Funktion und Aufbau einer PKI Was ist eine Public-Key-Infrastruktur?

Bei einer Public-Key-Infrastruktur (PKI) handelt es sich um eine Sicherheitsinfrastruktur, die Services für den sicheren Austausch von Daten zwischen Kommunikationspartnern bereitstellt. Mit Hilfe der PKI lassen sich Zertifikate und die Zugehörigkeit von öffentlichen Schlüsseln prüfen.

Die Abkürzung PKI steht für Public-Key-Infrastruktur und bezeichnet ein System, mit dessen Hilfe sich digitale Zertifikate ausstellen, verteilen und prüfen lassen. Dank der PKI ist der sichere und verschlüsselte Austausch und die Signatur von Daten im Internet möglich. Die Public Key Infrastructure stellt Services bereit, mit denen die Zugehörigkeit von öffentlichen Schlüsseln und die Echtheit von Zertifikaten zuverlässig überprüfbar ist. Zudem liefert die Public-Key-Infrastruktur Verzeichnisse zum Speichern von Zertifikaten oder von Zertifikatssperrlisten.

Passwortlose Authentifizierung

PKI macht Schluss mit Passwörtern

Wie funktioniert Public Key Infrastructure?

Für die Verschlüsselung und Signatur von Daten nutzt die PKI das asymmetrische Verschlüsselungsverfahren. Dieses verwendet private und öffentlichen Schlüssel. Daten, die mit einem öffentlichen Schlüssel (Public Key) eines Kommunikationspartners verschlüsselt wurden, lassen sich nur mit dem geheimen privaten Schlüssel (Private Key) des gleichen Kommunikationspartners wieder entschlüsseln. Da die öffentlichen Schlüssel für jeden verfügbar sind, muss die Zugehörigkeit eines öffentlichen Schlüssels zweifelsfrei überprüfbar sein. Diese Aufgabe übernimmt die Public-Key-Infrastruktur. Sie stellt Zertifikate aus, mit denen die Authentizität des öffentlichen Schlüssels bestätigt wird.

Die digitalen Zertifikate selbst sind durch eine digitale Signatur der Zertifizierungsstelle (Certification Authority, CA) unterzeichnet und lassen sich mit dem öffentlichen Schlüssel des Ausstellers prüfen. Für die Überprüfung der Authentizität des Ausstellers benötigt man wiederum ein Zertifikat. Es entsteht eine Zertifikatskette, die bis zu einem Root-Zertifikat führt. Betriebssysteme und Browser besitzen in der Regel eine Liste mit vertrauenswürdigen CAs, anhand derer sich die Echtheit von Zertifikaten feststellen lässt.

Basis für sichere Identifikation

Bundesdruckerei entwickelt Prototypen für quantensichere Kryptografie

Die wichtigsten Bestandteile einer PKI

Eine Public Key Infrastructure benötigt verschiedene Bestandteile, um ihre Funktionen zu erfüllen. Dazu gehören

• Zertifizierungsstellen, die die digitalen Zertifikate ausgeben

• digitale Zertifikate mit öffentlichen Schlüsseln

• Zertifizierungsstellen, die die Richtigkeit der Daten im Zertifikatsantrag prüfen und genehmigen

• untergeordnete Registrierungsstellen

• Verzeichnisdienste für Zertifikate

• Zertifikatssperrlisten

• Verzeichnisse zur Aufbewahrung und Verwaltung der Zertifikate und ihrer Schlüssel

Aufbau und Betrieb einer Unternehmens Public Key Infrastructure

Managed PKI oder On Premise Strategie

Das hierarchische Vertrauensmodell der PKI

In der Regel ist in der Public-Key-Infrastruktur eine streng hierarchische Vertrauensstruktur vorzufinden. Diese Struktur setzt die Existenz einer Root-CA (Wurzelzertifizierungsinstanz) voraus, der alle an der PKI teilnehmenden Instanzen vertrauen. In der Praxis existieren mehrere Root-CAs mit eigenen PKIs die länder- oder unternehmensspezifisch sein können. Die Zertifikate der Root-CA sind die so genannten Stammzertifikate und bilden den Ausgangspunkt eines hierarchischen Vertrauensbaums. Die Stammzertifikate der wichtigsten Root-CAs sind meist in Software wie Browsern oder in Betriebssystemen integriert. Der Schutz der Root-CA und ihres privaten Schlüssels ist für eine Public Key Infrastructure von höchster Bedeutung.

BxC launcht CERIAL

Lifecycle-Management von PKI-Zertifikaten – gratis

Das Web of Trust Vertrauensmodell

Ein zur hierarchischen Struktur konträres Vertrauensmodell stellt das Web of Trust – auch WoT oder Netz des Vertrauens genannt – dar. In diesem Modell sichern die gegenseitigen Signaturen (Bestätigungen) der verschiedenen Teilnehmer die Echtheit von digitalen Schlüsseln und Zertifikaten. Je mehr Signaturen einem Zertifikat hinzugefügt sind, desto vertrauenswürdiger ist das Zertifikat. Im Web of Trust übernehmen daher die vielen verschiedenen Teilnehmer die Rolle einer einzigen vertrauenswürdigen Instanz des hierarchischen Modells.

PKI ist tot, lang lebe PKI!

Vier Irrtümer zur Public Key Infrastructure

Wie baut man eine PKI auf?

Eine Public Key Infrastructure aufzubauen ist komplex, doch möglich. Will man eine interne PKI aufbauen, muss man zuerst die entsprechenden Anwendungsbereiche definieren, dann das PKI-Zertifikat erstellen, CAs einrichten, die privaten Schlüssel sichern und warten.

• 1. Ziele und Anwendungsbereich definieren: Was soll mit der PKI abgesichert werden? Wer sollen die Zertifikatsinhaber sein? Welche Compliance-Anforderungen müssen beachtet werden?

• 2. Root-CA erstellen: Die Root Certificate Authority wird offline betrieben, das heißt, sie braucht keine Netzwerkverbindung. Sie wird nur verwendet, um die sogenannten Intermediate-Zertifikate zu erstellen. Diese sitzen zwischen dem Root-Zertifikat und dem Endnuzterzertifikat.

• 3. Privates Root-Schlüsselpaar erstellen: Das private Schlüsselpaar kann beispielsweise mit OpenSSL, EJBCA oder Microsoft CA erstellt werden. Daneben benötigt man das dazugehörige Root-Zertifikat.

• 4. Intermediate-CA aufsetzen: Die Intermediate-Zertifikate stellen die Endnutzerzertifikate aus. Sie werden mit dem privaten Schlüssel der Root-CA signiert.

• 5. Richtlinien definieren: Wer darf Zertifikate beantragen? Wie lange sind die Zertifikate gültig? Welche Identitätsprüfung soll erforderlich sein? Welche Verschlüsselungsalgorithmen und Schlüssellängen sollen verwendet werden?

• 6. Zertifikatsdienste einrichten: Im nächsten Schritt müssen die Registrierungsstelle, die Certificate Authority sowie eine Zertifikatssperrliste eingerichtet werden.

• 7. PKI-Software wählen: Es gibt verschiedene Software, mit der eine Public-Key-Infrastruktur aufgebaut werden kann. Bei der Auswahl einer Lösung sollten Sie darauf achten, dass sie sich an die spezifischen Anforderungen und Infrastrukturvorgaben ihres Unternehmens anpassen lässt.

• 8. Private Schlüssel absichern: Damit die PKI sicher ist, müssen auch die priavten Schlüssel vor Kompromittierung geschützt werden. Dafür sollten sie idealerweise in Hardware-Sicherheitsmodulen (HSM) gespeichert oder strikt offline gehalten sowie mit Zugriffskontrollen gesichert werden.

• 9. Zertifikate verteilen und prüfen: Steht die PKI, müssen die Zertifikate an Clients, Server und Gateways verteilt werden.

• 10. Wartung und Erneuerung: Die Ablaufdaten der Zertifikate müssen stets überwacht und gegebenenfalls erneuert werden. Außerdem sollten Sie Ihre PKI regelmäßig warten, um sicherzustellen, dass sie reibungslos funktioniert.

Orientieren Sie sich für die Schlüssellänge und moderne Algorithmen am besten an der Technische Richtlinie – Kryptographische Algorithmen und Schlüssellängen des BSI.

Public-Key-Infrastruktur (PKI)

Unternehmen sollten ihre PKI-Strategie im Blick behalten

(ID:45200687)