Wer bin ich? Authentifizierung durch Zertifikate

Wer bin ich?
Authentifizierung durch Zertifikate
Stefan Bamberg | Senior Key Account Manager
stefan.bamberg@wibu.com
Philipp Lüdtke| R&D Software
philipp.luedtke@wibu.com
Einführung in Zertifikate
Einsatzszenarien
CodeMeter Certificate Vault

Wer bin ich?
224.6.2020 © WIBU-SYSTEMS AG 2020 - Webinar: Wer bin ich? Authentifizierung durch Zertifikate

Nachweis der Identität – Beispiele
▪ In bestimmten Situationen müssen sich Personen ausweisen, d.h. sie
müssen ihre Identität rechtssicher nachweisen, z.B.:
▪ Polizeikontrollen
▪ Eröffnen eines Bankkontos
▪ Neuanmeldung eines Fahrzeugs
▪ Kauf von Alkohol (Altersnachweis)
▪ Antreten eines Fluges
▪ u.v.m.

Nachweis einer Identität – Prozess
Behörde
Stellt Ausweis aus
Prüft Ausweis
Nachweis der Identität durch Ausweis
Ergebnis der
Prüfung
Freigabe oder Ablehnung

Nachweis der Identität – Digital und automatisiert?
▪ Für sichere digitale Kommunikation und sichere Netzwerke ist
Authentifizierung unabdingbar
▪ Personen müssen sich gegenüber Maschinen/Anwendungen authentifizieren
▪ Maschinen müssen sich gegenüber Maschinen authentifizieren
Wie bekommen wir das hin
?

(X.509v3) Zertifikate
Asymmetrische Kryptographie
Digitale Zertifikate
PKI

Exkurs: Asymmetrischen Kryptographie
▪ Symmetrische Kryptographie
▪ Ein Schlüssel zum Ent- und Verschlüsseln
▪ AES (Advanced Encryption Standard) ist ein symmetrisches Verfahren
▪ Wird aufgrund der Schnelligkeit für große Datenmenge eingesetzt
▪ Asymmetrische Kryptographie = Public Key Kryptographie
▪ Schlüsselpaar: privater und öffentlicher Schlüssel
▪ Aus dem öffentlichen Schlüssel kann nicht der private Schlüssel berechnet werden
▪ RSA (benannt nach Rivest, Shamir und Adleman) ist ein asymmetrisches Verfahren

Beispiel E-Mail-Verschlüsselung
▪ Einsatz asymmetrischer Kryptographie
▪ Alice möchte Bob eine verschlüsselte E-Mail senden
▪ Herausforderung: Schlüsselverteilung
▪ Lösung: Digitales Zertifikat
Alice Bob
Bobs öffentlicher Schlüssel
Verschlüsselt mit Bobs
öffentlichem Schlüssel
Bobs privater
Schlüssel

Was ist ein digitales Zertifikat?
▪ Ein digitales Zertifikat
▪ verknüpft Identitäten mit kryptographischen Schlüsseln
▪ enthält Informationen über eine Entität (Prozessbeteiligte)
▪ enthält den öffentlichen Schlüssel der Entität
▪ hat einen standardisierten Aufbau (RFC 5280)
▪ besitzt eine Signatur über die enthaltenen Informationen
▪ lässt sich durch kryptografische Verfahren auf Echtheit überprüfen (Authentizität)
▪ lässt sich durch kryptografische Verfahren auf Unversehrtheit überprüfen (Integrität)

Aufbau eines x.509v3-Zertifikats
▪ Ein digitales Zertifikat nach X.509v3 hat u.a. folgende Inhalte:
▪ Versionsnummer und Seriennummer
▪ Name des Ausstellers
▪ Name des Inhabers
▪ Gültigkeitsdauer
▪ Informationen zum öffentlichen Schlüssel des Inhabers
▪ Informationen zum Verwendungszweck des Zertifikats („Extensions“)
▪ Digitale Signatur
▪ Verwendete kryptographische Algorithmen

Beispiel: Inhalt eines Zertifikats (Demo)

Public Key Infrastructure (PKI)?
Nachweis der Identität – Analog vs. Digital
Stellt Ausweis aus
Prüft Ausweis
Ergebnis
der
Prüfung
Stellt Zertifikat aus
Prüft Zertifikat
Staat

Public Key Infrastructure (PKI)
▪ Eine PKI
▪ ist tatsächliche eine Infrastruktur – nicht nur ein Softwareprogramm
▪ besteht aus Zertifizierungsstellen (Certificate Authorities, CA) (+ Prozessen)
▪ ist hierarchisch aufgebaut
▪ Root-CA
▪ Davon abgeleitete Subordinate-CA
▪ Jede Zertifizierungsstelle besitzt ein Schlüsselpaar und ein Zertifikat
▪ stellt Zertifikate aus und verwaltet sie

PKI Aufbau – Beispiel
Root-CA
Sub-CA
B
Sub-CA
A
Sub-CA
C
signiert Endanwender-
Zertifikate
selbst signiertes
Root-Zertifikat
signiert Sub-CA
Zertifikate

Beispiel Ausrollen der Zertifikate
▪ Ausrollen der Zertifikate
Root-CA
1. Signierter
Zertifikatsantrag (CSR)
Alice 3. Alices Zertifikat
signiert von CA
2. Prüft Identität
von Alice

Root-CA
Beispiel Zertifikatsprüfung
▪ Zertifikatsprüfung
Bob prüft:
1. Vertraue ich der Root-CA von Alice?
2. Ist das Root-CA Zertifikat gültig?
3. Ist Alices Zertifikats gültig?
Alice Bob
Bob vertraut

Einsatzszenarien

Einsatzszenarien
▪ E-Mail-Verschlüsselung/Signatur, Dokumentensignatur
▪ z.B. Microsoft Outlook, Mozilla Thunderbird, Adobe Acrobat, OpenOffice, …
▪ Absicherung der Kommunikation im Web
▪ z.B., HTTPS bzw. TLS, VPN, …
▪ Authentifizierung an Maschinen und Anwendungen
▪ z.B. Windows Smartcard Logon, SSH, …
▪ Sichere Kommunikation und Authentifizierung im industriellen Umfeld
▪ z.B. OPC UA, …

Herausforderungen
▪ Ausrollen der Zertifikaten
▪ Wie wird die Berechtigungsprüfung durchgeführt?
▪ Wie erfolgt die technische Verteilung der Zertifikate?
▪ Wo bewahre ich die Schlüssel sicher auf?
▪ Zurückziehen von Zertifikaten
▪ Wie erfolgt die Berechtigungsprüfung?
▪ Wie wird die Sperrung bekannt gegeben?
▪ Wann wird die Prüfung durchgeführt (Time of Revocation vs. Time of Check)?

CodeMeter Certificate Vault

Warum CodeMeter Certificate Vault
▪ Vereinfachung des Gesamtprozess der Zertifikatsnutzung
▪ Unterstützung der Standardschnittstellen PKCS#11, KSP und OpenSSL
▪ Enrollment und Update von Schlüsseln/Zertifikaten über CodeMeter License Central
online und offline möglich
▪ Einbindung der CodeMeter License Central in bestehende Verwaltungssysteme
über Webservice-Schnittstellen
▪ Speicherung der Schlüssel und Zertifikate in einem sicheren
Hardwareanker (Dongle)
▪ Ablage der Schlüssel und Zertifikate in einem CmDongle mit Security Smartcard
Chip (Infineon SLE97)

Einsatzszenario Industrie
▪ Nutzung für Sicherheit im industriellen Umfeld
▪ OPC UA (Standard für den plattformunabhängigen Datenaustausch)

Sicherer Anker für Schlüssel und Zertifikate
Viele
Bauformen
Eine
Technologie

Nutzung bewährter Technologie
▪ Lizenzeintrag = Firm Code | Product Code
▪ Firm Code: von Wibu-Systems vergeben
▪ Product Code:
▪ Vom Hersteller gewählt
▪ 4 Mrd. Product Codes (UInt32)
▪ Product Item Options: Jede Lizenz kann
kombinierbare Optionen besitzen
▪ Unter anderem Speicher für Schlüssel und Zertifikate
Firm Code: 6.000.010
…
Product Item Options
Product Code: 201.000

Text
License Quantity
Activation Time
Expiration Time
License Transfer
Linger Time
User Data
Protected Data/
Extended Protected Data
Customer Own License
Information
Named User License Hidden Data
Secret Data
Usage Period
Unit Counter
Feature Map
Maintenance Period
Minimum Runtime Version
Module Items

Lizenzstruktur
Firm Code1
Product Code1 Secret data
Protected data
Product Item Option
…
Product Code2
…
Secret data
Protected data
Product Item Option
…

Speicherung von Schlüsseln und Zertifikaten
▪ Mittels Product Codes kann man viele Schlüssel und Zertifikate auf einem
einzigen CmDongle speichern:
▪ Ein Kopieren ist durch die Speicherung im Smartcard-Chip nicht möglich!
▪ Protected/Extended Protected Data für die Speicherung von Zertifikaten
▪ Secret Data für Schlüsselspeicherung
▪ Kann nicht ausgelesen werden!
▪ Nur Nutzung des Schlüssels möglich
▪ Jeder Product Code repräsentiert über die obigen Product Item Options einen
Schlüssel/Zertifikat
▪ Update der CmDongles online und offline (im industriellen Umfeld) möglich

Unterstützung von Standardprotokollen
▪ CodeMeter Certificate Vault
▪ funktioniert als PKCS#11 konformer Token Provider
▪ integriert sich als Key Storage Provider (KSP) in die Microsoft Cryptographic API
Next Generation (CNG)
▪ kann zusammen mit der OpenSSL API verwendet werden, um die Schlüssel von
TLS-Zertifikaten sicher aufzubewahren und zu verwenden
▪ Integration in Anwendungen wie Browser, VPN und E-Mail ist dadurch
bereits standardmäßig vorhanden

Demo
▪ Authentifizierung mittels PKCS#11 an einer Webseite
▪ Erstellung eines Zertifikats mittel OpenSSL
▪ Verschlüsselung einer Datei mittels OpenSSL
Demo

Integration in Zertifizierungsstelle und Ausrollen von Zertifikaten

Person/DeviceAussteller
CodeMeter License Central – Ticketsystem zur Verteilung
Ticket + Fingerabdruck
4
Ausrollen
5
Ticket
2
Request
1Verwaltungs-
system
Software
License Portal
Ticket:
ABCDE-12345-KLMNO-67890-UVWXY
3

Übersicht CodeMeter Certificate Vault
▪ Unterstützung von
Standardschnittstellen
▪ Vereinfachung der
komplexen Prozesse
von Verteilung und
sicherer Speicherung
▪ Nutzung bewährter
CodeMeter-
Technologie
Legende:
Türkis: verfügbar

https://www.wibu.com
info@wibu.com
Europe: +49-721-931720
USA: +1-425-7756900
China: +86-21-55661790
Japan: +81-3-43608205
Thank You – Q&A

Wer bin ich? Authentifizierung durch Zertifikate

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Ähnlich wie Wer bin ich? Authentifizierung durch Zertifikate

Ähnlich wie Wer bin ich? Authentifizierung durch Zertifikate (20)

Mehr von team-WIBU

Mehr von team-WIBU (20)

Wer bin ich? Authentifizierung durch Zertifikate