Sprint 5Lernangebot 13Stufe I bis III⏱ 7 h
Hier planst du die eigene PKI von HLG für drei Standorte: wer Zertifikate ausstellt, wie lange sie gelten, wie viele es sind und was passiert, wenn ein Handscanner verschwindet.
Sprint 5Brückenstufe 4
Eure Story: Ihr setzt PKI, sicheren Fernzugriff, Verschlüsselung und Angriffserkennung um, damit die Befunde aus Teil 2 und 4 nicht nur auf Papier stehen.
Input · PKI und Zertifikate. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 1 und 4.
Du liest Zertifikate, planst mit deinem Team Hierarchie, Laufzeiten und Sperrprozess und rechnest die Zahl der Zertifikate und Erneuerungen.
0 von 9 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Eine PKI ist zu einem Viertel Kryptografie und zu drei Vierteln Organisation: Wer beantragt, wer prüft, wer sperrt, und wer merkt, dass etwas abläuft?
Am Ende hast du: einen PKI-Plan für drei Standorte mit Hierarchie, Laufzeiten, Namensschema, Mengengerüst der Zertifikate und einem Sperrprozess mit Verantwortlichen.
Erst du, dann die anderen
Die IT-Leitung will „eine PKI“. Wo würdest du anfangen: bei der Technik, bei den Geräten oder bei den Menschen, die Zertifikate brauchen und sperren?
So gehen andere vor. Such dir einen Weg aus.
- Von oben: erst Hierarchie und Laufzeiten festlegen, dann die Geräte einsortieren. Vorteil: klare Struktur. Preis: Sonderfälle wie die Röntgenplätze fallen spät auf.
- Von unten: erst alle Geräte mit ihren Anforderungen zählen, dann die Hierarchie bauen. Vorteil: passt zum Bestand. Preis: man verliert sich im Mengengerüst.
- Vom Ernstfall aus: erst den Sperrprozess für einen gestohlenen Scanner durchspielen, dann rückwärts planen. Vorteil: der Prozess trägt. Preis: die Struktur kommt zuletzt.
Viele Teams beginnen mit dem Mengengerüst und prüfen den Plan am Ende mit dem Ernstfall.
Gegebene Werte zur PKI · aufklappen, wenn du sie brauchst
Gegebene Werte zur PKI
- Geräte und Laufzeiten
-
Zertifikat Anzahl Laufzeit Aussteller PC 60 1 Jahr ausstellende CA Hub Handscanner 85 1 Jahr ausstellende CA Hub Röntgenarbeitsplatz 4 2 Jahre ausstellende CA Hub Zufahrtsterminal 4 2 Jahre ausstellende CA Hub Server (VM) 14 1 Jahr ausstellende CA Hub Webseite Sendungsverfolgung 1 200 Tage öffentliche CA ausstellende CA je Standort 3 5 Jahre Stamm-CA Stamm-CA 1 10 Jahre sich selbst - Arbeitstage im Jahr
- 250 (Unterrichtswert)
- Höchstlaufzeit öffentlicher TLS-Zertifikate
- 200 Tage ab 15.03.2026, 100 Tage ab 15.03.2027, 47 Tage ab 15.03.2029
- Stammzertifizierungsstelle
- offline im Tresor der IT-Leitung, zwei Personen nötig zum Einschalten (Vier-Augen-Prinzip)
Die Laufzeiten der internen Zertifikate sind Unterrichtswerte, die IT-Leitung hat sie vorgeschlagen. Ihr dürft sie begründet ändern.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
PKI-Plan HLG für drei Standorte
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- Hierarchie mit Stamm- und ausstellenden Zertifizierungsstellen
- Laufzeiten und Namensschema je Zertifikatsart
- Mengengerüst der Zertifikate und Erneuerungen im Jahr mit Rechenweg
- Sperrprozess mit Rollen und Zeiten
- Regel für die Aufbewahrung der Stamm-CA
Zur Dokumentation
Der Plan ist so geschrieben, dass die IT-Leitung ihn ohne euch umsetzen könnte.
In Lernangebot 14 nutzt ihr die Kette für TLS und SSH, in Teil 6 kommt der Plan ins Sicherheitskonzept.
Deine Aufgaben
13.1Lest ein Zertifikat
Jetzt seid ihr dran · Zu zweit · 3 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 13.1
Stufe I · Abfolge
Lest ein Zertifikat:
- Öffnet im Labor das Zertifikat einer Webseite eurer Wahl im Browser oder mit
openssl x509 -text. - Schreibt Inhaber, Namen im Subject Alternative Name, Aussteller, Gültig ab, Gültig bis, Schlüsselart und Schlüssellänge heraus.
- Verfolgt die Kette bis zum Stammzertifikat und notiert, wo dieses auf eurem Rechner liegt.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
13.2Lest die Schlüssellängen ab
Jetzt seid ihr dran · Zu zweit · 3 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 13.2
Stufe I · Abfolge
Lest die Schlüssellängen ab:
- Nehmt die Tabelle zum Sicherheitsniveau aus der Fachgrundlage.
- Ordnet dem Zertifikat aus 13.1 sein Sicherheitsniveau zu.
- Legt für die Stamm-CA, die ausstellenden CA und die Geräte von HLG je Verfahren und Schlüssellänge fest und schreibt die Fundstelle dazu.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
13.3Zählt die Zertifikate und Erneuerungen
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 13.3
Stufe II · Algorithmus
Zählt die Zertifikate und Erneuerungen:
- Zählt die Endzertifikate im Hub aus den gegebenen Werten.
- Zählt die Zertifikate der Zertifizierungsstellen für alle drei Standorte dazu.
- Rechnet für jede Geräteart die Erneuerungen im Jahr aus Anzahl und Laufzeit.
- Rechnet, wie viele Erneuerungen das je Arbeitstag sind, und entscheidet, ob das von Hand geht.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
13.4Vergleicht symmetrisch und asymmetrisch
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 13.4
Stufe II · Algorithmus
Vergleicht symmetrisch und asymmetrisch:
- Rechnet, wie viele Schlüssel nötig wären, wenn die 46 Beschäftigten an Rechnern, Scannern und Zufahrt alle paarweise mit eigenen symmetrischen Schlüsseln kommunizieren.
- Rechnet dasselbe mit Schlüsselpaaren.
- Rechnet beides für alle Endgeräte im Hub.
- Schreibt in zwei Sätzen, was das für die PKI bedeutet.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
13.5Plant die Hierarchie und das Namensschema
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 1Öffnen ▾Schließen ▴
Aufgabe 13.5
Stufe II · Algorithmus
Plant die Hierarchie und das Namensschema:
- Zeichnet die Hierarchie für drei Standorte mit Stamm-CA und ausstellenden CA.
- Legt Laufzeiten fest und prüft: Läuft kein Zertifikat länger als das Zertifikat seines Ausstellers?
- Legt ein Namensschema für Geräte fest, das auch in fünf Jahren noch eindeutig ist.
- Schreibt die Regel für Aufbewahrung und Einschalten der Stamm-CA.
Im Team Diese Aufgabe bearbeitet ihr im Team.
13.6Spielt den Ernstfall durch: ein Handscanner wird gestohlen.
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 1 und 4Öffnen ▾Schließen ▴
Aufgabe 13.6
Stufe III · Heuristik
Spielt den Ernstfall durch: ein Handscanner wird gestohlen.
- Schreibt den Sperrprozess als Abfolge: wer bemerkt, wer meldet, wer sperrt, wer prüft.
- Entscheidet zwischen Sperrliste und OCSP für die Handscanner und begründet es mit den Schichten im Hub.
- Legt fest, wie lange ein gesperrtes Gerät höchstens noch Daten bekommen kann.
- Prüft euren Plan: Was ändert sich, wenn die ausstellende CA Hub selbst kompromittiert ist?
Im Team Diese Aufgabe bearbeitet ihr im Team.
Veränderter Fall
Das Stationsbüro an einem zweiten Flughafen soll mit einem Partner in Übersee Sendungsdaten austauschen. Der Partner hat eine eigene PKI und schlägt vor, dass ihr sein Stammzertifikat in alle Geräte von HLG aufnehmt. Was würde das bedeuten, und welche Lösung würdet ihr stattdessen vorschlagen?