Mercurial > trustbridge > trustbridge
comparison doc/help/admin/server.rst @ 1269:b8ec9a52eae8
(help-admin) Installation and server.
| author | Emanuel Schuetze <emanuel@intevation.de> |
|---|---|
| date | Mon, 29 Sep 2014 08:59:53 +0200 |
| parents | 17aa7cf0bedd |
| children | b53434f9280a |
comparison
equal
deleted
inserted
replaced
| 1268:2efdf2faf4e5 | 1269:b8ec9a52eae8 |
|---|---|
| 1 Server-Anforderungen | 1 Server-Anforderungen |
| 2 ==================== | 2 ==================== |
| 3 | 3 |
| 4 TODO | 4 Der TrustBridge-Update-Server stellt die Softwareversionen und |
| 5 Zertifikatslisten für den TrustBridge-Client bereit. | |
| 6 | |
| 7 An den Betrieb des Update-Servers werden folgende Anforderungen | |
| 8 gestellt: | |
| 9 | |
| 10 * eine öffentlich zugängliche URL eines Download-Verzeichnises | |
| 11 (optional: Verzeichnis ist im Browser auflistbar). | |
| 12 | |
| 13 * Ausliefern aller Dateien nur über https (Version TLS 1.2) | |
| 14 in der Konfiguration und Einhaltung der Technischen Richtlinie | |
| 15 `"BSI TR-02102-2 Verwendung von Transport Layer Security (TLS)" | |
| 16 <https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102-2_pdf.html>`_: | |
| 17 Cipher-Suite: ECDSA (mit brainpoolP256r1), | |
| 18 maximal TLS-ECDHE-ECDSA-WITH-AES-256-CBC-SHA384; | |
| 19 | |
| 20 * Manuelles Heraufladen von neue Dateien ermöglichen (z.B. per SCP; nur für den | |
| 21 TrustBridge-Administrator). | |
| 22 | |
| 23 | |
| 24 Zertifikatsanforderungen | |
| 25 ------------------------ | |
| 26 | |
| 27 Windows-Code-Signing-Zertifikat | |
| 28 ............................... | |
| 29 Für die Signatur des TrustBridge-Windows-Installers wird ein | |
| 30 Code-Signing-Zertifikat von einer vertrauenswürdigen, vorinstallierten | |
| 31 Zertifizierungsstelle auf Windows benötigt, um Authenticode für die | |
| 32 Verifikation der Erstinstallation nutzen zu können. | |
| 33 | |
| 34 * Empfohlene Schlüssellänge: RSA 2048 oder 3076 | |
| 35 * Empfohlener Hash-Algorithmus: SHA-256 | |
| 36 | |
| 37 Der geheime Schlüssel verbleibt beim TrustBridge-Administrator und | |
| 38 muss in der TrustBridge-Verwaltungsanwendung beim Erstellen eines | |
| 39 neuen Installationspakets angegeben werden. | |
| 40 | |
| 41 TODO: Gleiches Zertifikat auf zum Signieren des Linux-Binaries? | |
| 42 | |
| 43 Schlüsselmaterial für Listensignatur | |
| 44 .................................... | |
| 45 Jede Zertifikatsliste wird mit einem geheimen Schlüssel signiert. | |
| 46 Das zugehörige öffentliche Zertifikat ist in TrustBridge zur Signaturprüfung | |
| 47 fest verdrahtet. (TODO: korrekt?) | |
| 48 | |
| 49 * Empfohlene Schlüssellänge: RSA 3076 | |
| 50 * Empfohlener Hash-Algorithmus: SHA-256 | |
| 51 | |
| 52 Der geheime Schlüssel verbleibt beim TrustBridge-Administrator und | |
| 53 muss in der TrustBridge-Verwaltungsanwendung beim Erstellen einer | |
| 54 neuer Zertifikatsliste angegeben werden. | |
| 55 | |
| 56 | |
| 57 | |
| 58 Zertifikat für Update-Server | |
| 59 ............................ | |
| 60 Der Transport von Zertifikatslisten und Softwareupdates wird | |
| 61 per HTTPS (Version TLS 1.2) abgesichert. | |
| 62 Das zugehörige öffentliche Zertifikat ist in TrustBridge fest verdrahtet. (TODO: korrekt?) | |
| 63 | |
| 64 Empfohlenes Verfahren ist ECDSA mit brainpoolP256r1-Parametern. Das Zertifikat | |
| 65 sollte den X.509 Standards (rfc5639, rfc7027) entsprechen und mit | |
| 66 PolarSSL funktionieren. Die X.509-Standards sind wichtig, damit das | |
| 67 mit neueren Klienten (wie Webbrowsern) gleich funktioniert, sobald | |
| 68 diese auch die entsprechende Kurve beherrschen. | |
| 69 | |
| 70 Der geheime Schlüssel wird zum Update-Server übertragen. |