Server-Anforderungen
====================

Der TrustBridge-Update-Server stellt die Softwareversionen und
Zertifikatslisten für den TrustBridge-Client bereit.

An den Betrieb des Update-Servers werden folgende Anforderungen
gestellt:

* eine öffentlich zugängliche URL eines Download-Verzeichnises
  (optional: Verzeichnis ist im Browser auflistbar).

* Ausliefern aller Dateien nur über https (Version TLS 1.2)
  in der Konfiguration und Einhaltung der Technischen Richtlinie
  `"BSI TR-02102-2 Verwendung von Transport Layer Security (TLS)"
  <https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102-2_pdf.html>`_:
  Cipher-Suite: ECDSA (mit brainpoolP256r1), 
  maximal TLS-ECDHE-ECDSA-WITH-AES-256-CBC-SHA384;

* Manuelles Heraufladen von neue Dateien ermöglichen (z.B. per SCP; nur für den
  TrustBridge-Administrator).


Zertifikatsanforderungen
------------------------

Code-Signing-Zertifikat
.......................
Für die Signatur des TrustBridge-Windows-Installers wird ein
Code-Signing-Zertifikat von einer vertrauenswürdigen, vorinstallierten
Zertifizierungsstelle auf Windows benötigt, um Authenticode für die
Verifikation der  Erstinstallation nutzen zu können.

* Empfohlene Schlüssellänge: RSA 2048 oder 3076
* Empfohlener Hash-Algorithmus: SHA-256

Der geheime Schlüssel verbleibt beim TrustBridge-Administrator und
muss in der TrustBridge-Verwaltungsanwendung beim Erstellen eines
neuen Installationspakets angegeben werden.

Der Schlüssel des Code-Signing-Zertifikats für Windows 
wird auch zur Erstellung der RSA-Signatur des GNU/Linux-Installers verwendet.


Schlüsselmaterial für Listensignatur
....................................
Jede Zertifikatsliste wird mit einem geheimen Schlüssel signiert.
Der zugehörige öffentliche Schlüssel ist in TrustBridge zur Signaturprüfung 
fest eingebaut.

* Empfohlene Schlüssellänge: RSA 3076
* Empfohlener Hash-Algorithmus: SHA-256

Der geheime Schlüssel verbleibt beim TrustBridge-Administrator und
muss in der TrustBridge-Verwaltungsanwendung beim Erstellen einer
neuer Zertifikatsliste angegeben werden.


Zertifikat für Update-Server
............................
Der Transport von Zertifikatslisten und Softwareupdates wird
per HTTPS (Version TLS 1.2) abgesichert.
Das zugehörige öffentliche Zertifikat ist in TrustBridge fest eingebaut.

Empfohlenes Verfahren ist ECDSA mit brainpoolP256r1-Parametern. Das Zertifikat
sollte den X.509 Standards (rfc5639, rfc7027) entsprechen und mit
PolarSSL funktionieren. Die X.509-Standards sind wichtig, damit das
mit neueren Klienten (wie Webbrowsern) gleich funktioniert, sobald
diese auch die entsprechende Kurve beherrschen.

Der geheime Schlüssel wird zum Update-Server übertragen.