Offline CA

[blutgraf 10]

Hallo,

 

ich habe eine Frage zu einer 2 stufigen Offline-CA. Die Offline CA sollte idealerweise nicht mit dem LAN verbunden sein. Idealerweise ist das ein eigenständiger Server. Jetzt aber meine Frage.

 

Was haltet ihr von der Lösung die Offline Root auf unseren Hyper-V Cluster zu installieren welcher dann aber auf einen eigenen virtuellen Switch gebunden ist, welcher nicht mit dem Netz verbunden ist. Die VHD würde ich idealerweise entweder auf USB Stick/ Compact Flash installieren oder eben auf Festplatten welche in den Safe landen.

 

Fragen:

 

a) wie sieht bei euch das Backup des Offline CA aus?

b) oder würdet ihr die 2 stufige gleich durch eine 3 stufige CA erweitern, haben sowieso ne Datacenter Lizens

[olc 18]

Hi blutgraf,

 

grundsätzlich kann man das shon so machen, wie Du es geschildert hast. Jedoch läßt sich die gesamtsicherheit der offline CA nicht mit zwei Sätzen beschreiben.

 

Ob die VM "sicher" ist, ob die berechtigten Personen "sicher" sind, ob das Rack / der Server, auf dem die VM gehostet wird, "sicher" ist - all das sind Fragen, die man im Einzelfall prüfen muß.

 

Die Frage ist also eher, wie Du das ganze in einem größeren Kontext siehst, nicht nur ausschließlich im rein technischen. Dazu gibt es auch eine ganze Menge Literatur. So zum Beispiel: Designing a Public Key Infrastructure: Public Key

 

zu a) Generell kannst Du natürlich eine VM problemlos sichern und "wegsperren". Je nach Sicherheitsbedürfnis der Umgebung spielen dann jedoch der Transport der VM (medium, Transportweg, Zugriffsmöglichkeiten, Kopie-Möglichkeiten etc.) eine wichtige Rolle, zusätzlich die Absicherung des Gasts auf der Host-Maschine. Wer hat hier Zugriff, wer macht Backups etc. Gleiches gilt für den Safe.

 

zu b) Das kommt auf Deine Umgebung an - je nach Größenordnung und nach PKI-Design kann eine mehr als zweistufige CA Sinn machen oder aber auch vollkommen überflüssig sein. Man könnte alternativ aber auch etwa eine offline Root CA und zwei Issuing CAs betreiben. So etwa für Benutzer Zertifikate eine und eine für Devices.

Aber da gibt es noch 1.000 andere Konstellationen - wie gesagt, das Design ist von einigen Faktoren abhängig.

 

Grundsätzliche Überlegung: PKI ist ein kritsiches Thema und auch Schlüsselthema in einer IT-Umgebung - es kann also Sinn machen, etwas Geld in die Hand zu nehmen, um einen Dienstleister mit entsprechenden Referenzen mit der Konzeption der CA zu betrauen.

 

Viele Grüße

olc