FAQ
Produkt-Features
Keycloak ermöglicht die flexible Nutzung verschiedener Authentifizierungsprotokolle über eine zentrale Sign-In und Sign-Out Funktion für alle MTG ERS® Anwendungen (CLM, PKI, KMS):
- OpenID Connect und SAML support
- Support für Google reCAPTCHA um die Anmeldung gegen Bots zu schützen
- Multi-Faktor-Authentifizierung mit OTP für zusätzliche Sicherheit (TOTP, HOTP)
- Starke Authentifizierung mit X.509 Zertifikaten
- Konfigurierbare Passwort Policies mit Optionen für Länge, Zeichen, Komplexität usw.
- Konfigurierbare Authentifizierungsabläufe, die eine Feinabstimmung jedes einzelnen Anmeldeprozesses ermöglichen
- LDAP, Active Directory- und andere Kerberos-Integrationen verfügbar
- Unterstützung der neuesten W3C-Spezifikation für Web Authentifizierung (WebAuthn)
Das Importieren Ihrer Unternehmenszertifikate in das zentrale Zertifikatsverwaltungssystem ist jederzeit manuell möglich. Sofern Automatisierungsmöglichkeiten bestehen, lässt sich der Import noch einfacher durchführen.
- Umfassende, benutzerfreundliche Dashboards bieten Einblicke in den Zertifikatsstatus der einzelnen Geschäftsbereiche und ermöglichen einen schnellen Überblick.
- Erweiterte Filter- und Suchfunktionen ermöglichen eine einfache Identifizierung und Darstellung der Ergebnisse, die dann problemlos im CSV-Format zur weiteren Verarbeitung exportiert werden können.
- Protokollierung von Ereignissen in einem zentralen Log, das für CLM-Administratoren zugänglich ist und die Nachverfolgung Tätigkeiten in der Anwendung erlaubt.
- Die jeweiligen Bereiche (sog. Realms) können z.B. nach Abteilungen, Benutzergruppen oder Hierarchien gegliedert werden.
- Unterschiedliche Benutzer mit Leserechten oder Konfigurationsrechten für Zertifikate können eingerichtet werden.
- Die Benachrichtigungsregeln können individuell angepasst werden.
- Die Benutzeroberfläche passt sich den jeweiligen Einstellungen an.
MTG Doku: User Guide „Authentication“
- Einschränkung der Auswahl nur auf zugelassene Algorithmen
- Einschränkungsmöglichkeiten nur auf zugelassenes Schlüsselmaterial
- Einstellung der Gültigkeitsdauer von Zertifikaten
- Auswahlmöglichkeit für die manuelle oder automatische Genehmigung von Zertifikatsanträgen
- Etablierung eines 4-Augen-Prinzips
Öffentliche Zertifikate werden für die gesicherte Kommunikation mit externen Entitäten benötigt. Möchte man die Beantragung, den Import und den Betrieb mit dem CLM vereinfachen ist die technische Anbindung an das CLM empfehlenswert. Aktuell ist das mit den Public CAs von der PSW Group und GlobalSign möglich. Es ist geplant, einen zentralen Zugang für alle wichtigen Public CA Anbieter anzubieten. Auf Anfrage können andere Public-CA Anbieter angebunden werden.
Der Einsatz von HSM zum Schutz der privaten Schlüssel ist unseres Erachtens ein MUSS für die IT-Sicherheit. Ein Hardware Security Modul (HSM) wird immer dann benötigt, wenn in Infrastrukturen kryptografische Schlüssel besonders gut gegen Angriffe – sowohl auf die Software, als auch auf die Hardware – geschützt werden sollen. HSM erzeugen und verwalten kryptografische Schlüssel und sichern somit digitale Identitäten. Damit bilden HSM den Vertrauensanker zum Schutz digitaler Daten.
Ein sicheres Management der verwendeten kryptografischen Schlüssel wird in allen gesetzlichen Bestimmungen verlangt, in denen IT-Sicherheit nach dem Stand der Technik gefordert wird. Dazu gehören Anforderungen aus der DSGVO, DIN ISO 27001 und NIS2. In sensiblen Bereichen, wie etwa Bereichen der kritischen Infrastruktur haben sich dabei HSMs als De Facto Standard etabliert.
Die kundenspezifischen Signing Keys der MTG PKI Software werden über ein nShield Hardware Security Modul der Firma Entrust abgesichert. Es gibt jeweils ein HSM an den Standorten Darmstadt und Frankfurt, die über einen RFS-Server (RFS = Remote File System) geclustert sind. Entrust nShield Connect HSMs sind zertifiziert nach FIPS 140-2 Level 3 und Common Criteria EAL4+ (EN 419 221-5).
Digitale Zertifikate bieten eine zusätzliche Ebene der Authentifizierung und Sicherheit, die über das einfache Wissen von Passwörtern hinausgeht und zusätzlich den Besitz eines zum Zertifikat gehörigen geheimen Wertes erfordert.
Digitale Zertifikate können zur Authentifizierung und Autorisierung von Benutzern und Geräten in verschiedenen Unternehmensnetzwerken verwendet werden. Typische Beispiele sind Windows Benutzer, Computer, Laptops, Firewalls, Router, Switches und IoT Devices.
Sehr häufig werden zertifikatsbasierte Authentifizierungsverfahren im Microsoft Umgebungen umgesetzt. Das Microsoft Active Directory (AD) bietet hierfür eine zentrale Plattform für die Verwaltung von Benutzeridentitäten, Zugriffsrechten und Richtlinien. Ein AD kann beispielsweise in Verbindung mit einem Authentisierungs-Server (z.B. RADIUS, Remote Authentication Dial-In User Service) eine zertifikatsbasierte Authentifizierung und Autorisierung von Benutzern in lokalen Netzen, etwa einem WLAN, umsetzen.
In VPNs (Virtual Private Networks) werden PKIs verwendet, um die Identität der kommunizierenden Parteien zu authentifizieren und eine sichere, verschlüsselte Verbindung über öffentliche Netzwerke hinweg zu etablieren. Dies ist entscheidend für den Schutz sensibler Unternehmensdaten bei Fernzugriffen von Mitarbeitern auf Unternehmens-Ressourcen, z.B. im Home Office. Auch die Verbindung von Unternehmensstandorten lässt sich mittels digitaler Zertifikate absichern. Ferner wird durch die Verwendung von Zertifikaten die Skalierbarkeit des VPN-Dienstes verbessert, da sie einfach zu verwalten und zu verteilen sind, selbst wenn die Anzahl der Nutzer oder Geräte wächst.
Mit diesem Sicherheits-Mechanismus werden Zertifikate genutzt, um den Zugriff von Endgeräten in die Netzwerkinfrastruktur von Unternehmen zu kontrollieren. Endgeräte sind unter anderem PC, Laptop, Drucker oder mobile Geräte. Erst nach erfolgreicher Authentifizierung der Geräte mit einem gültigen Zertifikat wird der Zugriff auf die Netzinfrastruktur (LAN/WLAN) des Unternehmens gewährt. Die Zertifikate müssen hierzu bei dem Netzeingangspunkt (Switch oder WIFI-Zugangspunkt) vorgelegt und von einem Radius-Server authentifiziert werden. Der betreffende Netzeingangspunkt wird erst danach freigeschaltet.
SSL/TLS-Zertifikate sind für die Sicherung von Webanwendungen und -diensten unerlässlich. Dabei kommen Zertifikate einer öffentlichen Zertifizierungsstelle (Public CA) zum Einsatz, deren Gültigkeit von allen Teilnehmern im Internet überprüft werden kann. Bei einer großen Anzahl von Zertifikaten kann ein Certificate Lifecycle Management (CLM) dem Aufwand für die Verwaltung von Zertifikaten und die damit verbundenen Kosten reduzieren.
Digitale Zertifikate tragen im Rahmen des Code Signing wesentlich zur Sicherheit, Integrität und zum Vertrauen in Softwareprodukte und/oder Firmware bei. Diese bestätigen die Identität des Herausgebers der Software. Benutzer können sicher sein, dass die Software tatsächlich von dem angegebenen Unternehmen stammt und nicht von einem unbekannten oder schädlichen Akteur. Wenn Software signiert ist, können Benutzer sicher sein, dass der Code seit der Signierung nicht verändert wurde. Jegliche Modifikationen am Code nach der Signierung würden die digitale Signatur ungültig machen, wodurch Benutzer vor manipulierter oder infizierter Software geschützt werden.
Alle gängigen Anwendungsfälle lassen sich mit dem 360° GSA Angebot umsetzen. Hierzu lassen sich die zahlreichen technischen Schnittstellen, Verwaltungsfeatures und auch die umfassenden Beratungsservices nutzen. Da wir unser System ständig weiterentwickeln und aktuell halten, profitieren unser Nutzer auch von vielen Neuerungen oder optionalen Erweiterungen.
Die Certificate Discovery Funktion ermöglicht ein systematisches Scannen nach unbekannten privaten und öffentlichen Server-Zertifikaten. Der Scanprozess ermöglicht, einen Scan im Netzwerk nach SSL/TLS-Zertifikaten, eine Discovery Funktionalität, die automatisiert LDAP und Active Directory Instanzen auf Zertifikate durchsucht, und eine Recherche in Certificate Transparency Logs. Die gefundenen Zertifikate werden dann in das CLM importiert. Diese Funktionalität wird das Management von Microsoft Zertifikate im CLM erheblich erleichtern.
- Identifizieren und importieren Sie automatische alle Zertifikate ohne zusätzlichen manuellen Aufwand in Ihr System.
- Erstellen Sie schnell und einfach ein digitales Inventar aller öffentlichen und privaten TLS/SSL-Zertifikate des Unternehmens.
- Verschaffen Sie sich so einen vollständigen und visuellen Überblick über alle eingesetzten Zertifikate und die zugehörigen Geräte.
- Erkennen Sie auch unbekannte Zertifikate in Ihren Umgebungen.
- Analysieren Sie potenzielle Risiken durch Identifikation und Auflistung der eingesetzten Zertifikate mit den verwendeten und ggf. problematischen Krypto-Primitiven.
In der Online Dokumentation finden Sie alle notwendigen Schritte, um Ihre Zertifikate im Unternehmen zu scannen.
Für die zuverlässige und hochleistungsfähige Sperrung von Zertifikaten wird kundenseitig regelmäßig nach bestimmten OCSP und CRL-Funktionalitäten bei einer PKI gefragt. MTG Managed Corporate PKI erfüllt diese Funktionen vollumfänglich:
- OCSP Responder gemäß RFC 6960
- OCSP Stapling gemäß RFC 6961
- LDAP und HTTP CRL Distribution Point Support
Die oberste Vertrauens-Instanz eine PKI ist die sogenannte Root Certification Authority (Root-CA). Diese signiert mit ihrem privaten Schlüssel eine oder mehrere untergeordnete Sub Certification Authorities (kurz: Sub CA’s). Das stellt sicher, dass die Zertifikate ausstellende Instanz, die Sub CA, vertrauenswürdig ist. Eine Root CA enthält sehr sensibles Schlüsselmaterial. Darum ist es wichtig für jeden Kunden eine eigene einzurichten und das Schlüsselmaterial in Hardware Security Modulen besonders zu schützen.
Unter einer Root-CA lassen sich bei Bedarf auch mehrere Sub-CAs einrichten. Das kann beispielsweise hilfreich sein, wenn eine stärkere Trennung von Business Units innerhalb eines Unternehmens erforderlich sein sollte.
Umfassende Automationsschnittstellen sparen Zeit, Geld und reduzieren die Fehleranfälligkeit.
Mit dem CLM können alle Prozesse für Zertifikate automatisiert werden, die aus angebundenen CAs stammen: Aktuell sind das MTG-, Mircosoft-, GlobalSign- und Telekom-CAs.
Der große Vorteil für Microsoft CA Nutzer ist die Möglichkeit, auch Prozesse außerhalb der Mircosoft-Welt zu automatisieren.
Was kann damit automatisiert werden?
- Automatisierung des Zertifikats-Supports für alle wichtigen PKI-Schnittstellen:
- Linux-basierte Server mittels ACME
- Netzwerk-Geräte mittels SCEP, EST & CMP
- Alle anderen Systeme mittels REST & CLI Client
- Mobile Geräte mittels SCEP-Protokoll
Mit dem CLM Autoenrollment Connector haben Sie eine Verbindung von ihrer Public CA oder der MTG PKI zum Microsoft Active Directory.
Damit können Sie Ihre Microsoft PKI (AD CS) mit geringem Aufwand ersetzen!
- Nutzen Sie ab sofort die zukunftssichere MTG PKI für ein breiteres Spektrum an Anwendungsszenarien innerhalb und außerhalb der Windows Welt.
- Behalten sie dabei alle etablierten und automatisierten Windowsprozesse für das Ausstellen, Erneuern und Bereitstellen von Zertifikaten im Microsoft Active Directory bei.
- Integrieren Sie zusätzlich eine Public CA für die Nutzung von öffentlichen Zertifikaten im Rahmen Ihrer automatisierten Windowsprozesse.
Die Einführung der Autoenrollment Komponente hängt stark davon ab, welches Anwendungsszenario beim Kunden vorliegt. Darum sind vor Nutzung zahlreiche Beistellleistungen auf Kundenseite notwendig. MTG unterstützt bei Bedarf bei der Integration der Microsoft PKI (AD CS) zur MTG PKI.
Für die einfachere Integration kann auf Wunsch ein Test-Simulator bereitgestellt werden, der lokal installiert wird, um alle Optionen zu testen. Der Simulator ist eine Java Anwendung die eine einfache PKI simuliert. Das hilft erheblich, um die MS Integration von dem Autoenrollment Connector autark zu testen.
Angebot & Abrechnung
Dieses Paket ist für Kunden geeignet, die Ihre Micorsoft PKI (AD CS) weiter nutzen und mit einem CLM erweitern wollen. Die Verwaltung und Überwachung ihrer Zertifikate soll damit optimieren werden. Interessant ist das Paket auch für Kunden, die viele Public CA Zertifikate mit einem CLM verwalten wollen. Hierzu bieten wir die Anbindung von Public CAs über GlobalSign oder über PSW Group.
Das Ultimate-Paket ist für alle Kunden geeignet, die Ihre Microsoft PKIs (AD CS) mit wenig Aufwand ablösen wollen, um so die Zertifikatsverwaltung zu vereinfachen und schnell und einfach mehr Use-Cases umzusetzen . Es ist ebenfalls geeignet für Kunden, die noch keine PKI haben, aber mit möglichst wenig Fachwissen ihre Zertifikatsbasierten prozesse etablieren und verwalten wollen. Für Kunden, die nicht selbst im eigenen Rechenzentrum eine private PKI betreiben wollen, ist dieses Angebot ebenfalls geeignet. Das kann für Neukunden gelten, die das erste Mal eine PKI nutzen wollen oder müssen oder solche, die eine eigene haben, aber nicht mehr selbst weiter betreiben wollen.
Microsoft PKI (AD CS)
- Besseres Certificate Lifecycle Management: Moderne PKI-Lösungen bieten umfassendere und automatisierte Tools für die Verwaltung des Lebenszyklus von Zertifikaten. Dies umfasst die Ausstellung, Erneuerung, Sperrung und Überwachung von Zertifikaten, was den Verwaltungsaufwand erheblich reduziert und die Sicherheit erhöht.
- Mehr Use-Cases mit weniger Aufwand: Eine modernere PKI kann vielfältigere Anwendungsfälle unterstützen, oft mit deutlich geringerem Aufwand. Dazu gehören unter anderem erweiterte Integrationen, Unterstützung für mobile Geräte, IoT-Sicherheit und Cloud-Umgebungen. Dies ermöglicht es Ihrem Unternehmen, flexibel auf neue Anforderungen und technologische Entwicklungen zu reagieren.
- Für Kunden, die eine Microsoft PKI (AD CS) im Einsatz haben, bieten sich zwei Optionen:
- Professional Paket: Ihre Microsoft PKI wird weiterhin betrieben. Das CLM verwaltet ebenfalls die zertifikatsbasierten Prozesse. Dies ermöglicht eine zentrale Verwaltung und Automatisierung von Zertifikaten, was die Effizienz und Sicherheit erhöht.
- Ultimate Paket: Wenn der CLM Autoenrollment Connector mit dem Ultimate Paket genutzt wird, kann die Microsoft PKI (AD CS) vollständig durch die MTG PKI ersetzt werden, ohne dass die Active Directory-basierten Prozesse geändert werden müssen. Dies bietet eine nahtlose Integration und ermöglicht es Ihnen, von den erweiterten Funktionen und der höheren Flexibilität der modernen PKI zu profitieren.
- Nutzen Sie ab sofort die zukunftssichere MTG PKI für ein breiteres Spektrum an Anwendungsszenarien innerhalb und außerhalb der Windows Welt.
- Behalten sie dabei alle etablierten und automatisierten Windowsprozesse für das Ausstellen, Erneuern und Bereitstellen von Zertifikaten im Microsoft Active Directory bei.
- Integrieren Sie zusätzlich eine Public CA für die Nutzung von öffentlichen Zertifikaten im Rahmen Ihrer automatisierten Windowsprozesse.
Die Microsoft CA (AD CS) kann bestimmte Zertifikate verwalten, jedoch ist der Umfang der weiteren Möglichkeiten begrenzt. Wer ein umfassendes Certificate Lifecycle Management (CLM) benötigt, sollte nach passenden Erweiterungen suchen, wie zum Beispiel unser Angebot.
Ein modernes CLM bietet zahlreiche Vorteile, darunter:
- Webbasierte User Self Services: Diese ermöglichen es Benutzern, Zertifikate selbstständig zu verwalten, was den Verwaltungsaufwand erheblich reduziert.
- Flexibel gestaltbare Certificate Policies: Diese erlauben eine präzise Anpassung der Zertifikatsrichtlinien an die spezifischen Anforderungen Ihres Unternehmens.
- Detaillierte Konfigurationsmöglichkeiten: Mit diesen können Rollen- und Rechteverteilungen exakt definiert werden, um den Sicherheitsanforderungen und Compliance-Vorgaben gerecht zu werden.
Mit einem modernen CLM können Sie also nicht nur den Lebenszyklus Ihrer Zertifikate effizienter verwalten, sondern auch die Sicherheit und Flexibilität Ihrer IT-Infrastruktur erheblich verbessern.
Das können wir nicht pauschal beantworten. Nach unserem Kenntnisstand unterstützen die AD CS (Active Directory Certificate Services) derzeit nicht die folgenden Schnittstellen:
- Enrollment over Secure Transport (EST)
- Automatic Certificate Management Environment (ACME) (es gibt jedoch Lösungen von Drittanbietern)
- Certificate Management Protocol (CMP)
- REST- oder SOAP-basierte Schnittstellen zur Zertifikatbeantragung sind ebenfalls nicht verfügbar
Es gibt auf dem Markt spezialisierte Anbieter, die diese Lücken mit zu lizenzierenden Bausteinen schließen können. Unser aktuelles 360° Managed PKI & CLM Angebot deckt jedoch alle oben genannten Bausteine ohne zusätzliche Mehrkosten in den beiden Paketen Professional und Ultimate ab.
Das bedeutet, dass Sie mit unserer Lösung eine umfassende Unterstützung für verschiedene Use-Cases erhalten, ohne sich um zusätzliche Kosten oder Kompatibilitätsprobleme kümmern zu müssen. So können Sie sicherstellen, dass Ihre PKI alle aktuellen und zukünftigen Anforderungen erfüllt.
Die Active Directory Certificate Services (AD CS) existieren im Wesentlichen (wenn auch unter anderem Namen) seit Windows NT 4.0. Die heute genutzte, auf Active Directory basierende Architektur wurde mit Windows 2000 Server eingeführt.
Die AD CS sind entsprechend gut in das Windows-Ökosystem integriert und genießen weiterhin weltweit große Beliebtheit in Unternehmen und Behörden jeder Größenordnung. Diese langjährige Integration und weit verbreitete Nutzung spricht für die Zuverlässigkeit und Stabilität der Microsoft PKI (AD CS).
Allerdings bedeutet dies auch, dass die grundlegende Technologie und einige der implementierten Protokolle nicht die neuesten Innovationen und Sicherheitsstandards reflektieren. Um modernen Sicherheitsanforderungen gerecht zu werden und von den neuesten Entwicklungen in der Kryptographie und PKI-Technologie zu profitieren, kann die Ergänzung oder der Ersatz durch eine modernere PKI-Lösung sinnvoll sein.
Eine moderne PKI bietet nicht nur höhere Sicherheit und bessere Automatisierungsfunktionen, sondern auch umfassendere Unterstützung für aktuelle und zukünftige Anwendungsfälle in hybriden und cloudbasierten Umgebungen.
Nein. Bei den Active Directory Certificate Services (AD CS) ist es erforderlich, pro logischer Zertifizierungsstelle eine komplette Windows Server Instanz zu betreiben. Je nach Unternehmensgröße kann es durchaus sinnvoll sein, Zertifizierungsstellen nach Einsatzzweck zu trennen und zu begrenzen.
Außerdem gibt es häufig mehrere Active Directory-Umgebungen und Zertifizierungsstellen-Hierarchien. Dies führt zwangsläufig zu einer höheren Anzahl von Zertifizierungsstellen-Servern, die alle verwaltet, gehärtet, aktualisiert, gepflegt und finanziert werden müssen.
Aus Sicht der PKI-Technologie ist es jedoch problemlos möglich, mehrere Zertifizierungsstellen auf dem gleichen Server zu betreiben und so Kosten zu sparen. Führende PKI-Spezialisten ermöglichen dies heutzutage problemlos. Durch den Einsatz moderner PKI-Lösungen können Sie die Anzahl der benötigten Serverinstanzen reduzieren, die Verwaltung vereinfachen und die Betriebskosten senken.
Ja, die Zertifikatvorlagen werden im Active Directory gespeichert. Allerdings gibt es einige Einschränkungen:
- Automatische Erstellung und Bearbeitung: Es existiert keine offizielle Methode zur automatischen Erstellung und Bearbeitung von Zertifikatvorlagen. Dies bedeutet, dass Änderungen manuell durchgeführt werden müssen, was zeitaufwendig und fehleranfällig sein kann.
- Globale Konfiguration: Die Konfiguration der Zertifikatvorlagen wirkt sich global auf alle ausgestellten Zertifikate einer bestimmten Zertifizierungsstelle aus. Wenn eine differenzierte Handhabung erforderlich ist, muss eine zusätzliche Zertifizierungsstelle eingerichtet werden.
- Zusätzliche Ressourcen: Die Einrichtung zusätzlicher Zertifizierungsstellen erfordert die Bereitstellung weiterer Windows-Server, was zusätzliche Kosten und administrativen Aufwand verursacht.
Moderne PKI-Lösungen bieten hier deutlich mehr Flexibilität und Automatisierungsmöglichkeiten. Sie ermöglichen eine feinere Granularität bei der Verwaltung von Zertifikatsrichtlinien und -vorlagen und unterstützen automatische Prozesse zur Erstellung und Verwaltung. Dies reduziert den Verwaltungsaufwand erheblich und minimiert das Risiko von Fehlern. Durch den Einsatz einer modernen PKI können Sie somit nicht nur die Integration und Verwaltung von Zertifikaten optimieren, sondern auch die Betriebskosten senken und die Effizienz Ihrer IT-Infrastruktur steigern.
Wenn Änderungen an der Konfiguration einer Zertifizierungsstelle vorgenommen werden, erfordert dies einen Neustart des Dienstes. Dies hat zur Folge, dass die Verfügbarkeit der Zertifizierungsstelle vorübergehend unterbrochen wird.
Diese Unterbrechung kann kritisch sein, insbesondere wenn die Zertifizierungsstelle häufig verwendet wird oder wenn die Änderungen während wichtiger Betriebszeiten vorgenommen werden müssen. Moderne PKI-Lösungen bieten hier Vorteile durch Features wie:
- Keine Neustarts erforderlich: Viele moderne PKI-Systeme ermöglichen es, Konfigurationsänderungen vorzunehmen, ohne dass ein Neustart des Dienstes erforderlich ist. Dies minimiert Ausfallzeiten und gewährleistet eine kontinuierliche Verfügbarkeit.
- Redundante Konfiguration: Einige Lösungen bieten die Möglichkeit, Änderungen auf einer redundanten Instanz vorzunehmen und zu testen, bevor sie live geschaltet werden. Dies gewährleistet, dass die Hauptinstanz weiterhin verfügbar bleibt.
- Automatisierte Rollbacks: Im Falle eines Fehlers können moderne PKI-Systeme automatische Rollbacks auf die vorherige Konfiguration durchführen, um schnell zur vollen Funktionalität zurückzukehren.
Durch den Einsatz einer modernen PKI-Lösung können Sie somit die Verfügbarkeit Ihrer Zertifizierungsdienste maximieren und gleichzeitig die Flexibilität und Effizienz bei der Verwaltung und Konfiguration Ihrer PKI-Infrastruktur erhöhen.
Mit dem CLM Autoenrollment Connector haben Sie eine Verbindung von ihrer 360° Managed PKI & CLM zum Microsoft Active Directory. Damit können Sie mit wenig Aufwand Ihre Microsoft PKI (ADCS) ersetzen!
- Nutzen Sie ab sofort die zukunftssichere MTG PKI für ein breiteres Spektrum an Anwendungsszenarien innerhalb und außerhalb der Windows Welt.
- Behalten sie dabei alle etablierten und automatisierten Windowsprozesse für das Ausstellen, Erneuern und Bereitstellen von Zertifikaten im Microsoft Active Directory bei.
- Integrieren Sie zusätzlich eine Public CA für die Nutzung von öffentlichen Zertifikaten im Rahmen Ihrer automatisierten Windowsprozesse.
Die Einführung der Autoenrollment Komponente hängt stark davon ab, welches Anwendungsszenario beim Kunden vorliegt. Darum sind vor Nutzung zahlreiche Beistellleistungen auf Kundenseite notwendig. MTG unterstützt bei Bedarf bei der Integration der Microsoft PKI zur MTG PKI.
Für die einfachere Integration kann auf Wunsch ein Test-Simulator bereitgestellt werden, der lokal installiert wird, um alle Optionen zu testen. Der Simulator ist eine Java Anwendung die eine einfache PKI simuliert. Das hilft erheblich, um die MS Integration von dem Autoenrollment Connector autark zu testen.
Eine wesentliche Schnittstelle zur Zertifikatbeantragung bei ADCS ist die RPC/DCOM bzw. MS-WCCE, die jedoch proprietär ist und eher für On-Premise-Umgebungen sowie kaum für die Cloud-native Welt optimiert ist. Diese Schnittstelle ist auf Active Directory Authentisierungsverfahren beschränkt. Als wesentliche Schnittstelle steht SCEP zur Verfügung, die jedoch in vielen Fällen zu erhöhtem Aufwand führt, um bestimmte Automatisierungsprozesse umzusetzen.
Nach unserem Kenntnisstand unterstützen die ADCS derzeit nicht die folgenden wichtigen Schnittstellen:
- Enrollment over Secure Transport (EST)
- Automatic Certificate Management Environment (ACME) (es gibt jedoch Lösungen von Drittanbietern)
- Certificate Management Protocol (CMP)
- REST- oder SOAP-basierte Schnittstellen zur Zertifikatbeantragung sind ebenfalls nicht verfügbar
Es gibt spezialisierte Anbieter auf dem Markt, die diese Lücken mit lizenzierbaren Bausteinen schließen können. Unser aktuelles 360° Managed PKI & CLM Angebot deckt alle oben genannten Schnittstellen und Funktionen ohne zusätzliche Mehrkosten in den Paketen Professional und Ultimate ab.
Diese moderne PKI-Lösung ermöglicht Ihnen die Nutzung gängiger Schnittstellen und unterstützt die Automatisierung und Integration in verschiedene IT-Umgebungen, einschließlich Cloud-Services, was Ihre Flexibilität und Effizienz erheblich steigern kann.
Der Registrierungsdienst für Netzwerkgeräte (NDES) weist mehrere Einschränkungen auf, die bei der Implementierung und Nutzung berücksichtigt werden sollten:
- Fehlende Richtliniendefinition: NDES erlaubt keine Definition von spezifischen Richtlinien für Zertifikatbeantragungen. Dies bedeutet, dass jede Kombination aus Zertifizierungsstelle, Zertifikatvorlage und Passwortrichtlinie individuell konfiguriert werden muss.
- Separate Server-Instanzen: Jede Kombination aus Zertifizierungsstelle, Zertifikatvorlage und Passwortrichtlinie erfordert eine eigene, kostenpflichtige Windows-Server-Instanz. Dies kann zu erheblichen zusätzlichen Kosten und administrativem Aufwand führen.
- Keine Hochverfügbarkeit: Hochverfügbarkeit ist mit NDES nicht möglich, da es keinen Replikationsmechanismus für Einmalkennwörter gibt. Ein Ausfall des Servers würde daher zu einer Unterbrechung der Zertifikatdienste führen.
- Veraltete CSP-Schnittstellen: NDES verwendet veraltete Cryptographic Service Provider (CSP)-Schnittstellen, was die Nutzung moderner kryptografischer Verfahren und Technologien einschränkt.
- Keine Unterstützung für elliptische Kurven: NDES unterstützt keine elliptischen Kurven, die in vielen modernen kryptografischen Anwendungen verwendet werden. Dies kann die Sicherheit und Effizienz Ihrer PKI beeinträchtigen.
Für eine moderne und zukunftssichere PKI-Implementierung sollten Sie daher in Erwägung ziehen, alternative Lösungen zu prüfen, die diese Einschränkungen nicht aufweisen. Moderne PKI-Lösungen bieten umfangreichere Funktionen, bessere Skalierbarkeit, Hochverfügbarkeitsoptionen und Unterstützung für aktuelle kryptografische Standards, einschließlich elliptischer Kurven.
Da die Zertifizierungsstellen-Server Mitglieder des Active Directory sind, können sie auf vielfältige Weise kompromittiert werden, etwa durch Gruppenrichtlinien, Anmeldung von unberechtigten Konten mit Administrator-Rechten oder kompromittierte Dienstkonten.
Das Gleiche gilt für die Sperrlistenveröffentlichung und die Beantragung der OCSP-Antwortsignaturzertifikate. Diese werden mit den Active Directory-Mechanismen authentifiziert. Sicherheitskritische Sperrlisten- und OCSP-Server, die oft mit dem Internet verbunden sind, befinden sich daher in der Regel in derselben Active Directory-Gesamtstruktur wie die Zertifizierungsstellen und werden häufig auch mit denselben Konten administriert. Dadurch besteht ein erhöhtes Risiko, dass eine Kompromittierung eines Sperrlisten- oder OCSP-Servers auch die Zertifizierungsstellen gefährdet.
Moderne PKI-Lösungen bieten hier erweiterte Sicherheitsmechanismen, um diese Risiken zu minimieren. Dazu gehören:
- Isolierte Umgebungen: OCSP-Responder und Sperrlistenserver können in isolierten Umgebungen betrieben werden, die von den Zertifizierungsstellen getrennt sind, um die Ausbreitung von Kompromittierungen zu verhindern.
- Stärkere Authentifizierungsmechanismen: Der Einsatz von Multi-Faktor-Authentifizierung und rollenbasierter Zugriffskontrolle reduziert das Risiko unberechtigter Zugriffe.
- Regelmäßige Sicherheitsüberprüfungen: Regelmäßige Audits und Sicherheitsüberprüfungen können helfen, potenzielle Schwachstellen frühzeitig zu erkennen und zu beheben.
Durch den Einsatz moderner PKI-Technologien und Best Practices können Sie die Sicherheit und Zuverlässigkeit Ihrer OCSP-Responder und Zertifizierungsstellen deutlich erhöhen.
Der Schutz des Zugangs zu Ihrem Active Directory (AD) ist besonders wichtig, wenn Sie die MTG PKI zusammen mit dem MS AD Gateway nutzen. Hier sind einige Maßnahmen, die Sie ergreifen können, um die Sicherheit zu erhöhen:
- VPN (Virtual Private Network): Nutzen Sie ein VPN, um eine sichere und verschlüsselte Verbindung für den Zugang zu Ihrem Netzwerk und Ihrem AD zu gewährleisten. Dies ist eine grundlegende Maßnahme, um unbefugten Zugriff zu verhindern.
- Multi-Faktor-Authentifizierung (MFA): Implementieren Sie MFA für alle Benutzer, die auf das AD zugreifen. Dies stellt sicher, dass zusätzlich zum Passwort ein weiterer Identitätsnachweis erforderlich ist, was die Sicherheit erheblich erhöht.
- Network Access Control (NAC): Setzen Sie NAC ein, um den Zugang zum Netzwerk basierend auf Benutzerrollen, Gerätetypen und anderen Kriterien zu kontrollieren. NAC hilft dabei, nur autorisierten Geräten und Benutzern Zugang zu gewähren.
- Segmentierung und Mikrosegmentierung: Teilen Sie Ihr Netzwerk in kleinere, isolierte Segmente auf. Dadurch wird der Zugriff auf das AD auf bestimmte Netzwerksegmente beschränkt und die Ausbreitung potenzieller Bedrohungen minimiert.
- Least Privilege Prinzip: Stellen Sie sicher, dass Benutzer nur die minimal erforderlichen Rechte haben, die sie für ihre Aufgaben benötigen. Dies verringert das Risiko von Insider-Bedrohungen und unbeabsichtigten Fehlern.
- Überwachung und Protokollierung: Implementieren Sie umfassende Überwachungs- und Protokollierungsmechanismen, um ungewöhnliche Aktivitäten frühzeitig zu erkennen und darauf reagieren zu können. Nutzen Sie SIEM (Security Information and Event Management)-Lösungen zur Analyse und Verwaltung von Protokollen.
- Hardened AD Servers: Sichern Sie Ihre AD-Server durch spezielle Härtungsmaßnahmen. Dazu gehört das Entfernen unnötiger Dienste, regelmäßige Sicherheitsupdates, und die Verwendung sicherer Konfigurationsstandards.
Durch die Kombination dieser Maßnahmen können Sie den Zugang zu Ihrem Active Directory wirksam schützen und die Sicherheit Ihrer gesamten IT-Infrastruktur erheblich verbessern.
Ja, das ist ohne Probleme möglich.
Die „Key Storage Provider“ Schnittstelle ist nicht dafür ausgelegt, mit Netzwerk-Appliances zu arbeiten. Wenn beispielsweise ein Netzwerk-Hardware-Sicherheitsmodul (HSM) verwendet wird und die Verbindung zu diesem kurzzeitig unterbrochen wird, kann der Zertifizierungsstellen-Dienst den privaten Schlüssel der Zertifizierungsstelle nicht mehr nutzen. Dies führt zu mehreren Problemen:
- Fehlgeschlagene Zertifikatanträge: Da der Zertifizierungsstellen-Dienst den privaten Schlüssel nicht mehr nutzen kann, schlagen alle Zertifikatanträge fehl, bis die Verbindung wiederhergestellt und der Dienst neu gestartet wird.
- Sperrlisten-Erstellung: Sperrlisten können ebenfalls nicht mehr erstellt werden, was die Verwaltung und Durchsetzung der Zertifikatsperrungen beeinträchtigt.
Microsoft Cloud PKI Intune
Stand heute ist die Microsoft Cloud PKI eine Lösung, die einen einzigen Use-Case bedienen soll, nämlich die Zuweisung bzw. Erneuerung und Verteilung von Zertifikaten an über Intune verwaltete Geräte. Diese müssen SCEP und PKCS#7 unterstützen, über das die Zertifikate verteilt werden. Die Spanne an Gerätetypen, die man über Intune verwalten kann, ist also begrenzt (z. B. keine Server oder Netzwerkgeräte). Ob in Zukunft eine Erweiterung der Möglichkeiten geplant ist, ist uns aktuell nicht bekannt.
Der gesamte Dienst mit all seinen Komponenten und Funktionen läuft in der Cloud. Es gibt keinerlei Komponenten, die On-Premise laufen müssen oder vorausgesetzt werden. Damit ist es eine geeignete Lösung für native Cloud-Kunden, die selbst keinerlei IT mehr im Hause haben und begrenzte Funktionen in Sachen Zertifikate erwarten. So können beispielsweise keine SSL/TLS oder SMIME Zertifikate ausgestellt werden, oder Zertifikate für nicht in Intune verwaltete Systeme. Es ist zudem nicht möglich, Zertifikate zu exportieren, um sie an anderen Systemen zu verwenden.
Man kann maximal zwei Stufen der PKI erzeugen, z. B. eine Root-CA und eine Ebene für Issuing-CAs. Es wäre aber möglich, die Root-CA im eigenen Hause zu haben (BYOCA) und die Issuing-CA bei Microsoft zu erzeugen. Aktuell ist eine weitere Begrenzung, dass maximal 6 CAs erstellt werden können, eine vorhandene zudem nicht mehr selbst gelöscht werden kann. Müsste man das tun, müsste man einen Support-Call bei Microsoft öffnen. Auch in Hinsicht auf die Richtlinien ist die aktuelle Lösung limitiert. Es kann nur eine Richtlinie für die Zertifikate erzeugt werden und diese gilt für alle auszustellenden Zertifikate. Sobald hier Änderungen vorgenommen werden (z. B. Verschlüsselungs- oder Hash-Algorithmen, oder Schlüssellängen), würden alle Zertifikate neu erzeugt und ausgerollt.
Die CA kann aktuell RSA Key mit einer Länge von 2048, 3072 oder 4096 erstellen. Die Hash-Algorithmen umfassen SHA-256, SHA-384 und SHA-512. Das ist aktuell ausreichend. Technologien wie Elliptic curve sind nicht verfügbar.
Ja, aber eingeschränkt auf den einzigen Use-Case: die Zuweisung bzw. Erneuerung und Verteilung von Zertifikaten an über Intune verwaltete Geräte. Da Microsoft mit der Cloud PKI (AD CS) nichts anderes bedienen kann als über Intune verwaltete Geräte, die das SCEP Profil unterstützen, ist ein CLM in gewisser Weise automatisch gegeben. Zertifikate werden automatisch erstellt, verteilt und erneuert. Eine Benutzeraktion ist nicht erforderlich und es kann keine abgelaufenen (und vergessenen) Zertifikate geben. Über den in der Cloud PKI definierten Use-Case hinaus können keine Zertifikate erstellt oder verteilt werden, deshalb ist auch für diesen Anwendungsfall kein weiteres CLM notwendig.
Aktuell werden die Schlüssel über Azure HSM abgebildet, für die man kein Azure-Abo benötigt. Eine Nutzung von Drittanbieter HSM ist aktuell nicht möglich.
Nein, weil es sich bei der Cloud PKI nicht um einen Nachfolger von AD CS handelt, es ist ein Dienst für die Erstellung und Verteilung von Zertifikaten für exakt einen Use-Case, nämlich Geräte, die über Intune verwaltet werden.
Beratung & Support
Unsere PKI-Experten sind für Sie erreichbar und können Sie in jeder Phase der Planung, Umsetzung, Betrieb und Weiterentwicklung Ihres Systems unterstützen. Für Ihre bestmögliche Planungs- und Ergebnissicherheit haben wir 4 Beratungspakete entwickelt, die Sie buchen können.
- Quickstart: Mit diesem Paket legen Sie rasch und zielgerichtet los. Profitieren Sie von unserer Expertise, um 1-2 Ihrer wichtigsten Use-Cases effizient und unkompliziert umzusetzen.
- Additional Use-Cases: Erhöhen Sie die Sicherheit in Ihrem Unternehmen durch die Integration weiterer Use-Cases, entweder direkt oder zu einem späteren Zeitpunkt. Sie können Ihre Sicherheitsmechanismen jederzeit erweitern, um neuen Anforderungen gerecht zu werden.
- Support im operativen Betrieb: Dieses Paket bietet Ihnen kontinuierliche Unterstützung für den laufenden Betrieb. Sie erhalten direkten Zugang zu unseren PKI-Experten, die Sie bei allen Fragen und Herausforderungen im Tagesgeschäft begleiten.
- Consulting: Wenn Sie Unterstützung bei der Entwicklung Ihrer zertifikatsbasierten Prozesse oder der Umsetzung Ihrer Sicherheitsstrategien benötigen, stehen wir Ihnen beratend zur Seite. Bewältigen Sie technische und gesetzliche Veränderungen sowie Anpassungen in Ihren Organisationsabläufen sicher und effizient.
Unsere Lösung wird kontinuierlich weiterentwickelt und um innovative Funktionen ergänzt. Das CLM ist so gestaltet, dass es alle zentralen PKI-Prozesse in Ihrem Unternehmen effizient abdeckt. Auch wenn Sie zunächst mit einer spezifischen Konfiguration und ausgewählten Anwendungsfällen starten, haben Sie jederzeit die Flexibilität, selbst neue Prozesse und Use-Cases einzuführen. Auf Wunsch stehen Ihnen unsere PKI-Experten zur Seite und unterstützen Sie bei der Implementierung weiterer Anwendungsfälle – perfekt abgedeckt durch unser speziell dafür entwickeltes Paket „Additional Use-Cases“.
Dank unseres Allianz-Partners XELANED haben Sie stets die Möglichkeit, bei Bedarf eine persönliche Vor-Ort-Betreuung anzufragen.
Projektablauf & Onboarding
Die Online Demo können Sie zu Testzwecken mit wenigen Klicks beantragen, aktivieren und zwei Monate lang kostenlos testen. Die Online Demo bildet den vollen Funktionsumfang der kommerziellen Version ab. Damit lassen sich also alle Features der Benutzeroberfläche testen und Zertifikate ausstellen. Da die Online -Demo nach zwei Monaten deaktiviert wird, können zu Testzwecken ausgestellte Zertifikate nicht produktiv genutzt werden.
Der Proof-of-Concept (PoC) unterscheidet sich von der Online-Demo darin, dass alle Automatisierungsschnittstellen (EST, CMP, SCEP, ACME, Autoenrollment-Connector) zur Verfügung stehen und an die Infrastruktur des Kunden angebunden werden können, sowie alle Konfigurationen nach dem zweimonatigen Testzeitraum nahtlos in den operativen Betrieb übernommen werden können. D.h. alle Zertifikate können von Beginn an produktiv genutzt werden. Auf dieser Basis lassen sich alle geplanten Use-Case unter realen Bedingungen mit der Anbindung an Ihre Systeme testen. Die Planung und Umsetzung des PoC erfolgt nach Kontaktaufnahme mit unserem Vertrieb.
Haben Sie sich für unser 360° Managed PKI & CLM entschieden, steht diese kurzfristig nach Beauftragung für Sie bereit. Normalerweise erfolgt die Freischaltung innerhalb von 1-5 Werktagen.
Managed PKI oder On Premise Strategie – Security-Insider.de
Eine private Managed PKI lässt sich mit deutlich geringerem Aufwand und Vorbereitungszeit umsetzen als die On-Premise Lösung. Die vertrauenswürdige Authentifizierung, Verifizierung, Integrität und Verschlüsselung für kritische und sensible Unternehmensprozesse und -anwendungen steht direkt bereit. Unternehmen können sich schneller auf die Absicherung ihrer Unternehmensprozesse konzentrieren und die aufgebaute PKI zügiger nutzen. Denn bei einer Managed PKI entfällt beim Anwender der Aufwand für sichere Konfiguration, Backupkonzepte und Ausfallsicherheit. Zugangskontrollen und Zugriffsrechte sind geregelt, die erforderliche Infrastruktur steht bereit und skaliert mit wachsenden Anforderungen. Darüber hinaus muss kein umfangreiches PKI- und IT Security Know-How oder das entsprechende Fachpersonal aufgebaut werden. Regelmäßige Software- und Security-Updates, sowie Anpassungen an stetig wachsende Krypto-Vorgaben übernimmt der Dienstleister. Der Umgang mit Hardware Security Modulen und das erforderliche Spezialwissen ebenso.
Die Gesamtkosten für eine On-Premise PKI sind wegen der Personal-, Infrastruktur- und Betriebskosten meist deutlich höher als die im Vergleich dazu geringeren Kosten für Softwarelizenzen. Selbst Open Source PKI-Lösungen leisten daher keinen wesentlichen Beitrag zur Reduktion der Gesamtkosten. Ob On-Premise oder Managed PKI – beide haben ihre Existenzberechtigung. Für spezielle Anforderungen und je nach Szenario bleibt Unternehmen oder Betreibern kritischer Infrastrukturen und Behörden keine andere Wahl als die Entscheidung für eine On-Premise PKI. Aber gerade im Mittelstand, wo Standardanwendungen umgesetzt und abgesichert werden, bieten Managed PKI Angebote die Chance, Einstiegshürden erheblich zu senken und die Sicherheit im Unternehmen deutlich zu verbessern, und das bei deutlich niedrigeren Kosten.
Die Gesamtkosten für eine On-Premise PKI sind wegen der Personal-, Infrastruktur- und Betriebskosten meist deutlich höher als die im Vergleich dazu geringeren Kosten für Softwarelizenzen. Selbst Open Source PKI-Lösungen leisten daher keinen wesentlichen Beitrag zur Reduktion der Gesamtkosten. Ob On-Premise oder Managed PKI – beide haben ihre Existenzberechtigung. Für spezielle Anforderungen und je nach Szenario bleibt Unternehmen oder Betreibern kritischer Infrastrukturen und Behörden keine andere Wahl als die Entscheidung für eine On-Premise PKI. Aber gerade im Mittelstand, wo Standardanwendungen umgesetzt und abgesichert werden, bieten Managed PKI Angebote die Chance, Einstiegshürden erheblich zu senken und die Sicherheit im Unternehmen deutlich zu verbessern, und das bei deutlich niedrigeren Kosten.
Die MTG AG erstellt Ihnen auf Anfrage gerne ein individuelles Angebot, das speziell auf Ihre Anforderungen zugeschnitten ist. Nach sorgfältiger Planung und Vorbereitung übernehmen wir die Installation in dem Rechenzentrum Ihrer Wahl. Wir empfehlen zudem, im Vorfeld zu prüfen, ob ein Managed Cloud Betrieb unter bestimmten Voraussetzungen nicht doch eine attraktive Alternative darstellen könnte.
Migration & Integration
Aktuell können Sie die Microsoft PKI (AD CS) mit der 360° Managed PKI & CLM ersetzen. Sie können aber auch ihre Microsoft PKI erst mal weiter betreiben, aber binden nur das CLM an. Dadurch ist die Nutzung von einer bestehenden Microsoft CA auch für weitere nicht-Windows Use Cases möglich, wie zum Beispiel die Ausstellung von Linux Server Zertifikaten über ACME.
Für Kunden die eine Microsoft PKI (AD CS) im Einsatz haben, ergeben sich also zwei Angebots-Optionen:
- Professional Paket: Microsoft PKI wird weiterbetrieben, aber alle zertifikatsbasierten Prozesse werden über das CLM verwaltet.
- Ultimate Paket: Sofern der CLM Autoenrollment Connector mit dem Ultimate Paket zum Einsatz kommt, kann die Microsoft PKI vollständig durch die MTG PKI ersetzt werden, ohne dass die Active Directory-basierten Prozesse geändert werden müssen.
Grundsätzlich können auch externe private CAs an das CLM angebunden werden. Aktuell ist das aber nur mit der Microsoft CA (AD CS) möglich.
Schnittstellen & Automatisierung
MTG Doku: ACME
MTG Doku: SCEP
MTG Doku: EST
MTG Doku: CMP
MTG Doku: REST API
MTG Doku: ERS CLI
Zertifizierungen
DARZ Zertifikat: ISO/IEC 27001:2013
MTG Zertifikat: ISO/IEC 27001
DARZ Zertifikat: BSI-K-TR-0635-2024
Das Rechenzentrum der DARZ am Standort Darmstadt ist seit 2016 durch die TÜV Rheinland Cert GmbH als „Reliable Data Center Cat lll“ zertifiziert. In 2021 haben wir diese Zertifizierung durch die höhere Zertifizierung nach DIN EN50600 Cat lll ersetzt. Die DIN EN 50600 stellt die erste europaweit länderübergreifende Norm dar, die mit einem ganzheitlichen Ansatz umfassende Vorgaben für die Planung, den Neubau und den Betrieb eines Rechenzentrums macht. Sie definiert Anforderungen für die Planung der Gewerke Baukonstruktion, Elektroversorgung, Klimatisierung, Verkabelung, Sicherheitssysteme und legt Kriterien für den Betrieb von Rechenzentren fest.
DARZ Zertifikat: DIN EN 50600
DARZ Zertifikat: Veeam-Partner
DARZ Zertifikat: Ökostrom