Seminar PKI-Suiten – Digitale Signaturen, Code Signing und Zeitstempel

Vertrauenswürdige Signaturdienste aufbauen

Signaturzertifikate schützen nicht nur Dokumente, sondern auch Softwarelieferketten, Firmware, Containerartefakte und automatisierte Geschäftsprozesse. Ein kompromittierter Signaturschlüssel kann erhebliche Auswirkungen haben, weil er Vertrauen direkt auf manipulierte Inhalte überträgt.

Das Seminar verbindet Zertifikatsprofile, HSM-gestützte Schlüsselverwahrung, Freigabeworkflows, Zeitstempel und Validierung zu einem kontrollierbaren Signaturdienst. Dabei werden sowohl personengebundene als auch zentrale und automatisierte Signaturszenarien betrachtet.

Seminarziel

Die Teilnehmer können Signaturdienste architektonisch einordnen, geeignete Zertifikats- und Schlüsselmodelle festlegen, sichere Freigaben und Zeitstempel integrieren, Validierungsketten prüfen und Betriebs- sowie Notfallprozesse definieren.

Zielgruppe

PKI- und Security-Architekten, Betreiber von Signaturdiensten, DevSecOps- und Software-Supply-Chain-Teams, Dokumentenmanagement, Compliance und technische Projektleitungen.

Schwerpunkte

• Signaturarten und Vertrauensmodelle: Dokumentensignatur, elektronisches Siegel, Code- und Firmware-Signing, Artefaktsignatur, Remote Signing und maschinelle Signaturen.
• Zertifikatsprofile: Key Usage, Extended Key Usage, Identitätsbindung, Policies, Laufzeiten, Namensregeln und Trennung unterschiedlicher Signaturzwecke.
• Schlüsselverwahrung: HSM, persönliche Token, zentrale Signaturserver, Schlüsselgenerierung, Backup, Rotation, Exportverbote und Rollenmodelle.
• Freigabe und Mehr-Augen-Prinzip: Antragswege, Genehmigungen, starke Authentisierung, zeitlich begrenzte Berechtigungen und Schutz automatisierter Signaturkonten.
• Zeitstempeldienste: Aufgabe einer Timestamp Authority, Zeitquelle, Zertifikatskette, Verfügbarkeit, Langzeitnachweis und Abgrenzung zur eigentlichen Signatur.
• Validierung und Beweiserhalt: Signaturprüfung, Zertifikatsstatus, Zeitstempel, Archivierung, Algorithmuswechsel und langfristige Nachprüfbarkeit.
• Integration in Build- und Fachprozesse: CI/CD, Release-Pipelines, Dokumentenmanagement, Freigabestrecken, APIs, Warteschlangen und Nachvollziehbarkeit.
• Missbrauch und Notfallmaßnahmen: Erkennung unzulässiger Signaturen, Sperrung, Austausch von Schlüsseln, Vertrauensentzug, Kommunikation und forensische Sicherung.

Praktische Übungen

Die Teilnehmer definieren Profile für Dokument- und Code-Signing, modellieren einen HSM-gestützten Freigabeworkflow, signieren und validieren Testartefakte, prüfen Zeitstempel und bearbeiten ein Szenario mit kompromittiertem Signaturschlüssel.