# HG changeset patch # User Emanuel Schuetze # Date 1409232062 -7200 # Node ID c696a78368b3cc46fdfd0113dc8fa69284aa1d0c # Parent c8be25c83ff6d644bee357a3b9c0f7418056dbc3 (manual) Updated FAQ section. diff -r c8be25c83ff6 -r c696a78368b3 manuals/help-manual/_static/sicherheitswarnung.png Binary file manuals/help-manual/_static/sicherheitswarnung.png has changed diff -r c8be25c83ff6 -r c696a78368b3 manuals/help-manual/faq.rst --- /dev/null Thu Jan 01 00:00:00 1970 +0000 +++ b/manuals/help-manual/faq.rst Thu Aug 28 15:21:02 2014 +0200 @@ -0,0 +1,168 @@ +================================ +Frequently Asked Questions (FAQ) +================================ + + +Welche Zertifikatsspeicher werden verwendet? +============================================ + +Damit Zertifikaten in Anwendungen (wie z.B. Browser oder E-Mail-Klient) +vertraut werden kann, müssen die zugehörigen Wurzelzertifikate in den passenden +Zertifikatsspeichern des Systems installiert werden. +TrustBridge übernimmt diese Zugriff auf die Zertifikatsspeicher. + +Es gibt zwei gängige Zertifikatsspeicher, die von TrustBridge und den meisten +Anwendungen unterstützt werden: + +* der Mozilla NSS-Zertifikatsspeicher ("Network Security Services") und +* der Windows-System-Zertifikatsspeicher. + + +Chrome bzw. Chromium verwendet unter Windows den Windows-System-Speicher und unter +Ubuntu den NSS-Zertifikatsspeicher. Die nachfolgende Abbildung veranschaulicht +die verwendeten Zertifikatsspeicher unter Windows und GNU/Linux. + +.. figure:: _static/stores.png + :width: 100% + :alt: Übersicht der Zertifikatsspeicher + + *Abbildung 1: Übersicht der Zertifikatsspeicher* + +Windows-Zertifikatsspeicher +--------------------------- + +Der Windows 7 und 8 Zertifikatsspeicher kann in drei große Gruppen aufgeteilt werden: + +#. Zertifikate des aktuellen Benutzers +#. Zertifikate für alle Benutzer (Lokaler Computer) +#. Zertifikate für Systemdienste + +Diese Gruppen unterteilen sich wieder in eine Reihe von logischen Speichern. + +Für die Installation von vertrauenswürdigen Wurzelzertifikaten ist der +logische *Root*-Speicher relevant. Nur dort eingetragene Zertifikate +werden als *Trust Anchor* (Vertrauensanker) angesehen und zur +Validierung des Vertrauenspfads zu den weiteren Zertifikaten +verwendet. + +Der logische *Disallowed*-Speicher hat immer Vorrang. Befindet sich ein Zertifikat +sowohl im *Root* als auch im *Disallowed*-Speicher, gilt es als nicht vertrauenswürdig. + + +**Einschränkungen:** +Um unbefugte Manipulationen am Zertifikatsspeicher zu verhindern, werden von Microsoft +seit Windows XP SP2 folgende Schutzmaßnahmen vorgesehen: + +#. Um Zertifikate für alle Benutzer des lokalen Computers zu + bearbeiten, sind erhöhte Privilegien (Administrationsrechte) + erforderlich. +#. Änderungen (Löschen / Hinzufügen von Zertifikaten) am + *Root*-Speicher des aktuellen Nutzers erfordern die explizite + Einwilligung des Nutzers (siehe nachfolgende Abbildung), sofern der + Prozess keine erhöhten Privilegien besitzt. + + +.. figure:: _static/sicherheitswarnung.png + :alt: Windows-Sicherheitswarnung + + *Abbildung 2: Sicherheitswarnung beim Hinzufügen eines Wurzelzertifikats ohne Administrator-Rechte* + + + +Mozilla NSS-Zertifikatsspeicher +------------------------------- +Die Mozilla-Anwendungen Thunderbird und Firefox, sowie Chromium unter +Ubuntu, verwenden die Mozilla "Network Security +Services" (NSS) Zertifikatsspeicher. + +Mozilla liefert den NSS-Zertifikatsspeicher mit einer Auswahl von +voreingesetllten vertrauenswürdigen bzw. nicht +vertrauenswürdigen Zertifikaten aus. + +**Einschränkungen:** + +* Anwendungen, die den NSS-Zertifikatsspeicher verwenden, sollten vor dem Zugriff geschlossen + werden. +* Um den NSS-Speicher anderer Nutzer zu manipulieren, sind erhöhte Rechte nötig. +* Um den NSS-Standard für neue Profile vorzugeben, sind abhängig vom Installationsort + ggf. erhöhte Rechte nötig. + + + +Wie wird der Transport abgesichert? +=================================== +TrustBridge sucht regelmäßig (alle 24 Stunden) auf dem offiziellen TrustBridge-Update-Server +nach aktualisierten Zertifikatslisten und Software-Aktualisierungen. + +Sämtliche Transportprozesse sind kryptografisch nach aktuellem Stand +der Technik gegen unbefugte Manipulationen (Authentizität und +Integrität) gesichert. Es gibt drei Transportszenarien: + +#. Verfügbarkeit von Aktualisierungen prüfen: + Die Übertragung der Information über die Verfügbarkeit von Aktualisierungen + wird über eine HTTPS-Verbindung per TLS 1.2 durchgeführt. +#. Zertifikatslisten-Update durchführen: + Ist eine neue Zertifikatsliste verfügbar, wird die ganze Liste + gebündelt übertragen. Die Zertifikatslistendatei ist signiert. + Vor einem Zertifikatslisten-Update wird sichergestellt, dass TrustBridge bereits in der + neusten Version installiert ist. +#. Software-Update durchführen: + Ist eine neue TrustBridge-Version verfügbar, kann diese mit einem + Klick auf eine entsprechende Meldung heruntergeladen und installiert + werden. Es wird eine vollständiger TrustBridge-Installationsdatei übertragen + und im Hintergrund ausgeführt. Jede Software-Installationsdatei ist signiert. + Bei Fehlschlagen der Signaturprüfung (z.B. durch fehlerhaftes + Herunterladen) wird TrustBridge nicht aktualisiert. + + + +Wie sieht das Datenformat einer Zertifikatsliste aus? +===================================================== + +Die Zertifikatsliste ist eine einzelne Text-Datei, welche von der +TrustBridge-Verwaltungsanwendung erzeugt wird. Diese Datei enthält +alle benötigten Informationen und basiert auf einer zeilenbasierten +Textformat. Dabei bleibt die Struktur für Menschen lesbar und die +meisten Inhalte können mit Standardwerkzeugen sowohl de- als auch +enkodiert werden. + +In der ersten Zeile der Datei ist die Base64-kodierte, kryptografische +Signatur über alle folgenden Zeilen (inklusive der Zeilenenden) +angegeben. So wird die Integrität und Authentizität dieser Daten vor +der Verarbeitung gesichert. + +Einzelne Zeilen haben das Format ``:``, wobei +der Buchstabe angibt, welche Art von Wert folgt. Die Länge der Zeilen +ist (für Version 1) auf 9999 Zeichen begrenzt, inklusive der beiden +Zeichen für Zeilenenden. Die Anzahl der Zeilen ist auf 1000 +beschränkt, was einer Dateigröße von maximal 10 Megabyte entspricht. +(In der Praxis wird die Dateigröße aber deutlich unter 100 Kilobyte +liegen.) Der Text wird in 7Bit-ASCII kodiert. + +Die Zertifikate selbst werden als Base64- und DER-kodierte Daten +aufgeführt. Dies entspricht dem Inhalt gängiger .pem-Dateien - jedoch +ohne den umschließenden BEGIN CERTIFICATE und END CERTIFICATE sowie +ohne den Zeilenumbrüchen. + +Jede Zeile muss mit einem der folgenden gültigen Buchstaben beginnen: + +* ``S:`` Die Signatur der Zertifikatsliste. +* ``F:`` Format-Version +* ``D:`` Zeitpunkt der Listenerstellen (UTC) +* ``I:`` Zu installierendes Zertifikat +* ``R:`` Zu entfernendes Zertifikat + + +Im Folgenden ein Beispiel für den Aufbau der Zertifikatslisten-Datei +mit zwei zu installierenden Zertifikaten und einem zu löschenden +Zertifikat. Die Signatur- und Zertifikatszeilen sind, aus Gründen der +Übersichtlichkeit, in diesem Beispiel gekürzt: + +.. parsed-literal:: + S:EjzX0sTkstnnGbPIC7n1a5WlYCFsthPl8OYplLyihR1RdqcUsSnikrVowFo8QgpMutcz0... + F:1 + D:2014-01-03T12:30Z + I:MIIEiTCCA3GgAwIBAgIDAWn+MA0GCSqGSIb3DQBQUAMEAxCzAJBVBAYTAlVTMRcwFQYDV... + I:MIIHojCCBoqgAwIBAgIDAW96MA0GCSqGSIb3DQEBBQUAGMMQswCDVQQGEwJJTDEWMBQGA... + R:MIIGUjCCBTqgAwIBAgIODocAAQACqS54FrSbGvYwDQKoZIhvcNAQBQAwfDELMAkGA1UEB... + diff -r c8be25c83ff6 -r c696a78368b3 manuals/help-manual/index.rst --- a/manuals/help-manual/index.rst Tue Aug 26 11:22:50 2014 +0200 +++ b/manuals/help-manual/index.rst Thu Aug 28 15:21:02 2014 +0200 @@ -7,9 +7,10 @@ X.509-basierende, öffentliche Zertifikatsinfrastruktur (PKI) einzuspielen und aktuell zu halten. TrustBridge verteilt Wurzelzertifikate, welche von den Betriebssystemen und Webbrowsern -nicht mitgeliefert werden. Existierende Zertifikate, die korrumpiert oder missbraucht wurden, können über eine Deinstallations-Empfehlung von TrustBridge entfernt werden. -Dabei ist unerheblich, ob die Zertifikate auf der Anwenderebene -vorher bereits installiert waren. +nicht mitgeliefert werden. Existierende Zertifikate, die korrumpiert +oder missbraucht wurden, können von TrustBridge über eine Deinstallations-Empfehlung +entfernt werden. Dabei ist unerheblich, ob die +Zertifikate auf der Anwenderebene vorher bereits installiert waren. **Wurzelzertifikate** (auch Rootzertifikate genannt) sind die Basis einer PKI zur Feststellung der Authentizität des Kommunikationspartners und der Integrität seiner @@ -38,7 +39,7 @@ installation bedienung - konzept + faq Impressum diff -r c8be25c83ff6 -r c696a78368b3 manuals/help-manual/konzept.rst --- a/manuals/help-manual/konzept.rst Tue Aug 26 11:22:50 2014 +0200 +++ /dev/null Thu Jan 01 00:00:00 1970 +0000 @@ -1,39 +0,0 @@ -================= -Hintergrundwissen -================= - - -Zertifikatsspeicher -=================== - -Damit Zertifikaten in Anwendungen (wie z.B. Browser oder E-Mail-Klient) -vertraut werden kann, müssen die zugehörigen Wurzelzertifikate in den passenden -Zertifikatsspeichern des Systems installiert werden. -TrustBridge übernimmt diese Zugriff auf die Zertifikatsspeicher. - -Es gibt zwei gängige Zertifikatsspeicher, die von TrustBridge und den meißten -Anwendungen unterstützt -werden: -- der Mozilla NSS-Zertifikatsspeicher ("Network Security Services") -und -- der Windows-System-Zertifikatsspeicher. - - -Chrome bzw. Chromium verwendet unter Windows den Windows-System-Speicher und unter -Ubuntu den NSS-Zertifikatsspeicher. Die nachfolgende Abbildung veranschaulicht -die verwendeten Zertifikatsspeicher unter Windows und GNU/Linux. - -.. figure:: _static/stores.png - :width: 100% - :alt: Übersicht der Zertifikatsspeicher - - *Abbildung 1: Übersicht der Zertifikatsspeicher* - -Windows-Zertifikatsspeicher ---------------------------- - - - - -Ablauf von Zertifikatsupdates -=============================