{"id":38686,"date":"2019-10-31T22:25:18","date_gmt":"2019-10-31T19:25:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/alternativa-tsentru-sertifikatsii-ot-microsoft\/"},"modified":"2019-10-31T22:25:18","modified_gmt":"2019-10-31T19:25:18","slug":"alternativa-tsentru-sertifikatsii-ot-microsoft","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/alternativa-tsentru-sertifikatsii-ot-microsoft","title":{"rendered":"Alternative zum Microsoft-Zertifizierungszentrum","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Benutzern kann nicht vertraut werden. In den meisten F\u00e4llen sind sie faul und w\u00e4hlen Komfort anstelle von Sicherheit. Laut Statistik notieren 21 % ihre Passw\u00f6rter f\u00fcr Arbeitskonten auf Papier, 50 % verwenden die gleichen Passw\u00f6rter f\u00fcr berufliche und pers\u00f6nliche Dienstleistungen.<\/p>\n

Die Umgebung ist ebenfalls feindlich. 74 % der Organisationen erlauben es, pers\u00f6nliche Ger\u00e4te zur Arbeit mitzubringen und sich mit dem Unternehmensnetzwerk zu verbinden. 94 % der Benutzer k\u00f6nnen eine echte E-Mail nicht von einer Phishing-E-Mail unterscheiden, 11 % haben auf Anh\u00e4nge geklickt.<\/p>\n

All diese Probleme l\u00f6st die Unternehmensinfrastruktur der \u00f6ffentlichen Schl\u00fcssel (PKI), die E-Mail-Verschl\u00fcsselung und -Authentifizierung bietet und Passw\u00f6rter durch digitale Zertifikate ersetzt. Diese Infrastruktur kann auf Windows Server implementiert werden. Laut der Beschreibung von Microsoft<\/a><\/noindex>, ist der Dienst Active Directory-Zertifikatsdienste (AD CS) ein Server, der es erm\u00f6glicht, in Ihrer Organisation eine PKI zu erstellen und die Kryptografie mit \u00f6ffentlichen Schl\u00fcsseln, digitale Zertifikate und digitale Signaturen zu verwenden.<\/p>\n

Aber die L\u00f6sung von Microsoft ist recht kostspielig.
\n<\/a><\/noindex><\/p>\n

Die Gesamtkosten f\u00fcr den Betrieb eines privaten Zertifizierungszentrums von Microsoft<\/h1>\n

\n\"Alternative
\nVergleich der Betriebskosten von Microsoft CA und GlobalSign AEG. Quelle<\/a><\/noindex><\/i><\/p>\n

In vielen Situationen ist es bequemer und g\u00fcnstiger, ein \u00e4hnliches privates Zertifizierungszentrum mit externer Verwaltung zu erstellen. Genau dieses Problem l\u00f6st der GlobalSign Auto Enrollment Gateway (AEG). Von den Gesamtkosten f\u00fcr den Betrieb entfallen sofort mehrere Ausgabezeilen (Anschaffung von Hardware, Supportkosten, Schulung des Personals usw.). Die Einsparungen k\u00f6nnen \u00fcbersteigen 50 % der Gesamtkosten f\u00fcr den Betrieb<\/a><\/noindex>.<\/p>\n

Was ist AEG?<\/h1>\n

\n\"Alternative
\n
\nAuto Enrollment Gateway<\/a><\/noindex> (AEG) ist ein Softwaredienst, der als Gateway zwischen den SaaS-Zertifizierungsdiensten von GlobalSign und der Windows-Umgebung fungiert.<\/p>\n

AEG integriert sich in Active Directory und erm\u00f6glicht es Organisationen, die Registrierung, Vorbereitung und Verwaltung digitaler Zertifikate von GlobalSign in einer Windows-Umgebung zu automatisieren. Durch den Austausch interner Zertifizierungsstellen gegen die Dienste von GlobalSign erh\u00f6hen Unternehmen die Sicherheit und senken die Kosten f\u00fcr das Management eines komplexen und teuren internen Microsoft-Zertifizierungszentrums.<\/p>\n

Die Zertifizierungsdienste von GlobalSign SaaS sind eine zuverl\u00e4ssigere Wahl im Vergleich zu schwachen und unverwaltbaren Zertifikaten in eigener Infrastruktur. Die Beseitigung der Notwendigkeit, ein ressourcenintensives internes CA zu verwalten, senkt die Gesamtkosten f\u00fcr den Betrieb einer PKI sowie das Risiko von Systemausf\u00e4llen.<\/p>\n

Die Unterst\u00fctzung der SCEP- und ACME-Protokolle erweitert die Supportm\u00f6glichkeiten \u00fcber Windows hinaus und erm\u00f6glicht die automatisierte Ausstellung von Zertifikaten f\u00fcr Linux-Server, mobile Ger\u00e4te, Netzwerktechnologie und andere Ger\u00e4te sowie f\u00fcr Apple OSX-Computer, die im Active Directory registriert sind.<\/p>\n

Erh\u00f6hte Sicherheit<\/h3>\n

\nNeben der Budgeteinsparung verbessert das externe Management der PKI die Sicherheit des Systems. Laut einer Studie der Aberdeen Group werden Zertifikate zunehmend Ziel von Angreifern: Diese nutzen erfolgreich bekannte Schwachstellen aus, wie unsichere selbstsignierte Zertifikate, schwache Verschl\u00fcsselung und umst\u00e4ndliche Widerrufsmechanismen. Dar\u00fcber hinaus haben es Angreifer geschafft, komplexere Exploits zu erlernen, wie betr\u00fcgerische Zertifikatausstellungen von vertrauensw\u00fcrdigen Zertifizierungsstellen und die F\u00e4lschung von Zertifikaten zur Codeunterzeichnung.<\/p>\n

\u201eDie meisten Unternehmen verwalten die Risiken, die mit diesen Angriffen verbunden sind, nicht aktiv genug und sind nicht in der Lage, schnell auf einen Kompromiss zu reagieren\u201c, schrieb<\/a><\/noindex> Derek E. Brink, Vizepr\u00e4sident und Forschungsmitarbeiter f\u00fcr IT-Sicherheit bei Aberdeen Group. \u201eIndem wir Unternehmen die M\u00f6glichkeit bieten, die operativen Aspekte des Zertifikatsmanagements in die H\u00e4nde von Experten zu legen, w\u00e4hrend sie gleichzeitig die Unternehmensrichtlinien im Active Directory unter Kontrolle behalten, bem\u00fcht sich GlobalSign, zuk\u00fcnftiges Wachstum in der Nutzung von Zertifikaten zu gew\u00e4hrleisten, indem es praktische Sicherheits- und Vertrauensfragen in einem effektiven, kosteneffizienten Bereitstellungsmodell l\u00f6st.\u201c<\/p>\n

Wie AEG funktioniert<\/h1>\n

\n\"Alternative
\n
\nEin typisches AEG-System umfasst vier Hauptkomponenten, um sicherzustellen, dass die richtigen Zertifikate an die richtigen Zugangspunkte \u00fcbermittelt werden:<\/p>\n

    \n
  1. Software AEG auf einem Windows-Server.\n<\/li>\n
  2. Active Directory-Server oder Dom\u00e4nencontroller, die es Administratoren erm\u00f6glichen, Informationen \u00fcber Ressourcen zu verwalten und zu speichern.\n<\/li>\n
  3. Endpunkte: Benutzer, Ger\u00e4te, Server und Workstations - praktisch jedes Objekt, das \u201eVerbraucher\u201c von digitalen Zertifikaten ist.\n<\/li>\n
  4. Das GlobalSign-Zertifizierungszentrum oder GCC, das an der Spitze einer zuverl\u00e4ssigen Zertifikatsausgabe- und Verwaltungsplattform steht. Hier werden Zertifikate generiert.<\/li>\n<\/ol>\n

    \nDrei von vier gezeigten Komponenten befinden sich in der lokalen Umgebung des Kunden, die vierte in der Cloud.<\/p>\n

    Zun\u00e4chst werden die Endpunkte mithilfe von Gruppenrichtlinien vordefiniert: beispielsweise durch die \u00dcberpr\u00fcfung des Zertifikats zur Benutzerauthentifizierung, die S\/MIME-Anfrage f\u00fcr das Zertifikat und so weiter \u2013 f\u00fcr die anschlie\u00dfende Verbindung zum AEG-Server. Die Verbindung erfolgt sicher \u00fcber HTTPS.<\/p>\n

    Der AEG-Server sendet eine Anfrage an das Active Directory \u00fcber LDAP, um eine Liste von Zertifikatvorlagen f\u00fcr diese Endpunkte zu erhalten, und sendet den Clients diese Liste zusammen mit dem Standort der Zertifizierungsstelle. Nach dem Erhalt dieser Regeln verbinden sich die Endpunkte erneut mit dem AEG-Server, diesmal um die tats\u00e4chlichen Zertifikate anzufordern. AEG generiert seinerseits einen API-Aufruf mit den angegebenen Parametern und sendet ihn zur Verarbeitung an die GlobalSign- oder GCC-Zertifizierungsstelle.<\/p>\n

    Schlie\u00dflich verarbeitet die Server-Seite von GCC die Anfragen normalerweise innerhalb weniger Sekunden und sendet die API-Antwort zusammen mit dem Zertifikat zur\u00fcck, das auf den Endpunkten auf Anfrage installiert werden kann.<\/p>\n

    Der gesamte Prozess dauert nur wenige Sekunden und kann durch die Konfiguration der Endpunkte zur automatischen Zertifikatsanfrage \u00fcber Gruppenrichtlinien vollst\u00e4ndig automatisiert werden.<\/p>\n

    Einzigartige Merkmale von AEG<\/h4>\n

    <\/p>\n