Seminar Nitrokey OpenPGP für Signatur, Verschlüsselung und Authentisierung

OpenPGP auf einem Nitrokey trennt kryptografische Schlüssel vom Hostsystem. Die Sicherheit hängt dennoch von einer geeigneten Schlüsselarchitektur, korrekten PINs, verifizierten Identitäten und einem belastbaren Widerrufs- und Backupverfahren ab.

Das Seminar entwickelt einen vollständigen Schlüsselzyklus und erprobt Signatur, Verschlüsselung sowie Authentisierung mit getrennten Testidentitäten.

Inhaltsübersicht

1. Einordnung und Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Methodik

Einordnung und Zielsetzung

OpenPGP auf einem Nitrokey trennt kryptografische Schlüssel vom Hostsystem. Die Sicherheit hängt dennoch von einer geeigneten Schlüsselarchitektur, korrekten PINs, verifizierten Identitäten und einem belastbaren Widerrufs- und Backupverfahren ab. Das Seminar entwickelt einen vollständigen Schlüsselzyklus und erprobt Signatur, Verschlüsselung sowie Authentisierung mit getrennten Testidentitäten.

Zielgruppe und Voraussetzungen

Zielgruppe: IT-Administration, PKI-nahe Rollen, DevSecOps, technische Kommunikation und Sicherheitsverantwortung.

Voraussetzungen: Grundkenntnisse asymmetrischer Kryptografie und sichere Linux- oder Desktop-Bedienung.

Lernziele

• Master- und Subkey-Architektur planen.
• Schlüssel sicher erzeugen und auf Nitrokey bereitstellen.
• Signaturen und Verschlüsselung verifizieren.
• OpenPGP-Authentisierung für SSH einordnen.
• Widerruf, Ablauf, Backup und Ersatzgerät beherrschen.

Seminarinhalte

1. Schlüsselmodell und Identitäten

Der Schlüsselzweck wird vor der Erzeugung festgelegt.

1. Schritt 1: Identität, Gültigkeitsdauer und notwendige Benutzerkennungen bestimmen.
2. Schritt 2: Signatur-, Verschlüsselungs- und Authentisierungs-Subkeys trennen.
3. Schritt 3: Masterkey-Nutzung und Offline-Aufbewahrung definieren.
4. Schritt 4: Vertrauensprüfung und Fingerprint-Austausch organisatorisch festlegen.

2. Sichere Schlüsselerzeugung

Erzeugung und Übertragung werden in einer kontrollierten Umgebung durchgeführt.

1. Schritt 1: Arbeitsumgebung, Zufallsquelle und Protokollierung vorbereiten.
2. Schritt 2: Masterkey und Subkeys nach freigegebenen Parametern erzeugen.
3. Schritt 3: Widerrufszertifikat und verschlüsseltes Offline-Backup erstellen.
4. Schritt 4: Subkeys auf den Nitrokey übertragen oder modellabhängig direkt dort erzeugen.
5. Schritt 5: PINs ändern und Schlüsselpräsenz auf dem Gerät verifizieren.

3. Signatur und Verschlüsselung

Anwendungen werden mit Gegenprüfung statt nur mit Erfolgsmeldung getestet.

1. Schritt 1: Testdatei signieren und Signatur mit separatem Schlüsselbund prüfen.
2. Schritt 2: Nachricht für einen Empfänger verschlüsseln und entschlüsseln.
3. Schritt 3: Falsche Empfänger- oder Schlüsselzuordnung als Fehlerfall untersuchen.
4. Schritt 4: E-Mail-Client oder Kommandozeile mit minimalen Vertrauensannahmen konfigurieren.

4. Authentisierung und Agent

Der Authentisierungs-Subkey kann für SSH eingesetzt werden.

1. Schritt 1: GPG-Agent und SSH-Unterstützung in einer Testumgebung aktivieren.
2. Schritt 2: Öffentlichen SSH-Schlüssel aus dem OpenPGP-Schlüssel ableiten.
3. Schritt 3: Testserverzugang einrichten und Touch- beziehungsweise PIN-Verhalten prüfen.
4. Schritt 4: Agentenkonflikte, Kartenwechsel und Sitzungsprobleme diagnostizieren.

5. Lebenszyklus und Notfall

Schlüsselverlust und Ablauf werden vor Produktivsetzung behandelt.

1. Schritt 1: Ablaufdatum verlängern oder neuen Subkey erzeugen.
2. Schritt 2: Widerruf in einem Testschlüsselbund veröffentlichen und Wirkung prüfen.
3. Schritt 3: Ersatz-Nitrokey aus gesichertem Material bereitstellen.
4. Schritt 4: Offboarding und Entfernung alter Authentisierungsschlüssel durchführen.

Praxisübungen

• Erzeugung einer Test-Schlüsselhierarchie mit Widerruf.
• Signatur- und Verschlüsselungstest mit Gegenprüfung.
• SSH-Authentisierung und Wiederherstellung auf einem Ersatzgerät.

Methodik

Die Übungen verwenden ausschließlich Testidentitäten und getrennte Schlüsselbünde. Jeder kryptografische Vorgang wird aus Sicht des Empfängers oder Prüfers verifiziert.