Security: Die eigene CA mit TPM-Chip einrichten
Wer sich OpenSSL-Befehle auf der Kommandozeile ersparen will, greift zum grafischen Tool XCA und speichert den privaten SchlĂĽssel im TPM-Chip des Computers.
- Markus Stubbig
In einem Projekt, einem Proof of Concept oder in einer Laborumgebung kommt schnell der Bedarf nach einer Certificate Authority (CA) auf, die sich mit Tools wie OpenSSL, certtool oder CFSSL in wenigen Befehlen verwalten lässt. Der kritische private Schlüssel liegt dann jedoch im Dateisystem, möglicherweise sogar unverschlüsselt. Wenn die CA dann ungewollt noch produktiv genutzt wird, ist das Sicherheitsdrama perfekt. Dennoch muss man sich für Ad-hoc-CAs dieser Art kein Hardware Security Module (HSM) anschaffen.
Die Lösung: Die Root-CA speichert ihren privaten Schlüssel im Trusted Platform Module (TPM). Dank der Anforderungen von Windows 11 besitzen nahezu alle neuen PCs einen solchen Sicherheitschip, der entweder auf dem Mainboard sitzt oder in die CPU integriert ist. Somit kann ein herkömmlicher Windows-Rechner zur CA werden und mit dem TPM Kryptoaufgaben erledigen.
- Seit Windows 11 verfĂĽgt nahezu jeder PC ĂĽber den Sicherheitsprozessor Trusted Platform Module (TPM).
- Eine Certification Authority (CA) kann den privaten SchlĂĽssel im TPM erzeugen und sicher ablegen.
- Eine CA mit TPM erhöht die Sicherheit, reicht aber nicht an ein Hardware Security Module (HSM) heran.
- Das grafische Werkzeug XCA fungiert als Frontend und erstellt und verwaltet digitale Zertifikate, SchlĂĽssel sowie CAs.
Auf der Softwareseite kommt XCA hinzu (Dokumentation). Die grafische Anwendung beherrscht das Tagesgeschäft einer CA: Zertifikatsanträge annehmen und Zertifikate ausstellen. Sie ist kostenfrei und erfordert keine Kommandozeilenakrobatik. Die TPM-CA erreicht bestenfalls das Sicherheitsniveau eines Selbsthosters und will auch nicht mit professioneller Software konkurrieren. Sie lässt sich aber einfach bedienen, ist günstig und bringt ein Plus an Sicherheit.
Das war die Leseprobe unseres heise-Plus-Artikels "Security: Die eigene CA mit TPM-Chip einrichten". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
