Sprint 5Lernangebot 14Stufe I bis III⏱ 7 h
Hier richtest du im Labor einen Fernzugriff mit SSH-Schlüsseln ein, verfolgst den TLS-Verbindungsaufbau zwischen Handscanner und Frachtsystem und planst das Zertifikat der Sendungsverfolgung.
Sprint 5Brückenstufe 4
Eure Story: Ihr setzt PKI, sicheren Fernzugriff, Verschlüsselung und Angriffserkennung um, damit die Befunde aus Teil 2 und 4 nicht nur auf Papier stehen.
Input · Sicherer Fernzugriff und TLS. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 2, 3 und 8.
Du richtest SSH mit Schlüsseln ein, prüfst die Kette in der Szene, legst mit deinem Team die TLS-Vorgaben fest und plant die Fernwartung.
0 von 9 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Wer einen Hostschlüssel oder eine Zertifikatswarnung einfach wegklickt, hat die Verschlüsselung behalten und die Sicherheit verschenkt.
Am Ende hast du: einen SSH-Zugang mit Schlüsseln im Labor mit Protokoll, TLS-Vorgaben für Frachtsystem und Sendungsverfolgung und einen Plan für die Fernwartung.
Hier läuft die Szene: TLS-Verbindungsaufbau zwischen Handscanner und Frachtsystem, Schritt für Schritt, wahlweise mit gültigem, abgelaufenem oder fremdem Zertifikat.
Erst du, dann die anderen
Die Server werden heute mit Passwort aus einer Tabelle verwaltet. Wie würdest du auf Schlüssel umstellen, ohne dass am Montag niemand mehr auf die Server kommt?
So gehen andere vor. Such dir einen Weg aus.
- Parallel: erst Schlüssel für alle einrichten und testen, dann Passwörter abschalten. Vorteil: kein Ausfall. Preis: eine Zeit lang zwei Wege offen.
- Server für Server: einen Server ganz umstellen, Erfahrungen sammeln, dann den nächsten. Vorteil: Fehler bleiben klein. Preis: dauert.
- Mit Sprungserver: erst einen gehärteten Verwaltungszugang bauen, nur von dort auf die Server. Vorteil: ein Ort zum Überwachen. Preis: der Sprungserver wird selbst zum Ziel.
Wichtig ist ein Rückweg: Wer darf im Notfall wie auf einen Server, wenn der Schlüssel verloren ist?
Gegebene Werte zum Labor · aufklappen, wenn du sie brauchst
Gegebene Werte zum Labor
- Labor
- je Team ein Server mit SSH-Dienst, ein Admin-Rechner, ein Angreifer-System; isoliert
- Server im Hub
- 14 virtuelle Maschinen, Verwaltung heute mit Passwort, vier Admins bei Querwind, zwei bei HLG
- Sendungsverfolgung
- Webserver in der DMZ, öffentlich erreichbar, öffentliches Zertifikat
- Fernwartung
- Hersteller der Röntgenanlage, vier Röntgenarbeitsplätze, bisher offener Port mit gemeinsamem Passwort
Die Befehle in den Aufgaben sind Beispiele für OpenSSH auf Linux. Ihr dürft ein anderes System nutzen, wenn ihr dasselbe zeigt.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
Fernzugriff und TLS für den Hub
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- Laborprotokoll SSH mit Schlüsseln, Anmeldung mit Passwort abgeschaltet
- Ergebnis der Kettenprüfung aus der Szene
- TLS-Vorgaben für Frachtsystem und Sendungsverfolgung
- Plan für die Erneuerung des öffentlichen Zertifikats
- Entwurf der Fernwartung
Zur Dokumentation
Das Protokoll zeigt Befehle und Ausgaben so, dass ein anderes Team es nachmachen kann.
Der Entwurf der Fernwartung ist der Anfang des offenen Falls der Storycard.
Deine Aufgaben
14.1Richtet SSH mit Schlüsseln im Labor ein
Jetzt seid ihr dran · Zu zweit · 5 Arbeitsschritte
zahlt ein auf AB 2Öffnen ▾Schließen ▴
Aufgabe 14.1
Stufe I · Abfolge
Richtet SSH mit Schlüsseln im Labor ein:
-
Nur im Labornetz. Alles, was ihr hier einrichtet oder testet, läuft im isolierten Labornetz eures Teams mit der schriftlichen Freigabe aus dem Projektauftrag. Ein Scan oder Login gegen fremde Systeme ist auch zu Übungszwecken strafbar (§202a bis §202c StGB).
- Erzeugt auf dem Admin-Rechner ein Schlüsselpaar, z. B. mit
ssh-keygen -t ed25519, und schützt es mit einer Passphrase. - Übertragt den öffentlichen Schlüssel auf den Laborserver, z. B. mit
ssh-copy-id. - Prüft beim ersten Verbinden den Fingerabdruck des Hostschlüssels gegen den Wert, den ihr auf dem Server selbst abgelesen habt.
- Meldet euch mit Schlüssel an und haltet Befehle und Ausgaben im Protokoll fest.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
14.2Schaltet die Anmeldung mit Passwort ab
Jetzt seid ihr dran · Zu zweit · 3 Arbeitsschritte
zahlt ein auf AB 2Öffnen ▾Schließen ▴
Aufgabe 14.2
Stufe I · Abfolge
Schaltet die Anmeldung mit Passwort ab:
- Setzt in der Konfiguration des SSH-Dienstes die Anmeldung mit Passwort und als root aus.
- Startet den Dienst neu, ohne die laufende Sitzung zu schließen.
- Zeigt mit einem zweiten Versuch ohne Schlüssel, dass der Zugang abgelehnt wird.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
14.3Verfolgt den TLS-Aufbau in der Szene
Jetzt seid ihr dran · Zu zweit · 3 Arbeitsschritte
zahlt ein auf AB 3Öffnen ▾Schließen ▴
Aufgabe 14.3
Stufe II · Algorithmus
Verfolgt den TLS-Aufbau in der Szene:
- Spielt die Szene oben mit gültigem Zertifikat durch und schreibt zu jeder der drei Prüfungen auf, was geprüft wird und womit.
- Wählt das abgelaufene Zertifikat und schreibt auf, an welcher Stelle der Aufbau abbricht und was die Rampe davon merkt.
- Wählt das fremde Zertifikat und erklärt, was das mit dem Befund aus Teil 4 zu tun hat.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
14.4Legt die TLS-Vorgaben fest
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 3Öffnen ▾Schließen ▴
Aufgabe 14.4
Stufe II · Algorithmus
Legt die TLS-Vorgaben fest:
- Schreibt für Frachtsystem und Sendungsverfolgung auf, welche TLS-Versionen erlaubt sind und welche abgeschaltet werden.
- Legt fest, von welcher CA das Zertifikat der Sendungsverfolgung kommt und warum nicht von der eigenen PKI.
- Rechnet, wie oft das Zertifikat der Sendungsverfolgung im Jahr bei den Höchstlaufzeiten 2026, 2027 und 2029 mindestens gewechselt werden muss.
- Schreibt, wie die Erneuerung automatisiert und überwacht wird.
Im Team Diese Aufgabe bearbeitet ihr im Team.
14.5Entwerft die Fernwartung der Röntgenanlage
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 8Öffnen ▾Schließen ▴
Aufgabe 14.5
Stufe III · Heuristik
Entwerft die Fernwartung der Röntgenanlage:
- Sammelt, was der Hersteller wirklich erreichen muss und was er heute alles erreichen könnte.
- Entwerft mindestens zwei Wege (z. B. VPN mit eigenem Netz, Sprungserver mit Freigabe je Sitzung) und vergleicht sie.
- Legt fest, wer eine Sitzung freigibt, wie sich der Techniker anmeldet und was aufgezeichnet wird.
- Plant den Labortest, der zeigt, dass der Zugang nichts anderes erreicht.
Im Team Diese Aufgabe bearbeitet ihr im Team.
Veränderter Fall
Ein Admin von Querwind kündigt kurzfristig. Er hatte Schlüssel für alle 14 Server, einen davon auch auf seinem privaten Laptop. Was tut ihr in welcher Reihenfolge, und wie verhindert ihr, dass so etwas beim nächsten Mal wieder unklar ist?