Die heutige Unternehmenswelt arbeitet intensiv mit neuen Informations- und Kommunikationsmitteln,
die auf das Internet angewiesen sind respektive intensiv damit arbeiten.
Das Internet birgt mannigfaltige Risiken für Unternehmen und Endverbraucher,
darunter Betrug, Informationsdiebstahl, Fälschungen und Identitätsraub. Ein aktuelles
Beispiel ist das sogenannte Phishing, das Web-Seiten von seriösen Unternehmen kopiert
und dem Anwender identisch darstellt, um an Benutzernamen und Passwörter zu geschützten
Bereichen zu gelangen. Vor dem Hintergrund dieser Gefahren besteht ein
hoher Bedarf an Sicherheitsmechanismen, die es erlauben im Internet mit sensitiven
Informationen zu arbeiten. Angefangen von der Authentifizierung an Webportalen, über
das Signieren von Programmcode bis hin zur Übermittlung einer wichtigen Information
via E-Mail an einen vertrauenswürden Geschäftspartner (Rechtsanwälte) benötigen solche
Dateien ein sicheres Fundament. Das etablierte Verfahren, um solche Kommunikationswege
zu schützen, ist das Public-Key-Verfahren und die damit einhergehende Implementierung
von Public Key Infrastrukturen (PK-Infrastrukturen). Die Einführung
solcher PK-Infrastrukturen stellt für Unternehmen und deren IT Abteilungen eine große
Herausforderung dar. Viele IT-Verantwortliche bewerten die Einführung von PKInfrastrukturen
falsch und sehen PK-Infrastrukturen eher als notwendiges Übel an und
nicht als ganzheitliches Sicherheitskonzept, das sich dahinter verbirgt. PKInfrastrukturen
bedienen sich digitaler Zertifikate um Benutzer zu identifizieren, Kommunikation
oder Dateien zu verschlüsseln oder digital zu signieren.
92% aller europäischen Unternehmen sehen den Aufbau einer PK-Infrastruktur als strategische
Notwendigkeit. Dies belegt eine aktuelle Studie der European Electronic Messaging
Association (EEMA). 64% aller Betriebe setzen demnach bereits heute ein
asymmetrisches Verschlüsselungsverfahren zur Absicherung ihrer elektronischen Nachrichten
ein.
Innerhalb dieser Seminararbeit werden die Basistechnologien, Einsatzformen, Risiken
und Best Practices von PK-Infrastrukturen beschrieben.
Inhaltsverzeichnis
1 Einleitung
2 Anforderungen an IT-Sicherheit
3 Grundlagen
3.1 Kryptographie
3.2 Symmetrische Verschlüsselung
3.3 Asymmetrische Verschlüsselung
3.4 Digitale Zertifikate
3.5 Digitale Signatur
4 Public Key Infrastruktur
4.1 Registrierungsstelle
4.2 Zertifizierungsstelle
4.3 Zertifikatsperrliste
4.4 Validierungsdienst
4.5 Zertifikatsrichtlinie
4.6 Verzeichnisdienst
4.7 Anwendungsbeispiel „Zertifikatsantrag“
5 Zertifizierungshierarchien
5.1 Flache PK-Infrastrukturhierarchie
5.2 Streng hierarchische PK-Infrastrukturhierarchie
5.3 Cross-Zertifizierung PK-Infrastrukturhierarchie
5.4 Bridge CA PK-Infrastrukturhierarchie
6 Interne und öffentliche PK-Infrastrukturen
6.1 Interne PK-Infrastruktur
6.2 Öffentliche PK-Infrastruktur
7 Risiken und Probleme beim Einsatz von PK-Infrastrukturen
7.1 Sicherer Betrieb von PK-Infrastrukturen
7.2 Fallbeispiel DigiNotar
8 Schlussbetrachtung und Ausblick
Zielsetzung & Themen
Das Hauptziel dieser Arbeit besteht darin, die Funktionsweise, Einsatzmöglichkeiten und Sicherheitsimplikationen von Public-Key-Infrastrukturen (PKI) zu beleuchten. Die zentrale Forschungsfrage adressiert dabei, wie Unternehmen PKI als ganzheitliches Sicherheitskonzept implementieren können, um den Herausforderungen der heutigen Informationswelt – wie Identitätsdiebstahl und Betrug – effektiv zu begegnen.
- Grundlagen kryptographischer Verfahren
- Komponenten und Hierarchiestufen von PK-Infrastrukturen
- Unterscheidung zwischen internen und öffentlichen PK-Infrastrukturen
- Sicherheitsrisiken am Beispiel des DigiNotar-Vorfalls
- Best Practices für einen sicheren Betrieb
Auszug aus dem Buch
3.3 Asymmetrische Verschlüsselung
Die asymmetrische Verschlüsselung setzt zwei Schlüssel voraus, die zum Ver- und Entschlüsseln eingesetzt werden. Man spricht von einem öffentlichen - (Public-) und einem privaten Schlüssel (Private Key). Die Besonderheit bei dieser Art der Verschlüsselung ist, dass die Schlüssel voneinander unabhängig sind d.h., dass keine Rückschlüsse von einem Schlüssel auf den Anderen gezogen werden können.7 Voraussetzung für die verschlüsselte Kommunikation ist die vorherige Zustellung des Öffentlichen Schlüssels an den Kommunikationspartner. Sobald ein Kommunikationspartner den öffentlichen Schlüssel des Empfängers besitzt, kann dieser die Nachricht mit Hilfe des öffentlichen Schlüssels verschlüsseln und an den Empfänger übertragen. Der Empfänger kann nach Erhalt der verschlüsselten Nachricht mit Hilfe seines privaten Schlüssels die Nachricht entschlüsseln.
Der private Schlüssel des Empfängers muss zwingend vor Unbefugten geschützt werden. Der Speicherort des privaten Schlüssels muss gemäß aktuellen Sicherheitsstandards auf externe Medien (USB Stick / Diskette) oder auch in geschützte Verzeichnisdienste verlagert werden. Das asymmetrische Verschlüsselungsverfahren alleinstehend hat Schwachpunkte. Zum einen kann ohne vertrauenswürdigen Verzeichnisdienst der öffentliche Schlüssel schwer einem Kommunikationspartner zugeordnet werden. Des Weiteren kann die Gültigkeit ohne eine vertrauenswürdige Instanz nicht validiert werden, sodass der Kommunikationspartner evtl. mit einem bereits zurückgezogenen öffentlichen Schlüssel verschlüsselt. Diese Lücken des Verfahrens lassen sich mithilfe einer PK-Infrastruktur schließen.
Zusammenfassung der Kapitel
1 Einleitung: Beschreibt die Risiken der modernen Informationsgesellschaft und die Notwendigkeit von PK-Infrastrukturen zur Absicherung der Kommunikation.
2 Anforderungen an IT-Sicherheit: Erläutert die grundlegenden Sicherheitssäulen (Vertraulichkeit, Integrität, Authentizität, Verfügbarkeit) in einer IT-Infrastruktur.
3 Grundlagen: Führt in klassische kryptographische Verfahren, wie symmetrische und asymmetrische Verschlüsselung sowie digitale Zertifikate und Signaturen, ein.
4 Public Key Infrastruktur: Definiert die Komponenten einer PKI, wie Registrierungsstelle, Zertifizierungsstelle und Zertifikatssperrlisten.
5 Zertifizierungshierarchien: Analysiert verschiedene Architekturformen, von flachen Hierarchien bis hin zu Bridge-CA-Ansätzen für globale Interoperabilität.
6 Interne und öffentliche PK-Infrastrukturen: Unterscheidet zwischen internen PKIs zur Mitarbeitersicherung und öffentlichen PKIs für weltweites Vertrauen.
7 Risiken und Probleme beim Einsatz von PK-Infrastrukturen: Analysiert Sicherheitsanforderungen und demonstriert anhand des DigiNotar-Falls die Gefahren bei kompromittierten Stammzertifizierungsstellen.
8 Schlussbetrachtung und Ausblick: Fazit zur Notwendigkeit ganzheitlicher Sicherheitskonzepte und Ausblick auf künftige Standardisierungsbedarfe.
Schlüsselwörter
Public Key Infrastruktur, PKI, IT-Sicherheit, Kryptographie, Digitale Signatur, Zertifizierungsstelle, Stammzertifizierungsstelle, Asymmetrische Verschlüsselung, Vertraulichkeit, Integrität, Authentizität, Zertifikatssperrliste, DigiNotar, Informationssicherheit, Internet-Sicherheit
Häufig gestellte Fragen
Worum geht es in dieser Arbeit grundsätzlich?
Die Arbeit befasst sich mit dem Aufbau, den Basistechnologien und der strategischen Bedeutung von Public-Key-Infrastrukturen zur Absicherung digitaler Kommunikation.
Was sind die zentralen Themenfelder der Publikation?
Die zentralen Themen sind kryptographische Grundlagen, Architekturmodelle von PKIs, die Abgrenzung interner und öffentlicher Infrastrukturen sowie das Risikomanagement bei Sicherheitsvorfällen.
Welches ist das primäre Ziel der Arbeit?
Das Ziel ist es, PK-Infrastrukturen nicht als notwendiges Übel, sondern als ganzheitliches Sicherheitskonzept darzustellen und Unternehmen bei der Implementierung zu unterstützen.
Welche wissenschaftliche Methode wird verwendet?
Die Arbeit basiert auf einer theoretischen Aufarbeitung der aktuellen Fachliteratur, ergänzt durch die Analyse realer Praxisbeispiele und technischer Standardisierungsvorgaben.
Was wird im Hauptteil der Arbeit behandelt?
Im Hauptteil werden die technischen Komponenten, verschiedene Hierarchiestufen wie Bridge-CA oder streng hierarchische Strukturen sowie operative Aspekte der Zertifikatsverwaltung detailliert beschrieben.
Welche Schlüsselwörter charakterisieren die Arbeit?
Wesentliche Begriffe sind Public Key Infrastruktur, Kryptographie, Digitale Signatur, Zertifizierungsstelle und IT-Sicherheit.
Welche Rolle spielt das Fallbeispiel DigiNotar in der Arbeit?
Der Fall DigiNotar dient als kritisches Beispiel, um die verheerenden Auswirkungen einer kompromittierten Stammzertifizierungsstelle auf das globale Vertrauen in Internet-Sicherheitsmechanismen zu veranschaulichen.
Warum ist die Wahl der Zertifizierungshierarchie entscheidend?
Die Wahl der Hierarchie beeinflusst die Skalierbarkeit, das Sicherheitsniveau und die Interoperabilität der PKI, wobei jede Form (von flach bis Bridge-CA) unterschiedliche Anforderungen an Know-how und Kosten stellt.
- Quote paper
- Marc Sundermann (Author), 2011, PK-Infrastrukturen im Unternehmensumfeld, Munich, GRIN Verlag, https://www.hausarbeiten.de/document/212881
