{"id":516,"date":"2013-07-13T11:05:56","date_gmt":"2013-07-13T09:05:56","guid":{"rendered":"http:\/\/lkl-it.de\/blog\/?p=516"},"modified":"2013-07-14T21:49:06","modified_gmt":"2013-07-14T19:49:06","slug":"tlsssl-verschlusselung","status":"publish","type":"post","link":"http:\/\/lkl-it.de\/blog\/?p=516","title":{"rendered":"TLS\/SSL Verschl\u00fcsselung und X.509 Zertifikate"},"content":{"rendered":"<p>TLS (Transport Layer Security) bzw. vormals SSL (Secure Socket Layer) \u00a0Verschl\u00fcsselung ist das am weitesten verbreitete Anwendungsszenario einer PKI. TLS erm\u00f6glicht die Erstellung eines sicheren Kanals zwischen zwei Endpunkten, indem es bestimmten Anwendungsverkehr (HTTPS, SMTPS, FTP over SSL etc.) auf der Sitzungsschicht des OSI Modells durch Verschl\u00fcsselung sch\u00fctzt.<\/p>\n<ul>\n<li>In TLS werden <em>asymmetrische Algorithmen<\/em> f\u00fcr die Authentifizierung und den Schl\u00fcsselaustausch verwendet, <em>symmetrische Algorithmen<\/em> dagegen f\u00fcr die Bulk Encryption der Daten.<\/li>\n<li>Neben Vertraulichkeit durch Verschl\u00fcsselung bietet TLS auch eine Authentifizierung und eine Integrit\u00e4tspr\u00fcfung \u00fcber Hashalgorithmen an.<\/li>\n<\/ul>\n<p><strong>Webserver und SSL\/TLS &#8211; Server beweist seine Identit\u00e4t gegen\u00fcber den Clients<\/strong><\/p>\n<p>H\u00e4ufige Verwendung findet TLS auf Webservern, die Clients \u00fcber ein Webserverzertifikat ihren \u00f6ffentlichen Schl\u00fcssel anbieten. Vertraut der Client dem Zertifikat (zus\u00e4tzlich kann er noch eine Sperrlistenpr\u00fcfung durchf\u00fchren &#8211; siehe auch <a title=\"Certificate Chaining \u2013 Prozess mit dem Anwendungen Zertifikate validieren\" href=\"http:\/\/lkl-it.de\/blog\/?p=408\">Certificate Chaining and Validation<\/a>), so kann er mit dem \u00f6ffentlichen Schl\u00fcssel des Webservers verschl\u00fcsselten Web-Verkehr sicher \u00fcber ein eigentlich unsicheres Netz \u00fcbertragen.<\/p>\n<p style=\"text-align: center;\"><a href=\"http:\/\/lkl-it.de\/blog\/?attachment_id=537\" rel=\"attachment wp-att-537\"><img loading=\"lazy\" class=\"aligncenter  wp-image-537\" title=\"ssl_tunnel_client_to_webserver\" src=\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/ssltunnelclientwebserver1.jpg\" alt=\"ssl tunnel client to webserver\" width=\"400\" height=\"352\" srcset=\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/ssltunnelclientwebserver1.jpg 555w, http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/ssltunnelclientwebserver1-300x264.jpg 300w\" sizes=\"(max-width: 400px) 100vw, 400px\" \/><\/a><\/p>\n<div>\n<p><strong>SSL\/TLS und Clientauthentifizierung &#8211; der Client beweist seine Identit\u00e4t gegen\u00fcber dem Webserver<\/strong><\/p>\n<p>Standardm\u00e4\u00dfig authentifiziert sich nur der Server gegen\u00fcber dem Client indem er sein Zertifikat pr\u00e4sentiert, der Webserver kann aber zus\u00e4tzlich so konfiguriert werden, dass auch er eine Authentifizierung des Clients \u00fcber ein Clientzertifikat verlangt.<\/p>\n<p>Dabei gibt es im IIS zwei M\u00f6glichkeiten, die beide den potenziellen Anwenderkreis einschr\u00e4nken:<\/p>\n<p><span style=\"text-decoration: underline;\"><span style=\"color: #000000; text-decoration: underline;\"><em>&#8211;\u00a0Zertifikat ohne Certificate Mapping<\/em><\/span>:<\/span> Der Client ben\u00f6tigt ein Zertifikat mit Clientauthentifizierungs-EKU um sich zu Authentifizieren. Es wird lediglich die G\u00fcltigkeit des Zertifikats, sowie die Vertrauensw\u00fcrdigkeit des Ausstellers gepr\u00fcft. Ein etwaiges Login Formular muss aber vom Anwender weiterhin manuell mit Benutzername\/Passwort ausgef\u00fcllt werden.<\/p>\n<p><span style=\"text-decoration: underline;\"><span style=\"color: #333333;\"><em>&#8211;\u00a0\u00a0Zertifikat mit Certificate Mapping:<strong> <\/strong><\/em><\/span><\/span>Im Verzeichnisdienst oder direkt am Webserver wird eine Zuweisung eines (<em>1:1 Mapping<\/em>) oder mehrerer Zertifikate (<em>N:1 Mapping<\/em>) mit einem Benutzerkonto erstellt. Pr\u00e4sentiert der Zugriffsclient dann ein zum Mapping passendes Zertifikat, so wird er automatisch als das entsprechende Benutzerkonto authentifiziert und braucht keine Benutzername\/Passwort Kombination mehr einzugeben. Somit sind Erraten des Passwortes, sowie einfache Social Engineering bzw. Brute Force Angriffe auf das selbige kaum mehr m\u00f6glich.<br \/>\n<a href=\"http:\/\/lkl-it.de\/blog\/?attachment_id=529\" rel=\"attachment wp-att-529\"><img loading=\"lazy\" class=\"aligncenter size-full wp-image-529\" title=\"ClientAuthentication-ExchangeActiveSync\" src=\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/ClientAuthentication-ExchangeActiveSync.jpg\" alt=\"Exchagne Active Sync mit Client Zertifikaten\" width=\"1052\" height=\"645\" srcset=\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/ClientAuthentication-ExchangeActiveSync.jpg 1052w, http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/ClientAuthentication-ExchangeActiveSync-300x183.jpg 300w, http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/ClientAuthentication-ExchangeActiveSync-1024x627.jpg 1024w\" sizes=\"(max-width: 1052px) 100vw, 1052px\" \/><\/a><\/p>\n<ul>\n<li>In einem mittelst\u00e4ndischen Unternehmen eignet sich TLS in Kombination mit dem HTTPS Protokoll vor allem, um Kunden einen sicheren Zugriff auf <em>Portal- bzw. Extranetl\u00f6sungen<\/em> \u00fcber das Web zu gew\u00e4hren.<\/li>\n<li>Auch f\u00fcr das sichere Abrufen von Unternehmens-Emails \u00fcber Smartphones wird TLS in Kombination mit <em>Active Sync over Exchange<\/em> eingesetzt.<\/li>\n<li>Ebenso arbeiten <em>Terminalserver<\/em> &#8211; alternativ zum RDP Protokoll &#8211; mit TLS.<\/li>\n<\/ul>\n<p>Der Nachteil von TLS liegt darin, dass die \u00a0IP Quell- und Zieladresse der Kommunikationspartner nicht verborgen werden und es daher anf\u00e4llig f\u00fcr Datenverkehrsanalysen ist \u2013 weiterhin ist keine Garantie der Nichtabstreitbarkeit m\u00f6glich.<\/p>\n<div>\n<hr align=\"left\" size=\"1\" width=\"33%\" \/>\n<div>\n<p>Vgl. Morimoto, Rand et al.: \u201e<a title=\"Windows Server 2003 Unleashed\" href=\"http:\/\/www.amazon.com\/dp\/0672328984\">Windows Server 2003 unleashed<\/a>\u201c, S. 344-345.<\/p>\n<p>&nbsp;<\/p>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>TLS (Transport Layer Security) bzw. vormals SSL (Secure Socket Layer) \u00a0Verschl\u00fcsselung ist das am weitesten verbreitete Anwendungsszenario einer PKI. TLS erm\u00f6glicht die Erstellung eines sicheren Kanals zwischen zwei Endpunkten, indem es bestimmten Anwendungsverkehr (HTTPS, SMTPS, FTP over SSL etc.) auf &hellip; <a href=\"http:\/\/lkl-it.de\/blog\/?p=516\">Weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[4,3],"tags":[],"_links":{"self":[{"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/posts\/516"}],"collection":[{"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=516"}],"version-history":[{"count":17,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/posts\/516\/revisions"}],"predecessor-version":[{"id":518,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=\/wp\/v2\/posts\/516\/revisions\/518"}],"wp:attachment":[{"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=516"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=516"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/lkl-it.de\/blog\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=516"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}