat und PIN
• Active-Directory-Erreichbarkeit
• Passwort- und Richtlinienwechsel

Schritt-für-Schritt-Anleitung

1. Schritt 1: DNS, Routing und benötigte Domänendienste werden bereits vor der Windows-Anmeldung erreichbar geplant.
2. Schritt 2: Der Connector wird für die Authentisierung mit Benutzerzertifikat und PIN vorbereitet.
3. Schritt 3: VPN-Aufbau und anschließende Domänenanmeldung werden getrennt protokolliert geprüft.
4. Schritt 4: Sonderfälle wie abgelaufenes Kennwort, neues Benutzerprofil und fehlende Netzverbindung werden getestet.

Kapitel 7: Diagnose von Zertifikats- und Kartenfehlern

Inhaltsverzeichnis des Kapitels

• Kettenfehler
• Zeit- und Gültigkeitsprobleme
• Karten- und Leserfehler
• Backend- und Mappingfehler

Schritt-für-Schritt-Anleitung

1. Schritt 1: Fehler werden zuerst anhand Zeitpunkt, Zertifikat, Benutzer und betroffener Komponente eingegrenzt.
2. Schritt 2: Kette, Gültigkeit, Schlüsselverwendung und Sperrstatus werden in fester Reihenfolge geprüft.
3. Schritt 3: Karte, Leser und Middleware werden mit einem kontrollierten Gegenvergleich isoliert.
4. Schritt 4: Nach der Korrektur werden Authentisierung, Rechtezuordnung, Protokollierung und Sperrprüfung erneut validiert.