Seminar Keylime – IDevID, IAK und Geräteidentitäten

Überblick

Das Seminar behandelt starke Geräteidentitäten und deren Bindung an TPM und Enrollment. Theorie, Konfiguration und technische Prüfung werden in einem durchgängigen Szenario verbunden, sodass aus einzelnen Funktionen ein nachvollziehbarer Betriebs- oder Sicherheitsprozess entsteht.

Die eintägige Dauer ist angemessen, weil der Themenbereich klar abgegrenzt ist und Einordnung, Laborumsetzung, Negativtest sowie Dokumentation in einem geschlossenen Arbeitsablauf durchgeführt werden können. Im Mittelpunkt stehen reproduzierbare Arbeitsschritte, positive und negative Testfälle sowie eine dokumentierte technische Abnahme.

Inhaltsübersicht

1. IDevID, IAK, EK und AK abgrenzen
2. Vertrauensanker und Aussteller festlegen
3. TPM-Bindung nachweisen
4. Enrollment mit Geräteidentität ausführen
5. Fehlerfälle gezielt erzeugen
6. Rotation und Gerätewechsel planen
7. Identitätsstatus auditierbar dokumentieren

Lernziele

• Starke geräteidentitäten und deren bindung an tpm und enrollment fachlich einordnen und für ein konkretes Einsatzszenario planen.
• IDevID, IAK, EK und AK abgrenzen.
• Vertrauensanker und Aussteller festlegen.
• TPM-Bindung nachweisen.
• Enrollment mit Geräteidentität ausführen.
• Positive und negative Prüfergebnisse technisch bewerten, Fehler schichtweise lokalisieren und die Betriebs- oder Freigabeentscheidung dokumentieren.

Seminarinhalte Schritt für Schritt

Schritt 1: IDevID, IAK, EK und AK abgrenzen

Herkunft, Zweck, Lebensdauer und Schlüsselbindung der Identitätstypen werden verglichen, damit Geräteidentität und konkrete Quote nicht verwechselt werden. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 2: Vertrauensanker und Aussteller festlegen

Zulässige Geräte- oder Unternehmens-CAs, Zertifikatsprofile, Laufzeiten und notwendige Erweiterungen werden als Zulassungsregel dokumentiert. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 3: TPM-Bindung nachweisen

Die Beziehung zwischen Geräteidentität, initialem Attestierungsschlüssel und TPM wird kryptografisch geprüft. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 4: Enrollment mit Geräteidentität ausführen

Agent, Registrar und Zertifikatskette werden so verbunden, dass nur vollständig validierte Geräte in die Attestierungsverwaltung gelangen. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 5: Fehlerfälle gezielt erzeugen

Unbekannter Aussteller, abgelaufenes Zertifikat, fehlende Zwischenzertifikate, falscher Schlüsselbezug und doppelte Agent-ID werden eindeutig abgelehnt. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 6: Rotation und Gerätewechsel planen

Zertifikatserneuerung, TPM-Tausch, Mainboard-Wechsel und Aussonderung erhalten getrennte und nachvollziehbare Verfahren. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 7: Identitätsstatus auditierbar dokumentieren

Vertrauensanker, Enrollment-Ergebnis, Gerätebestand und Lebenszyklusereignisse werden zu einem überprüfbaren Identitätsnachweis verbunden. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Praxisübungen

• Identitätsmatrix für IDevID, IAK, EK und AK erstellen.
• Zertifikatskette und Schlüsselbindung eines Laborgeräts prüfen.
• Enrollment mit gültiger und fehlerhafter Geräteidentität testen.
• Verfahren für TPM-Tausch und Aussonderung dokumentieren.

Einordnung in den Lernpfad

Nach TPM-Grundlagen und Architektur. Besonders relevant vor großflächigem Edge- oder IoT-Enrollment und vor dem Push-Modell.