Informatik Security
Topic 9 Certificates and Trust
Topic 9 Certificates and Trust
Was muss gemacht werden wenn man eine Eigenschaft eines bestehenden Zertifikats ändern will?
Das Zertifikat muss zuerst revoziert werden und erst dann kann ein komplett neues Zertifikat erstellt werden. Das bestehende Zertifikat kann also nicht editiert werden.
Wann sollten Attribute Zertifikate verwendet werden?
Wenn die Attribute eines Zertifikats regelmässig ändern.
In was unterteilt Attribute certificates ?
Attribute certificate helps to separate authentication (identity) and authorization (permission).
Was ist ein Attribute Zertifikat? Für was kann man es brauchen?
Ein Set von Attribute wie zb für temporären Netzwerkzugriff.
Attribut Zertifikate sind sehr ähnlich wie X.509 Zertifikate, beinhalten jedoch kein Public Key.
Sie sind mit einem Identitiy Zertifikat (x.509) anhand der Seriennummer verkoppelt.
Mehrere Attribut Zertifikate können mit einem Identity Zertifikat gekoppelt sein
Was sind CVC (Card Verifiable Certificates) und für was werden sie gebraucht?
Sind Zertifikate welche spezifisch für Smartcards verwendet werden. X.509 Zerts sind zu gross und ineffizient für Smartcards
Was ist Certfcate Hoolder Authorizaton (CHA) im Zusammenhang mit CVC Zertifikate?
Das ist das Element im Zertifikat welches den Zugriff auf Daten der Smartcard gewährt. Man kann sich das wie eine Art Rollenzugriff vorstellen
Sind CVC Zertifikate kompatibel mit X.509 Zertifikate?
Nein da unterschiedliche Struktur der Elemente
Werden CVC Zertifikate auch für Verschlüsselung verwendet?
Nein, nur für die Authentisierugn
Was ist die Minimale Form von einem CVC Zertifikat bzw. welche Elemente beinhaltet es?
Issuer
Subject
public key
access rights
validity period
Wo werden CVC Zertifikate verwendet ?
Elektronische Pässe
Krankenkassen Karte
usw
Welche Felder beinhaltet ein PGP Zertifikat?
Auf was basiert das Vertrauen der Zertifikate bei PGP?
Web of Trust -> die Zertifikate werden von anderen Personen im Netz signiert
Es gibt drei Zertifikat Vertrauensmodelle. Nennen Sie die
Direct Trust
Web of Trust
Hierarchical Trust
Erklären Sie Direct Trust
Was ist Trust on first use (TOFU)?
Der User verifiziert den Endpoint bei der ersten Verbindung. zB bei SSH Hostkey bei der ersten Anmeldung
Erklären sie web of trust
PGP
st in der Kryptologie die Idee, die Echtheit von digitalen Schlüsseln durch ein Netz von gegenseitigen Bestätigungen (Signaturen), kombiniert mit dem individuell zugewiesenen Vertrauen in die Bestätigungen der anderen („Owner Trust“), zu sichern. Es stellt eine dezentrale Alternative zum hierarchischen PKI-System dar.
Erreicht Direct Trust diese Ziele?
prove the authenticity and integrity of public keys:
building trust relations between entities:
key management (renew, revoke):
legal validity and liability:
enforcing key policies:
Erreicht Web of Trust diese Ziele?
prove the authenticity and integrity of public keys
building trust relations between entities
key management (renew, revoke):
legal validity and liability:
enforcing key policies:
Erklären Sie Hierarchical Trust
das PKI Modell mit Certificate Authorities und SubCAs
Erreicht Hierarchical Trustdiese Anforderungen?
verify the authenticity and integrity of public keys:
building trust relations between entities
key management (renew, revoke):
legal validity and liability:
enforcing key policies:
Warum ist die asymetrische Kryptographie als solches nicht sicher?
Der öffentliche Schlüssel mit man die Daten verschlüsselt verfügt über keine Authentisierung. Um sicher zu sein, dass ein Public Key von einer gewissen Person kommt, muss der Key in einem Zertifikat verpackt sein. Das Zertifikat muss logischerweise Identifkationsmöglichkeiten der Person oder des Systems ermöglichen.
Was beschreibt ein Zertifikat?
Ein Set von digitalen Pflicht und Optionalen Informationen welche vom Issuer signiert sind.
Wie sieht die Struktur eines Zertifikats aus?
- Identität (Person oder System) -> zb Mailadresse oder URL
- Diverse Attribute -> zB für das das Zertifikat genutzt werden darf
- Public Key -> damit alle Zugriff darauf haben wird es öffentlich gemacht
- Signatur -> Bestätigung das das Zertifikat und deren Inhalt gültig ist
Was bedeutet tamper proof im Zusammenhang mit Zertifikaten?
Beduetet, dass die Zertifikate fälschungssicher sein sollten. Das wird mit der Signatur garantiert da diese in der Regel fälschungsssicher ist
Wir kennen vier Typen von Zertifikaten. Nennen Sie diese und beschreiben Sie sie kurz.
-x509 -> Zertifikat mit Publickey
-Attribute Certificate -> Zertifikat ohne Publickey
-PGP -> Zertifikate für PGP Web of Trust
-CV Cert. -> Zertifikate für Smartcards, besonders kompakt
In welchen zwei Standards werden x.509 Zertifikate eingesetzt und was beinhalten oder für was sind diese Standards?
x.509 Zertifikate werden in PKIX und PKCS verwendet
PKIX -> Standard der IEFT
PKCS -> alter Industriestandard der von RSA Labs gepusht wurde. Wird aber nicht mehr oft gebraucht
Was ist ASN und wo wird es eingesetzt?
ASN ist die Abstract Syntax Notation und speizifiziert die Struktur der Einträge in einem Zertifikat
Warum wird das PEM Format oft eingesetzt?
- Einfache Textform des Zertifikats (mailen, copy/pase des contents,)
- kann mehrere Zertfikate in einem PEM File haben
- header informationen human readable
- Das Zertfikat selbst ist aber DER encoded mit Base64
Was sind OIDs?
OIDs (object indentifier) sind Einträge in einem Zertifikat. Diese werden von einer Gesellschaft standartisiert und freigegeben.
Danach können sie alle in deren Zertifikaten verwenden.
Was sind distinguished names(DN)?
Unique Namenskonvention für Zertifikate
Wie macht man Zertifikate Fälschungssicher?
Der Requester hast den Inhalt für das Zertifikat. Die CA signiert dann das den Fingerprint des Zertifikates mit dem entsprechenden Algorithmus. Das ergibt dann das Zertifikat. Es beinhaltet die Informationen des Zertifikats, den Hash/Fingerprint, die Signatur und den Algorithmus um die Signatur zu verifizieren
Wie überprüft zb ein Browser ob das Zertfikat gülitg ist (wenn man davon ausgeht, dass alles richtig sein sollte, wie CN, Datum etc)?
Der Browser generiert einen Fingerprint/HASH aus der Standard Information und den Extensions.
Mit der verify(signatur, pk) Funktion sollte ein Hash als Resultat dabei raus kommen.
Die beiden generierten Hashes sollten nun identisch sein.
Welche Komponenten beinhaltet in Zertifikat?
Standard Information
Extensions
Signatur -> Signatur Value, Signatur Algorithm
Welche Informationen beinhalten die Standard Informationen eines Zertifkates?
Wie heisen die drei Zertifikat Elemente Standard Information, Signatur Value und Siganture Algorithm in der ASN.1 Notation aus?
Welche Zertfikatsversion ist aktuell?
V3
Warum muss die Seriennummer eines Zertifikats Unique sein?
Was ist der ASN AlgorithmIdentifier?
Das ist der Eintrag im Zertifikat um zu wissen mit welchem Algoirthmus das Zertifikat signiert wurde. Damit kann auch die Verifizierung stattfinden.
Der Algorithmus wird dann als eine OID Nummer angegenben. Hinten werden noch Parameter angehängt wie beispielsweise die EC Kurvenparameter.
Kommt zwei Mal im Zertifikat vor. Einmal in den Standard Informationen und einmal in der Signatur und müssen identisch sein.
Welche Bedeutung hat der Issuer Eintrag im Zertifikat und welche Form hat dieser?
Der Issuer Einträg ist die Information über den Aussteller des Zertifikats. In der Regel eine CA
Der Issuer Eintrag wird als Distinguished Name (DN) dargestellt.
Welche Bedeutung hat der Validity Eintrag im Zertifikat?
Zeitfenster wie lange das Zertifikat gültig ist. Von wann bis wan und das als UTC Zeit.
-
- 1 / 50
-
Cartes-fiches
Warum ist die asymetrische Kryptographie als solches nicht sicher?
Der öffentliche Schlüssel mit man die Daten verschlüsselt verfügt über keine Authentisierung. Um sicher zu sein, dass ein Public Key von einer gewissen Person kommt, muss der Key in einem Zertifikat verpackt sein. Das Zertifikat muss logischerweise Identifkationsmöglichkeiten der Person oder des Systems ermöglichen.
Was beschreibt ein Zertifikat?
Ein Set von digitalen Pflicht und Optionalen Informationen welche vom Issuer signiert sind.
Wie sieht die Struktur eines Zertifikats aus?
- Identität (Person oder System) -> zb Mailadresse oder URL
- Diverse Attribute -> zB für das das Zertifikat genutzt werden darf
- Public Key -> damit alle Zugriff darauf haben wird es öffentlich gemacht
- Signatur -> Bestätigung das das Zertifikat und deren Inhalt gültig ist
Was bedeutet tamper proof im Zusammenhang mit Zertifikaten?
Beduetet, dass die Zertifikate fälschungssicher sein sollten. Das wird mit der Signatur garantiert da diese in der Regel fälschungsssicher ist
Wir kennen vier Typen von Zertifikaten. Nennen Sie diese und beschreiben Sie sie kurz.
-x509 -> Zertifikat mit Publickey
-Attribute Certificate -> Zertifikat ohne Publickey
-PGP -> Zertifikate für PGP Web of Trust
-CV Cert. -> Zertifikate für Smartcards, besonders kompakt
In welchen zwei Standards werden x.509 Zertifikate eingesetzt und was beinhalten oder für was sind diese Standards?
x.509 Zertifikate werden in PKIX und PKCS verwendet
PKIX -> Standard der IEFT
PKCS -> alter Industriestandard der von RSA Labs gepusht wurde. Wird aber nicht mehr oft gebraucht
Was ist ASN und wo wird es eingesetzt?
ASN ist die Abstract Syntax Notation und speizifiziert die Struktur der Einträge in einem Zertifikat
Warum wird das PEM Format oft eingesetzt?
- Einfache Textform des Zertifikats (mailen, copy/pase des contents,)
- kann mehrere Zertfikate in einem PEM File haben
- header informationen human readable
- Das Zertfikat selbst ist aber DER encoded mit Base64
Was sind OIDs?
OIDs (object indentifier) sind Einträge in einem Zertifikat. Diese werden von einer Gesellschaft standartisiert und freigegeben.
Danach können sie alle in deren Zertifikaten verwenden.
Was sind distinguished names(DN)?
Unique Namenskonvention für Zertifikate
Wie macht man Zertifikate Fälschungssicher?
Der Requester hast den Inhalt für das Zertifikat. Die CA signiert dann das den Fingerprint des Zertifikates mit dem entsprechenden Algorithmus. Das ergibt dann das Zertifikat. Es beinhaltet die Informationen des Zertifikats, den Hash/Fingerprint, die Signatur und den Algorithmus um die Signatur zu verifizieren
Wie überprüft zb ein Browser ob das Zertfikat gülitg ist (wenn man davon ausgeht, dass alles richtig sein sollte, wie CN, Datum etc)?
Der Browser generiert einen Fingerprint/HASH aus der Standard Information und den Extensions.
Mit der verify(signatur, pk) Funktion sollte ein Hash als Resultat dabei raus kommen.
Die beiden generierten Hashes sollten nun identisch sein.
Welche Komponenten beinhaltet in Zertifikat?
Standard Information
Extensions
Signatur -> Signatur Value, Signatur Algorithm
Welche Informationen beinhalten die Standard Informationen eines Zertifkates?
Wie heisen die drei Zertifikat Elemente Standard Information, Signatur Value und Siganture Algorithm in der ASN.1 Notation aus?
Welche Zertfikatsversion ist aktuell?
V3
Warum muss die Seriennummer eines Zertifikats Unique sein?
Was ist der ASN AlgorithmIdentifier?
Das ist der Eintrag im Zertifikat um zu wissen mit welchem Algoirthmus das Zertifikat signiert wurde. Damit kann auch die Verifizierung stattfinden.
Der Algorithmus wird dann als eine OID Nummer angegenben. Hinten werden noch Parameter angehängt wie beispielsweise die EC Kurvenparameter.
Kommt zwei Mal im Zertifikat vor. Einmal in den Standard Informationen und einmal in der Signatur und müssen identisch sein.
Welche Bedeutung hat der Issuer Eintrag im Zertifikat und welche Form hat dieser?
Der Issuer Einträg ist die Information über den Aussteller des Zertifikats. In der Regel eine CA
Der Issuer Eintrag wird als Distinguished Name (DN) dargestellt.
Welche Bedeutung hat der Validity Eintrag im Zertifikat?
Zeitfenster wie lange das Zertifikat gültig ist. Von wann bis wan und das als UTC Zeit.
Was ist der SubjectName und in welcher Form wird dieser geschrieben?
Beinhaltet die Information vom "Besitzer" des Zertifikates. Wird als distinguished name (DN). Dargestellt.
Was beinhaltet der SubjectPublicKeyInfo Eintrag?
Beinhaltet dern Publickey. Im fall von RSA wäre das der modulus und der public Exponent
X.509 hat gewisse Standard informationen und Extensions im Zertifikat. Aus welchen drei Elementen besteht so eine Extension?
- Identifier
- Criticality indicator
- value
Was verursacht ein criticality indicator in einer Extension des Zertifikat?
Wenn eine Extension als kritisch definiert wurde, muss diese Extension zwingend berücksichtigt werden
In welche fünf Gruppen werden Certificate Extensiosn unterteilt?
- Subject type
- names and identity information
- key attributes
- policy information
- additional information
Für was ist die Subject Type extension?
Beinhaltet Basiseinschränkungen wie beispielsweise die maximale Chainlänge eines Zertifikats oder welcher Typ der Antragsteller war. In den meisten Fällen Subject Type=End Entity da mit diesem Key keine weiteren generiert werden.
Für was ist die Names and Identity Information extension?
Diese Extension wird gebraucht wenn der subject DN von den Standard Attributen nicht reicht. Das können zum Beispiel SANs (subject alternative name) sein welche alternative Namen für mails oder servenramen beinhalten.
Für was ist die Key Attributes extension?
Das Attribut zeigt, für was das Zertifikat alles gebraucht werden kann wie z.B. signieren oder verschlüsseln.
Für was ist die Policy Information extension?
Für Extensions wie beispielsweise wo die CRL Liste zu finden ist oder beispielsweise Certificate Policies welche Informationen beinhalten
Für was ist die Additional Information extension?
Hier sind zB Extensions um weitere Infos über den Aussteller des Zertifikats zu erhalten usw.
Was muss gemacht werden wenn man eine Eigenschaft eines bestehenden Zertifikats ändern will?
Das Zertifikat muss zuerst revoziert werden und erst dann kann ein komplett neues Zertifikat erstellt werden. Das bestehende Zertifikat kann also nicht editiert werden.
Wann sollten Attribute Zertifikate verwendet werden?
Wenn die Attribute eines Zertifikats regelmässig ändern.
In was unterteilt Attribute certificates ?
Attribute certificate helps to separate authentication (identity) and authorization (permission).
Was ist ein Attribute Zertifikat? Für was kann man es brauchen?
Ein Set von Attribute wie zb für temporären Netzwerkzugriff.
Attribut Zertifikate sind sehr ähnlich wie X.509 Zertifikate, beinhalten jedoch kein Public Key.
Sie sind mit einem Identitiy Zertifikat (x.509) anhand der Seriennummer verkoppelt.
Mehrere Attribut Zertifikate können mit einem Identity Zertifikat gekoppelt sein
Was sind CVC (Card Verifiable Certificates) und für was werden sie gebraucht?
Sind Zertifikate welche spezifisch für Smartcards verwendet werden. X.509 Zerts sind zu gross und ineffizient für Smartcards
Was ist Certfcate Hoolder Authorizaton (CHA) im Zusammenhang mit CVC Zertifikate?
Das ist das Element im Zertifikat welches den Zugriff auf Daten der Smartcard gewährt. Man kann sich das wie eine Art Rollenzugriff vorstellen
Sind CVC Zertifikate kompatibel mit X.509 Zertifikate?
Nein da unterschiedliche Struktur der Elemente
Werden CVC Zertifikate auch für Verschlüsselung verwendet?
Nein, nur für die Authentisierugn
Was ist die Minimale Form von einem CVC Zertifikat bzw. welche Elemente beinhaltet es?
Issuer
Subject
public key
access rights
validity period
Wo werden CVC Zertifikate verwendet ?
Elektronische Pässe
Krankenkassen Karte
usw
