Hier holt die Sendungsverfolgung ihr Zertifikat ab, du prüfst eine Vertrauenskette und entwirfst, wie sich Mitarbeitende und Kunden anmelden.
Sprint 5Brückenstufe 4
Eure Story: Als IT-Leitung HLG will ich ein Schlüssel- und Zertifikatskonzept, damit Kunden und Standorte der Verbindung trauen können.
Input · Zertifikate und Authentifizierung. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 3 bis 6.
Du gehst den Weg vom Schlüssel bis zum eingebauten Zertifikat, prüfst eine Kette mit eingebautem Fehler, planst Ablauf und Erneuerung, entwirfst die Anmeldung und fasst das Konzept zusammen.
0 von 8 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Ein Zertifikat sagt nicht, dass eine Seite harmlos ist. Es sagt nur, dass der Schlüssel zu diesem Namen gehört, und das nur bis zu seinem Ablaufdatum.
Am Ende hast du: ein Zertifikat für track.hlg.example aus dem Labor, eine geprüfte Zertifikatskette, einen Plan für Ablauf und Erneuerung und ein Anmeldekonzept für Mitarbeitende und Kunden, zusammen das Schlüssel- und Zertifikatskonzept.
Karte „Adressen und Routing kompakt“: Was du aus dem Netzaufbau brauchst, auf einer Seite: Adressen, Subnetze, Routing, die drei Standorte. Die Karte steht im Wissensspeicher.
Erst du, dann die anderen
Die IT-Leitung fragt: „Woher weiß der Browser eines Kunden, dass er wirklich mit unserer Sendungsverfolgung spricht und nicht mit einer nachgebauten Seite?“ Wie würdest du vorgehen?
So gehen andere vor. Such dir einen Weg aus.
- Ein Zertifikat einer öffentlichen Zertifizierungsstelle. Die Wurzel liegt in jedem Browser, kein Kunde muss etwas tun. Die Stelle prüft aber nur, dass HLG über den Namen verfügt, und das Zertifikat läuft nach kurzer Zeit ab, die Erneuerung muss also klappen.
- Eine eigene Zertifizierungsstelle von HLG. HLG bestimmt Laufzeit und Inhalt selbst und kann sie für interne Dienste und das VPN nutzen. Fremde Browser kennen die Wurzel aber nicht und zeigen eine Warnung, für Kunden ist das unbrauchbar.
- Den Fingerabdruck des Zertifikats veröffentlichen. Kunden vergleichen ihn selbst, etwa auf dem Lieferschein. Das ist unabhängig von jeder Stelle. Praktisch tut das aber kaum ein Kunde, und nach jeder Erneuerung ändert sich der Fingerabdruck.
Häufig ist die Antwort eine Mischung: öffentlich für das, was Kunden sehen, eigen für das, was nur HLG nutzt. In Aufgabe 11.7 entscheidet ihr.
Gegebene Werte: Lernangebot 11 · aufklappen, wenn du sie brauchst
Gegebene Werte: Lernangebot 11
- Name und Ort
- track.hlg.example, Zertifikat und privater Schlüssel liegen auf dem Verteiler 172.16.10.10 in der DMZ, öffentliche Adresse aus 203.0.113.3 bis .14
- Laufzeit
- 90 Tage, ausgestellt am Sonntag, 28.02.2027, gültig bis Samstag, 29.05.2027 (Unterrichtswerte)
- Prüfdatum für die Kette
- Montag, 15.03.2027
- Mitarbeitende
- 185, Statuspflege für alle Sendungen
- Kunden
- 200.000 abrufbare Sendungen, Sendungsnummer mit 10 Ziffern, rund 8.200 vergebene Postleitzahlen (Unterrichtswerte)
- Abfragegrenze
- 100 Abfragen je Minute und Absenderadresse (Vorschlag, vom Team festzulegen)
- Zweiter Faktor
- Code-App mit 6 Ziffern, neuer Code alle 30 Sekunden; Sperre nach 5 Fehlversuchen
Die Zertifizierungsstellen sind erfunden. Laufzeiten öffentlicher Serverzertifikate werden in den nächsten Jahren schrittweise kürzer. Wer heute erneuert, sollte es automatisch tun.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
Schlüssel- und Zertifikatskonzept für track.hlg.example
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- dem Weg vom Schlüsselpaar über den Antrag bis zum eingebauten Zertifikat, mit Ort des privaten Schlüssels
- der geprüften Kette mit Prüfschritten und dem gefundenen Fehler
- dem Plan für Ablauf und Erneuerung mit Daten, Warnungen und Zuständigkeiten samt Vertretung
- dem Anmeldekonzept für Mitarbeitende (zweiter Faktor) und Kunden (Sendungsnummer plus Postleitzahl) mit Rateaufwand
- der Entscheidung öffentliche oder eigene Zertifizierungsstelle je Dienst, übernommen aus Lernangebot 10 mit den Schlüssellängen
Zur Dokumentation
Zwei bis drei Seiten, so dass Querwind es im Betrieb ohne Rückfrage nutzen kann. Daten als Datum mit Wochentag, Zuständigkeiten mit Rolle, nicht mit Vornamen.
Das Konzept ist der erste Baustein von Meilenstein M4. In Teil 6 baut das VPN darauf auf.
Die Kette, die du in Aufgabe 11.3 prüfst
So hat der Verteiler die Kette ausgeliefert. Prüfdatum ist Montag, 15.03.2027. In der Tabelle steckt genau ein Fehler, der den Aufruf scheitern lässt.
| Stufe | Inhaber (Subject) | Aussteller (Issuer) | gültig von | gültig bis | darf ausstellen (CA) | Namen im Zertifikat (SAN) | Unterschrift prüfbar mit |
|---|---|---|---|---|---|---|---|
| 1 Wurzel | Beispiel-Wurzel R1 | Beispiel-Wurzel R1 | 01.01.2018 | 31.12.2037 | ja | keine | eigenem Schlüssel; liegt im Vertrauensspeicher |
| 2 Zwischenstelle | Beispiel-TLS-Stelle 7 | Beispiel-Wurzel R1 | 01.06.2025 | 31.05.2030 | ja, nur eine Stufe darunter | keine | Schlüssel der Beispiel-Wurzel R1: passt |
| 3 Server | CN = track.hlg.example | Beispiel-TLS-Stelle 7 | 28.02.2027 | 29.05.2027 | nein | www.hlg.example, hlg.example | Schlüssel der Beispiel-TLS-Stelle 7: passt |
Deine Aufgaben
11.1Beschreibe den Weg zum Zertifikat für track.hlg.example
Jetzt bist du dran · Allein · 4 Arbeitsschritte
zahlt ein auf AB 4Öffnen ▾Schließen ▴
Aufgabe 11.1
Stufe I · Abfolge
Beschreibe den Weg zum Zertifikat für track.hlg.example:
- Nenne die Schritte von der Erzeugung des Schlüsselpaars bis zum eingebauten Zertifikat in der richtigen Reihenfolge.
- Gib an, wo der private Schlüssel entsteht und wo er bleibt.
- Beschreibe, was im Zertifikatsantrag steht und was nicht.
- Erkläre, wie die Zertifizierungsstelle prüft, dass HLG über den Namen verfügt.
Allein Diese Aufgabe bearbeitest du allein.
11.2Lies die Felder eines Zertifikats ab
Jetzt bist du dran · Allein · 3 Arbeitsschritte
zahlt ein auf AB 4Öffnen ▾Schließen ▴
Aufgabe 11.2
Stufe I · Abfolge
Lies die Felder eines Zertifikats ab:
- Ordne den Feldern Inhaber, Aussteller, Gültigkeit, Namen und Verwendungszweck ihre Werte aus der Tabelle zu.
- Erkläre, weshalb der Browser den Namen in den alternativen Namen (SAN) sucht und nicht nur im Inhaber.
- Berechne die Laufzeit in Tagen aus den beiden Daten.
Allein Diese Aufgabe bearbeitest du allein.
11.3Prüfe die Zertifikatskette
Jetzt seid ihr dran · Zu zweit · 5 Arbeitsschritte
zahlt ein auf AB 4Öffnen ▾Schließen ▴
Aufgabe 11.3
Stufe II · Algorithmus
Prüfe die Zertifikatskette:
- Prüfe für jede Stufe, ob der Aussteller der Inhaber der Stufe darüber ist.
- Prüfe jede Gültigkeit gegen das Prüfdatum 15.03.2027.
- Prüfe, ob nur Stufen mit Berechtigung andere Zertifikate unterschrieben haben.
- Prüfe, ob der aufgerufene Name im Zertifikat steht.
- Begründe den Fehler und schlag die Behebung vor.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
11.4Plane Ablauf und Erneuerung
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 5Öffnen ▾Schließen ▴
Aufgabe 11.4
Stufe II · Algorithmus
Plane Ablauf und Erneuerung:
- Berechne, an welchem Tag die automatische Erneuerung 30 Tage vor Ablauf startet.
- Lege fest, wann Warnungen an wen gehen.
- Ordne jeder Warnung eine zuständige Rolle mit Vertretung zu.
- Begründe, weshalb die Erneuerung nicht am letzten Werktag vor Ablauf geplant werden darf.
Im Team Diese Aufgabe bearbeitet ihr im Team.
11.5Entwirf die Anmeldung der Mitarbeitenden
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 6Öffnen ▾Schließen ▴
Aufgabe 11.5
Stufe II · Algorithmus
Entwirf die Anmeldung der Mitarbeitenden:
- Unterscheide Wissen, Besitz und Merkmal als Faktoren und gib je ein Beispiel bei HLG.
- Berechne die Chance, einen 6-stelligen Code bei 5 Versuchen zu erraten.
- Beurteile, was der Passwortzettel aus der Lage mit zweitem Faktor noch wert ist.
- Lege fest, was bei Verlust des zweiten Faktors passiert.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
11.6Entwirf die Abfrage für Kunden ohne Konto
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 6Öffnen ▾Schließen ▴
Aufgabe 11.6
Stufe II · Algorithmus
Entwirf die Abfrage für Kunden ohne Konto:
- Berechne, wie viele zufällige Sendungsnummern ein Angreifer im Mittel probieren muss, bis er eine gültige trifft.
- Berechne die Dauer dafür bei 100 Abfragen je Minute, ohne und mit Postleitzahl.
- Beurteile, was sich ändert, wenn der Angreifer 1.000 Absenderadressen hat.
- Lege fest, welche Daten der Kunde nach der Abfrage sieht und welche nicht.
Im Team Diese Aufgabe bearbeitet ihr im Team.
11.7Entwickle das Schlüssel- und Zertifikatskonzept
Jetzt seid ihr dran · Im Team · 5 Arbeitsschritte
zahlt ein auf AB 3 und 5Öffnen ▾Schließen ▴
Aufgabe 11.7
Stufe III · Heuristik: offene Entscheidung, mehrere Lösungen sind tragfähig.
Entwickle das Schlüssel- und Zertifikatskonzept:
- Entscheide je Dienst (Sendungsverfolgung, Mail, Statuspflege, VPN), ob das Zertifikat von einer öffentlichen oder einer eigenen Stelle kommt.
- Entscheide, wo die Verschlüsselung endet und wo die privaten Schlüssel liegen.
- Übernimm Verfahren und Längen aus Aufgabe 10.7.
- Stelle Kette, Erneuerungsplan und Anmeldung auf zwei bis drei Seiten zusammen.
- Lass ein anderes Team das Konzept gegen „Fertig seid ihr, wenn …“ lesen und bessere nach.
Im Team Diese Aufgabe bearbeitet ihr im Team.
Laborvorschlag (2 × 90 Minuten): Schlüssel, Zertifikatsantrag und eigene Test-Zertifizierungsstelle mit openssl
Auf einer virtuellen Maschine mit Linux und openssl ab Version 3.0. Die Test-Zertifizierungsstelle ist nur für das Labor. Für Kunden braucht track.hlg.example ein Zertifikat einer öffentlichen Stelle, und einen Namen unter .example stellt keine öffentliche Stelle aus.
- Test-Zertifizierungsstelle anlegen:
openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-256 -out ca.key, dannopenssl req -x509 -new -key ca.key -sha256 -days 3650 -subj "/O=HLG Labor/CN=HLG Test-Wurzel" -addext "basicConstraints=critical,CA:TRUE" -addext "keyUsage=critical,keyCertSign,cRLSign" -out ca.crt. - Schlüssel für den Server:
openssl genpkey -algorithm EC -pkeyopt ec_paramgen_curve:P-256 -out track.key. Der Schlüssel bleibt auf der Maschine. - Zertifikatsantrag:
openssl req -new -key track.key -subj "/O=HLG/CN=track.hlg.example" -addext "subjectAltName=DNS:track.hlg.example" -out track.csr, ansehen mitopenssl req -in track.csr -noout -text. Wo steht der öffentliche Schlüssel, wo der private? - Ausstellen:
openssl x509 -req -in track.csr -CA ca.crt -CAkey ca.key -CAcreateserial -days 90 -sha256 -copy_extensions copy -out track.crt. - Prüfen:
openssl verify -CAfile ca.crt track.crtundopenssl x509 -in track.crt -noout -subject -issuer -dates -ext subjectAltName. Ablauf in den nächsten 30 Tagen?openssl x509 -in track.crt -noout -checkend 2592000. - Fehler einbauen: Antrag ohne subjectAltName stellen, Zertifikat in nginx oder HAProxy einbinden und mit
openssl s_client -connect localhost:443 -servername track.hlg.example -CAfile ca.crtaufrufen. Was meldet die Prüfung?
Zeitbedarf und Stolperfallen stehen im Lehrkräftebereich. Wer schneller ist, baut eine Zwischenstelle ein und prüft die Kette über drei Stufen.
Veränderter Fall
Das Zertifikat der Sendungsverfolgung läuft am Samstag, 29.05.2027, ab. Die automatische Erneuerung ist seit einer Änderung an der Firewall still gescheitert, und am Wochenende hat niemand Bereitschaft. Überprüfe deinen Plan aus Aufgabe 11.4: Beschreibe, was die Kunden am Samstagmorgen um 5:30 Uhr sehen, finde die Lücke in deinem Plan und ergänze ihn so, dass der Fall nicht eintritt.