Seminar GnuTLS Administration und systemweite Kryptorichtlinien

Dieses Seminar behandelt GnuTLS als betriebliche Sicherheitskomponente und nicht lediglich als Sammlung einzelner Kommandozeilenoptionen. Die Teilnehmer lernen, wie Anwendungen die Bibliothek verwenden, wo globale und anwendungsspezifische Einstellungen greifen und wie aus technischen Anforderungen nachvollziehbare Kryptorichtlinien entstehen. Besonderes Gewicht liegt auf Änderungen, die kontrolliert getestet, dokumentiert und ohne unnötige Kompatibilitätsrisiken ausgerollt werden müssen.

Zielgruppe

Angesprochen sind Administratoren, DevOps- und Plattformteams sowie Security-Verantwortliche, die GnuTLS-basierte Dienste betreiben, Linux- oder Unix-Systeme härten oder einheitliche TLS-Vorgaben für mehrere Anwendungen durchsetzen.

Voraussetzungen

Erforderlich sind sichere Kenntnisse der Linux-Kommandozeile und ein grundlegendes Verständnis von TCP/IP, TLS, Zertifikatsketten und privaten Schlüsseln. Programmierkenntnisse werden nicht vorausgesetzt.

Seminarinhalte

GnuTLS im Systembetrieb

• Rolle der Bibliothek zwischen Betriebssystem, Anwendung und Netzwerkprotokoll
• Installation, Paketstände, Laufzeitabhängigkeiten und Ermittlung verfügbarer Funktionen
• Abgrenzung von Bibliothekskonfiguration, Anwendungskonfiguration und dienstspezifischen Vorgaben
• Verhalten bei Updates sowie Planung von Test-, Freigabe- und Rückfallverfahren

Priority Strings und Sicherheitsprofile

• Aufbau, Auswertung und systematische Prüfung von Priority Strings
• Protokollversionen, Cipher Suites, Gruppen, Signaturalgorithmen und Sicherheitsprofile
• Sichere Standardwerte, gezielte Ergänzungen und kontrollierte Ausnahmen
• Umgang mit Altverfahren und fehlerhaften Gegenstellen, ohne die Gesamtumgebung unnötig abzusenken

Systemweite Kryptorichtlinien

• Globale und anwendungsspezifische Prioritäten
• Systemweites Deaktivieren unerwünschter Algorithmen und Protokolle
• Vorgaben für Parameterprüfung, Standardsicherheitsniveau und zulässige Schlüsselgrößen
• Bewertung von TLS-Zertifikatskompression, Kernel-TLS und weiteren optionalen Betriebsfunktionen
• Dokumentation, Versionierung und automatisierte Verteilung von Richtliniendateien

Vertrauen, Schlüssel und Betriebskontrollen

• Systemvertrauensspeicher, eigene Trust Stores und anwendungsspezifische CA-Bestände
• PEM, DER, PKCS #8 und PKCS #12 im administrativen Alltag
• CRL, OCSP und typische Auswirkungen fehlerhafter Sperr- oder Zeitinformationen
• Logging, Audit-Ausgaben, Monitoring und prüfbare Konfigurationsnachweise
• Fehlerbilder bei Protokoll-, Algorithmus-, SNI-, Zertifikats- und Vertrauensproblemen

Praxis

Die Übungen umfassen den Entwurf einer eigenen Richtlinie, die schrittweise Härtung einer Testumgebung, Positiv- und Negativtests gegen unterschiedliche Serverprofile sowie die Analyse typischer Handshake- und Zertifikatsfehler. Abschließend wird ein betrieblich nutzbarer Prüf- und Rolloutprozess erstellt.