emanuel@1240: Server-Anforderungen
emanuel@1240: ====================
emanuel@1240: 
emanuel@1269: Der TrustBridge-Update-Server stellt die Softwareversionen und
emanuel@1269: Zertifikatslisten für den TrustBridge-Client bereit.
emanuel@1269: 
emanuel@1269: An den Betrieb des Update-Servers werden folgende Anforderungen
emanuel@1269: gestellt:
emanuel@1269: 
emanuel@1269: * eine öffentlich zugängliche URL eines Download-Verzeichnises
emanuel@1269:   (optional: Verzeichnis ist im Browser auflistbar).
emanuel@1269: 
emanuel@1269: * Ausliefern aller Dateien nur über https (Version TLS 1.2)
emanuel@1269:   in der Konfiguration und Einhaltung der Technischen Richtlinie
emanuel@1269:   `"BSI TR-02102-2 Verwendung von Transport Layer Security (TLS)"
emanuel@1269:   <https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102-2_pdf.html>`_:
emanuel@1269:   Cipher-Suite: ECDSA (mit brainpoolP256r1), 
emanuel@1269:   maximal TLS-ECDHE-ECDSA-WITH-AES-256-CBC-SHA384;
emanuel@1269: 
emanuel@1269: * Manuelles Heraufladen von neue Dateien ermöglichen (z.B. per SCP; nur für den
emanuel@1269:   TrustBridge-Administrator).
emanuel@1269: 
emanuel@1269: 
emanuel@1269: Zertifikatsanforderungen
emanuel@1269: ------------------------
emanuel@1269: 
emanuel@1279: Code-Signing-Zertifikat
emanuel@1279: .......................
emanuel@1269: Für die Signatur des TrustBridge-Windows-Installers wird ein
emanuel@1269: Code-Signing-Zertifikat von einer vertrauenswürdigen, vorinstallierten
emanuel@1269: Zertifizierungsstelle auf Windows benötigt, um Authenticode für die
emanuel@1269: Verifikation der  Erstinstallation nutzen zu können.
emanuel@1269: 
emanuel@1269: * Empfohlene Schlüssellänge: RSA 2048 oder 3076
emanuel@1269: * Empfohlener Hash-Algorithmus: SHA-256
emanuel@1269: 
emanuel@1269: Der geheime Schlüssel verbleibt beim TrustBridge-Administrator und
emanuel@1269: muss in der TrustBridge-Verwaltungsanwendung beim Erstellen eines
emanuel@1269: neuen Installationspakets angegeben werden.
emanuel@1269: 
emanuel@1279: Der Schlüssel des Code-Signing-Zertifikats für Windows 
emanuel@1279: wird auch zur Erstellung der RSA-Signatur des GNU/Linux-Installers verwendet.
emanuel@1279: 
emanuel@1269: 
emanuel@1269: Schlüsselmaterial für Listensignatur
emanuel@1269: ....................................
emanuel@1269: Jede Zertifikatsliste wird mit einem geheimen Schlüssel signiert.
emanuel@1279: Der zugehörige öffentliche Schlüssel ist in TrustBridge zur Signaturprüfung 
emanuel@1279: fest eingebaut.
emanuel@1269: 
emanuel@1269: * Empfohlene Schlüssellänge: RSA 3076
emanuel@1269: * Empfohlener Hash-Algorithmus: SHA-256
emanuel@1269: 
emanuel@1269: Der geheime Schlüssel verbleibt beim TrustBridge-Administrator und
emanuel@1269: muss in der TrustBridge-Verwaltungsanwendung beim Erstellen einer
emanuel@1269: neuer Zertifikatsliste angegeben werden.
emanuel@1269: 
emanuel@1269: 
emanuel@1269: Zertifikat für Update-Server
emanuel@1269: ............................
emanuel@1269: Der Transport von Zertifikatslisten und Softwareupdates wird
emanuel@1269: per HTTPS (Version TLS 1.2) abgesichert.
emanuel@1279: Das zugehörige öffentliche Zertifikat ist in TrustBridge fest eingebaut.
emanuel@1269: 
emanuel@1269: Empfohlenes Verfahren ist ECDSA mit brainpoolP256r1-Parametern. Das Zertifikat
emanuel@1269: sollte den X.509 Standards (rfc5639, rfc7027) entsprechen und mit
emanuel@1269: PolarSSL funktionieren. Die X.509-Standards sind wichtig, damit das
emanuel@1269: mit neueren Klienten (wie Webbrowsern) gleich funktioniert, sobald
emanuel@1269: diese auch die entsprechende Kurve beherrschen.
emanuel@1269: 
emanuel@1269: Der geheime Schlüssel wird zum Update-Server übertragen.