Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Bedrohungen für Zertifikatdienste und Eindämmungsmöglichkeiten 277
Sie können diesen Angriff verhindern, indem Sie die Anwendungen sperren, um sicherzustellen,
dass sie eine Zertifikatsperrprüfung erzwingen. Zum Beispiel können Sie in
Internet Explorer die Zertifikatsperrprüfung über Gruppenrichtlinien aktivieren.
Sie können ein Gruppenrichtlinienobjekt definieren, das die Einstellung Benutzerkonfiguration\Administrative
Vorlagen\Windows-Komponenten\Internet Explorer\Internetsystemsteuerung\Seite
"Erweitert"\Auf gesperrte Serverzertifikate überprüfen aktiviert,
um die Zertifikatsperrprüfung für alle Webserverzertifikate zu erzwingen. Genauso können
Sie die Einstellung Benutzerkonfiguration\ Administrative Vorlagen\Windows-Komponenten\Internet
Explorer\Internetsystemsteuerung\Seite "Erweitert"\Installation bzw.
Ausführung von Software zulassen, auch wenn die Signatur ungültig ist aktivieren, um
die Zertifikatsperrprüfung für Anwendungen zu erzwingen.
Ein Angreifer kann den Zugriff auf die Server unterbinden, die die CRLs oder Zertifizierungsstellenzertifikate
hosten. Falls eine Anwendung keine zwischengespeicherten,
aktuellen Versionen der Zertifikatsperrliste oder Zertifizierungsstellenzertifikate hat,
versucht die Anwendung, eine neue Version herunterzuladen. Dabei geht sie nach folgendem
Schema vor:
AIA-URLs (Authority Information Access) erlauben den Download von aktualisierten
Zertifizierungsstellenzertifikaten, falls ein Zertifizierungsstellenzertifikat
erneuert oder noch nicht auf den Client heruntergeladen wurde.
Zertifikatsperrlisten erlauben den Download von aktualisierten Basis-CRLs oder
Delta-CRLs (eine gekürzte Liste, die nur Zertifikate umfasst, die seit der Veröffentlichung
der letzten Basis-CRL gesperrt wurden).
Hinweis Bei der Zertifikatsperrprüfung müssen das Client- oder Serverzertifikat und alle Zertifizierungsstellenzertifikate
in der Zertifikatkette geprüft werden. Falls irgendein Zertifikat in der Kette die
Zertifikatsperrprüfung nicht besteht, gilt das Client- oder Serverzertifikat als gesperrt. Falls irgendeine
Zertifikatsperrliste nicht verfügbar ist, wird das Zertifikat als nicht vertrauenswürdig eingestuft. Die Anwendung
zeigt daraufhin meist eine Meldung an, dass der Sperrstatus nicht ermittelt werden kann.
Ein Angreifer kann den Zugriff auf den Servercluster verhindern, der als OCSP-Responder
(Online Certificate Status-Protokoll) agiert. OCSP ist ein Protokoll, das benutzt wird,
um bei einem OCSP-Responder den Zertifikatstatus eines einzelnen Zertifikats abzufragen,
dessen Seriennummer dabei angegeben wird. Der OCSP-Responder antwortet mit
einer von drei möglichen Nachrichten: »OK«, »Gesperrt« (revoked) oder »Sperrstatus
kann nicht ermittelt werden« (cannot determine revocation status). Falls der OCSP-
Client nicht mit dem OCSP-Responder kommunizieren kann, stuft die Anwendung das
Zertifikat als gesperrt ein, mit dem Grund »Sperrstatus kann nicht ermittelt werden«.
Direkt von der Quelle: Vorsicht bei HTTP-URLs auf mehreren Servern
Passen Sie auf, wenn Sie Zertifizierungsstellenzertifikate oder CRLs auf mehreren Servern
hosten. Die Batchdatei, die das Zertifizierungsstellenzertifikat und die CRLs auf den
Hostwebserver überträgt, muss sicherstellen, dass das Zertifizierungsstellenzertifikat oder
die Zertifikatsperrliste auf alle Server im Cluster oder in der Servergruppe kopiert wird.
Falls Zertifizierungsstellenzertifikat oder Zertifikatsperrliste nur auf einigen der Knoten
im Cluster zur Verfügung steht, erhalten einige Clients bei der Sperrprüfung einen Fehler.