Katalog
concept#Sicherheit#Architektur#Governance#Integration

Public Key Infrastructure (PKI)

PKI ist ein Modell zur Verwaltung kryptografischer Schlüssel und Zertifikate zur Absicherung von Kommunikation und Identitäten.

Public Key Infrastructure (PKI) ist ein Infrastrukturmodell zur Verwaltung digitaler Zertifikate und öffentlicher/privater Schlüssel, das Vertraulichkeit, Integrität und Authentizität ermöglicht.
Etabliert
Hoch

Klassifikation

  • Hoch
  • Technisch
  • Architektur
  • Reif

Technischer Kontext

Webserver (Apache, Nginx) für TLSHardware Security Modules (HSM) oder Cloud KMSIdentity- und Device-Management-Systeme (AD, MDM)

Prinzipien & Ziele

Zentralisiere Trust-Anker und definiere klare CA-Rollen.Trenne Root-CA vom operativen Signieren (Air-gapped Root/Sub-CA).Automatisiere Lebenszyklus, Erneuerung und Widerruf soweit möglich.
Betrieb
Unternehmen, Domäne, Team

Use Cases & Szenarien

Kompromisse

  • Diebstahl oder Kompromittierung privater CA-Schlüssel.
  • Fehlkonfigurierte Vertrauensketten oder falsche Ausstellung von Zertifikaten.
  • Unzureichende Revocation-Mechanismen führen zu anhaltender Vertrauensverletzung.
  • Air-gapped Root-CA mit signierenden Sub-CAs für Betrieb verwenden.
  • HSMs oder geprüfte KMS zur Schlüsselverwahrung einsetzen.
  • Automatisierte Erneuerung und Monitoring zur Reduktion menschlicher Fehler.

I/O & Ressourcen

  • Definition von Trust-Anker und CA-Policies
  • Infrastruktur für Schlüsselverwaltung (HSM, KMS)
  • Automation-Tooling (ACME, PKI-APIs) und Monitoring
  • Ausgestellte und verwaltete Zertifikate (X.509)
  • Revisionssichere Nachweise über Ausstellung und Widerruf
  • Automatisierte Erneuerungs- und Widerrufsprozesse

Beschreibung

Public Key Infrastructure (PKI) ist ein Infrastrukturmodell zur Verwaltung digitaler Zertifikate und öffentlicher/privater Schlüssel, das Vertraulichkeit, Integrität und Authentizität ermöglicht. Es umfasst Zertifizierungsstellen, Registrierungsstellen, Zertifikatslebenszyklus und Vertrauensmodelle und ist in vielen Standards und Protokollen verankert.

✔

  • Sicherstellung von Verschlüsselung, Authentizität und Integrität über Vertrauenskette.
  • Zentrale Richtlinien für Schlüssel- und Zertifikatsverwaltung.
  • Automatisierbare Abläufe reduzieren Betriebsaufwand und Fehler.

✖

  • Komplexität in Betrieb und Governance, insbesondere bei großen Organisationen.
  • Abhängigkeit von korrekter Implementierung und sicheren Schlüsselverwahrung.
  • Missbrauch oder Kompromittierung einer CA hat weitreichende Folgen.

  • Zertifikatslebensdauer

    Durchschnittliche Gültigkeitsdauer ausgestellter Zertifikate; beeinflusst Erneuerungsaufwand und Risiko.

  • Rate erneuerter/abgelaufener Zertifikate

    Anteil der Zertifikate, die rechtzeitig erneuert wurden gegenüber abgelaufenen Zertifikaten.

  • Mean Time To Recover (MTTR) nach CA-Vorfall

    Zeit bis zur Wiederherstellung vetrauenswürdiger Zustände nach einem CA-Komprimittierungsfall.

Let's Encrypt

Kostenlose öffentliche CA, die ACME zur automatischen Ausstellung und Erneuerung von TLS-Zertifikaten verwendet.

Unternehmensinterne PKI mit HSM

Marktgroßes Unternehmen betreibt eine interne CA mit HSMs zur Schlüsselverwahrung und strikten Policies.

Smallstep / Automatisierte DevOps-Zertifikate

Open-source-Tooling zur Automatisierung von Zertifikat-Lifecycle in Cloud-nahen Umgebungen.

1

Konzeption: Trust-Modelle, Policies, Rollen und Compliance-Anforderungen definieren.

2

Infrastruktur aufsetzen: Root/Sub-CA, HSM/KMS, Backup und Offline-Prozesse implementieren.

3

Automatisierung und Monitoring: ACME/PKI-APIs integrieren, Erneuerung, Revocation und Alerts einrichten.

⚠️ Technische Schulden & Engpässe

  • Legacy-Zertifikate mit langer Laufzeit, die Erneuerung blockieren.
  • Fehlende Automatisierung führt zu manuellen Workarounds.
  • Nicht standardisierte Zertifikatsformate in internen Systemen.
SchlüsselverwaltungRevocation-PerformanceHSM-/Hardware-Abhängigkeiten
  • Ausstellen von Zertifikaten ohne Überprüfung der Identität.
  • Verwendung veralteter Algorithmen (z. B. SHA-1) für Signaturen.
  • Widerrufsinformationen nicht verfügbar machen (kein OCSP/CRL).
  • Unterschätzung des Aufwands für Revocation- und Monitoring-Infrastruktur.
  • Komplexe Vertrauensketten führen zu Inkonsistenzen in Clients.
  • Fehlende Prozesse für Notfallrotation kompromittierter Schlüssel.
Kenntnisse in Kryptographie und X.509-StandardsBetriebserfahrung mit CA-Software und HSMsAutomatisierung und DevOps-Fähigkeiten (ACME, APIs)
Sicherheitsanforderungen: Verschlüsselung, Signatur, AuthentizitätSkalierbarkeit: automatische Ausstellung und ErneuerungCompliance und Auditierbarkeit: Nachweis über Schlüsselverwaltung
  • • Regulatorische Vorgaben zu Schlüsselstärke und Aufbewahrung
  • • Kompatibilität mit vorhandenen Protokollen und Clients
  • • Budget und Betriebsaufwand für sichere Schlüsselverwaltung