Seminar ocserv / OpenConnect – PKI, Zertifikate, Smartcards, TPM und HSM

Zertifikate benötigen klare Rollen, sichere Schlüssel, Laufzeitüberwachung, Widerruf, Ersatzverfahren und Clientintegration. Der vollständige Lebenszyklus von Server- und Clientzertifikaten wird praktisch behandelt.

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Qualitäts- und Abnahmekriterien
• Einordnung in das Gesamtprogramm

Seminarprofil

Zertifikate für ocserv sicher betreiben: CA, Server- und Clientzertifikate, PKCS#12, PKCS#11, Smartcards, TPM/HSM, CRL und Rotation. Die festgelegte Dauer ist fachlich begründet: Drei Tage sind notwendig, um Server- und Client-PKI, Smartcards, PKCS#11, TPM/HSM, Widerruf, Rotation und kombinierte Authentifizierung praktisch zu behandeln.

Lernziele

• PKI-Rollen auswählen.
• Server- und Clientzertifikate betreiben.
• Smartcards und PKCS#11 integrieren.
• TPM/HSM für Schlüssel nutzen.
• Widerruf und Rotation umsetzen.

Zielgruppe

PKI- und Security Engineering, Linux- und VPN-Administration, IAM, Clientmanagement und technische Compliance-Verantwortliche.

Voraussetzungen

TLS-, Zertifikats- und Linux-Grundkenntnisse sowie Basiswissen zur ocserv-Authentifizierung.

Seminarinhalte

Schritt 1: PKI-Rollen und Vertrauen

Root-CA, Zwischen-CA, Server- und Clientaussteller, Registrierung, Labor-/Produktivtrennung und Vertrauensverteilung werden festgelegt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für PKI-Rollen und Vertrauen
• Konfiguration und kontrollierte Umsetzung von PKI-Rollen und Vertrauen
• Funktions-, Sicherheits- und Fehlerprüfung für PKI-Rollen und Vertrauen
• Betriebscheckliste, Abnahme und Rückfallweg für PKI-Rollen und Vertrauen

Schritt 2: Serverzertifikat

Antrag, Dienstname, Subject Alternative Names, Schlüsselalgorithmus, vollständige Kette, Laufzeit, Dateirechte, Backup und Rotation werden umgesetzt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Serverzertifikat
• Konfiguration und kontrollierte Umsetzung von Serverzertifikat
• Funktions-, Sicherheits- und Fehlerprüfung für Serverzertifikat
• Betriebscheckliste, Abnahme und Rückfallweg für Serverzertifikat

Schritt 3: Clientzertifikate

Benutzer-, Geräte- oder Rollenidentität, eindeutige Subjekte, Gruppen-OIDs, Laufzeiten und Zusammenspiel mit zentralen Gruppen werden geplant. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Clientzertifikate
• Konfiguration und kontrollierte Umsetzung von Clientzertifikate
• Funktions-, Sicherheits- und Fehlerprüfung für Clientzertifikate
• Betriebscheckliste, Abnahme und Rückfallweg für Clientzertifikate

Schritt 4: PKCS#12 und Dateiformate

PEM, DER und PKCS#12, Passwortschutz, Import, Exportierbarkeit, sichere Übergabe und Löschung von Zwischenartefakten werden geprüft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für PKCS#12 und Dateiformate
• Konfiguration und kontrollierte Umsetzung von PKCS#12 und Dateiformate
• Funktions-, Sicherheits- und Fehlerprüfung für PKCS#12 und Dateiformate
• Betriebscheckliste, Abnahme und Rückfallweg für PKCS#12 und Dateiformate

Schritt 5: Smartcards und PKCS#11

Token, Slot, Objekt, URI, Zertifikatauswahl, PIN, Fehlversuche, Sperrung, Verlust und Ersatzkarte werden in OpenConnect integriert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Smartcards und PKCS#11
• Konfiguration und kontrollierte Umsetzung von Smartcards und PKCS#11
• Funktions-, Sicherheits- und Fehlerprüfung für Smartcards und PKCS#11
• Betriebscheckliste, Abnahme und Rückfallweg für Smartcards und PKCS#11

Schritt 6: TPM oder HSM

Hardwaregeschützter Serverschlüssel, Provider- oder PKCS#11-Zugriff, Dienststart, Berechtigung, Hochverfügbarkeit und Ersatzgerät werden eingeordnet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für TPM oder HSM
• Konfiguration und kontrollierte Umsetzung von TPM oder HSM
• Funktions-, Sicherheits- und Fehlerprüfung für TPM oder HSM
• Betriebscheckliste, Abnahme und Rückfallweg für TPM oder HSM

Schritt 7: CRL und OCSP

Widerrufsgrund, Veröffentlichungsfrist, Aktualisierung, Caching, Erreichbarkeit, Fail-open-/Fail-closed-Entscheidung und Negativtest werden behandelt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für CRL und OCSP
• Konfiguration und kontrollierte Umsetzung von CRL und OCSP
• Funktions-, Sicherheits- und Fehlerprüfung für CRL und OCSP
• Betriebscheckliste, Abnahme und Rückfallweg für CRL und OCSP

Schritt 8: Zertifikat plus weiterer Faktor

Clientzertifikat, Passwort, PAM, RADIUS oder OIDC werden so kombiniert, dass kein unbeabsichtigter schwacher Alternativweg entsteht. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Zertifikat plus weiterer Faktor
• Konfiguration und kontrollierte Umsetzung von Zertifikat plus weiterer Faktor
• Funktions-, Sicherheits- und Fehlerprüfung für Zertifikat plus weiterer Faktor
• Betriebscheckliste, Abnahme und Rückfallweg für Zertifikat plus weiterer Faktor

Schritt 9: Ablauf und Rotation

Alarmfristen, parallele Vertrauenskette, Vorabverteilung, Plattformtests, Aktivierung, Rollback und Schlüsselvernichtung bilden den Lebenszyklus. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Ablauf und Rotation
• Konfiguration und kontrollierte Umsetzung von Ablauf und Rotation
• Funktions-, Sicherheits- und Fehlerprüfung für Ablauf und Rotation
• Betriebscheckliste, Abnahme und Rückfallweg für Ablauf und Rotation

Praxisübungen

1. PKI-Rollen und Vertrauen anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
2. Serverzertifikat anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
3. Clientzertifikate anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
4. PKCS#12 und Dateiformate anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
5. Smartcards und PKCS#11 anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
6. TPM oder HSM anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.

Qualitäts- und Abnahmekriterien

• Jede Konfigurationsänderung besitzt einen dokumentierten Ausgangszustand und einen Rückfallpunkt.
• Erlaubte Funktionen werden positiv, verbotene oder fehlerhafte Zustände ausdrücklich negativ getestet.
• Client-, Server-, Netzwerk- und Identitätssicht werden zeitlich korreliert.
• Geheimnisse, Schlüssel und personenbezogene Sitzungsdaten bleiben geschützt.
• Die Laborergebnisse werden in eine wiederholbare Betriebs- oder Projektcheckliste überführt.

Einordnung in das Gesamtprogramm

Der Kurs folgt auf Grundinstallation und Authentifizierung. Hardening, Richtlinien und Enterprise-Rollout nutzen die Vertrauensmodelle.