Tom´s Blog

Da es in meinem heutigen Post hauptsächlich darum geht, private Schlüssel zu archivieren und wiederherzustellen, werde ich an dieser Stelle nicht noch einmal erklären, wie eine Zertifizierungsstelle aufgesetzt wird.
Meine CA ist standardmäßig als alleinstehende Unternehmenszertifizierungsstelle installiert, der Worktrough funktioniert aber genauso mit untergeordneten CAs. Wichtig ist hierbei, dass die KRA-Zertifikate auf allen ausstellenden CAs hinterlegt werden.

Nachdem eine Unternehmens Zertifizierungsstelle eingerichtet ist, können Benutzer Zertifikate anfordern und auch Daten oder E-Mails verschlüsseln.
Das Problem ist jedoch, dass die privaten Schlüssel, der angeforderten Zertifikate standardmäßig nur im Zertifikatsspeicher des jeweiligen Benutzerprofils abgelegt werden.

Was aber wenn die Zertifikate, die für die Verschlüsselung verwendet wurden, verloren gehen? Aus welchem Grund auch immer…
Im Normalfall wären die Daten nun nicht wieder entschlüsselbar und somit unbrauchbar.

Nachdem die Zertifizierungsstelle eingerichtet ist, fange ich nun an, die Archivierung der privaten Schlüssel einzurichten. Im Folgenden werde ich euch dann gleich noch erklären, wie die archivierten Schlüssel dann wiederhergestellt werden können.

Archivierung privater Schlüssel in der Zertifizierungsstelle

!!!Wichtig: Es werden nur private Schlüssel von Zertifikaten archiviert, die nach Aktivierung der Schlüsselarchivierung angefordert wurden. Ich denke das sollte jedoch klar sein!!!

1. Um die Archivierung von privaten Schlüsseln in der CA aktivieren zu können, müssen zuerst Schlüsselwiederherstellungsagenten festgelegt werden. In der Regel sollte diese Funktion nur einem eingegrenzten Personenkreis zugewiesen werden. Dass die entsprechenden Personen ein Schlüsselwiederherstellungsagentenzertifikat (KeyRecoveryAgent-Zertifikat = KRA) anfordern können, muss die bereits bestehende Vorlage in den Vorlagenpool der Zertifizierungsstelle aufgenommen werden.

 

Nachdem die Vorlage in die Zertifizierungsstelle aufgenommen wurde, steht das KRA Zertifikat nun bei der Zertifikatsanforderung  zur Auswahl.

2. Nachdem das Zertifikat nun in den Vorlagen der Zertifizierungsstelle ist, kann dieses auch von einem Benutzer beantragt werden. Ich habe in meiner Testumgebung dafür den Administrator verwendet, es sollte jedoch in Produktivumgebungen ein spezieller Benutzer verwendet werden.

3.Wenn das KRA Zertifikat angefordert wurde, muss es erst auf der Zertifizierungsstelle ausgestellt werden. !!! Eine automatische Ausstellung, wie bei Benutzerzertifikaten, ist hier nicht empfohlen, da dies ein Sicherheitsrisiko darstellt !!!

Nun wird es in der CA unter ausgestellte Zertifikate angezeigt:

Wenn das KRA-Zertifikat ausgestellt wurde, wird der private Schlüssel auf der CA und im lokalen Zertifikatsspeicher des KRA-Benutzers abgelegt. Im Zertifikatsspeicher des KRA-Benutzers wird folgender Eintrag erstellt (es ist der private Schlüssel des KRA-Zertifikats):

Dieser private Schlüssel des KRA-Zertifikats sollte auf jeden Fall gesichert bzw. exportiert werden!!!

4. Ist das KRA-Zertifikat ausgestellt, kann dieses Zertifikat auf in den Eigenschaften der Zertifizierungsstelle im Punkt “Wiederherstellungs-Agents” hinzugefügt werden.
!!!Wichtig: Wichtig ist hier zu wissen, wenn mehrere Wiederherstellungsagents eingetragen sind und die Anzahl der zu verwendenden Wiederherstellungsagents nicht mit der Anzahl der eingetragen Zertifikate übereinstimmt, werden die KRA-Einträge in den archivierten Zertifikaten per Round-Robin durchgetauscht!!! 

Nach dem Hinzufügen eines KeyRecoveryAgent-Zertifikats müssen die Dienste für die Acitve Directory Zertifikatsdienste neu gestartet werden. Das ausgewählte KRA-Zertifikat wird danach in den Eigenschaften der CA als “gültig” angezeigt.

Die Funktionalität für die Archivierung von Zertifikaten ist nun auf der CA eingestellt. Nun muss die Archivierung für bestimmte Zertifikatsvorlagen aktiviert werden.

5. Um die Archivierung für Zertifikate zu aktivieren, muss eine Doppelte Vorlage für das zu archivierende Zertifikat erstellt werden. Ich mache das nun im Folgenden mit dem Benutzerzertifikat.
!!! TIP: Um schnell in die Zertifikatsvorlagenverwaltung zu kommen, kann man in den Vorlagen der Zertifizierungsstelle einfach einen Rechtsklick machen und dann “Verwalten” klicken. So gelangt man direkt in die Vorlagenverwaltung, welche in einem extra MMC- Fenster geöffnet wird.!!!

In der doppelten Vorlage muss der Punkt “Privaten Schlüssel für die Verschlüsselung archivieren” aktiviert werden.
Desweiten sollte die abzulösende Vorlage ausgewählt werden.
!!!TIP: Ich habe hier auch gleich noch unter Sicherheit das Lesen und Automatische Registrieren für Domänen-Benutzer aktiviert, das benötigt man für das Verteilen von Benutzerzertifikaten über Gruppenrichtlinien!!!

6. Nachdem ich die Zertifikatsvorlage, in meinem Fall habe ich sie “Benutzer (archiviert)” genannt, nun erstellt habe, füge ich sie zu den zu verwendenden Zertifikatsvorlagen der Zertifizierungsstelle hinzu.
Hier habe ich die Zertifikatsvorlage “Benutzer” entfernt, da ich künftig nur noch “Benutzer (archiviert)” verteilen möchte.

 7. Nachdem ich nun die Zertifikatsvorlage für ein Benutzerzertifikat mit archiviertem Schlüssel erstellt und für die Verteilung eingerichtet habe, beantrage ich nun für einen Benutzer das neue Zertifikat. Ich mache das hier manuell um später das Wiederherstellen des privaten Schlüssels zu zeigen. In einer Produktivumgebung würde ich das über Gruppenrichtlinien machen. Es wird in den nächsten Tagen noch einen Betrag über das Verteilen von Zertifikaten über GPOs geben.
Ist das Benutzerzertifikat nun mit der Vorlage “Benutzer (archiviert)” beantragt worden, sieht es in der Zertifizierungsstelle wie folgt aus:

Wiederherstellung von privaten Schlüsseln aus dem Archiv der Zertifizierungsstelle

Wie im oberen Teil des Textes bereits erwähnt, erkläre ich nun im Folgenden wie ein privater, archivierter Schlüssel aus dem Archiv der CA wiederhergestellt werden kann.

1.  Um einen privaten Schlüssel aus dem Archiv der CA wiederherstellen zu können brauche ich als erstes ein BLOB File (Binary Language Object). Welches ich mir mit Hilfe des Commandozeilen-Tools CERTUTIL.EXE aus dem Archiv der CA erstelle.
Der Befehl dazu lautet wie folgt:

certutil -getkey <Seriennummer oder Benutzername> <gewünschter Pfad für die Erstellung des BLOB-Files>

Meine Eingabe könnt ihr im Screenshot sehen:

 In der Bildschirmausgabe kann man auch sehen, welches KRA-Zertifikat für die Wiederherstellung notwendig ist.

2. Nun kommt meiner Meinung nach der wichtigste Teil der Wiederherstellung. Dieser Punkt hat mich ziemlich viel Nerven gekostet, da er im Internen nirgends wirklich gut beschrieben ist und auch in allen Büchern, die ich gewälzt habe, nicht erwähnt wird.
Bei der Ausstellung des KRA-Zertifikats wird zwar der private Schlüssel im Zertifikatsspeicher des jeweiligen KRA-Benutzers abgelegt, jedoch fehlt das Benutzerzertifikat des KRA-Benutzers in dessen Zertifikatsspeicher. Ohne das Benutzerzertifikat ist eine Zuordnung des privaten Schlüssels nicht möglich.
Wenn dieser Punkt nicht ausgeführt wird, erscheint jedoch die Fehlermeldung, dass der “private Schlüssel” fehlt. Hier sind meiner Meinung nach die Artikel der Technet und auch div. Bücher nicht komplett.
Naja, wie dem auch sei, da wir nur privaten Schlüssel des KRA haben, brauchen wir also auch noch den öffentlichen Schlüssel, sonst funktioniert die Wiederherstellung leider nicht.
Ich exportiere nun einfach den öffentlichen Schlüssel des KRA aus der Zertifizierungsstelle:

Diesen importiere ich dann in den Zertifikatsspeicher meines KRA-Benutzers:

Da ich den privaten Schlüssel ja vorher schon hatte, wird dieser nun unter den eigenen Zertifikaten mit angezeigt. Ist der private Schlüssel nicht mehr vorhanden, muss dieser aus der Backupdatei, welche ich mir gemacht habe, nachdem ich das KRA- Zertifikat erstellt habe importiert.
!!!Wichtig: Der private Schlüssel des KRA muss aus dem Benutzer-Zertifikatsspeicher des KRA exportiert werden. Der private Schlüssel des KRA ist aus der CA nicht exportierbar!!!

3. Nachdem nun das KRA- Zertifikat komplett vorhanden ist, kann der private Schlüssel des Benutzers wiederhergestellt werden.
Dieser Vorgang muss auf mit dem KRA-Benutzer durchgeführt werden.
Ich mache das wieder mit dem Commandozeilen-Tools CERTUTIL.EXE .
Die Eingabe dafür lautet: