Föderation und bilaterales Vertrauen

Zusammenfassung. In TrustBridge vertrauen Organisationen einander nicht als Mitglieder eines gemeinsamen Verbunds, sondern paarweise. Jede Vertrauensbeziehung wird zwischen genau zwei Organisationen vereinbart, und jede Seite legt für ihre Richtung selbst fest, welchen Diensten der anderen Seite sie zu welchem Zweck, unter welchen kryptographischen Anforderungen und wie lange vertraut. Vertrauen wird nicht weitergegeben: Vertraut A dem Partner B und B dem Partner C, vertraut A dem Partner C deshalb nicht. Jede Seite kann ihre Richtung jederzeit allein widerrufen. Die Identitäten, Schlüssel und Regeln beider Organisationen bleiben getrennt.

• Organisation – eine Partei mit eigener Hierarchie von Zertifizierungsstellen, eigenen Freigebern und eigenem Register.
• Vertrauensbeziehung – Vereinbarung zwischen genau zwei Organisationen, die Vertrauensanker der anderen Seite für bestimmte Dienste und Zwecke anzuerkennen.
• Richtung – eine Seite einer Vertrauensbeziehung: Die Richtung von A nach B legt fest, wie A Systemen von B vertraut.
• Beziehungsrichtlinie – die Festlegungen einer Organisation für ihre Richtung.
• Vertrauensanker der Beziehung – das Zertifikat der Gegenseite, das eine Organisation in die Beziehung aufnimmt; nur Ketten bis zu diesem Anker gelten.
• Widerruf – einseitige Beendigung einer Richtung mit sofortiger Wirkung auf neue Verbindungen und festgelegter Wirkung auf bestehende.

graph TD
  A[Organisation A<br/>Auftraggeber]
  B[Organisation B<br/>Wartungsdienstleister]
  C[Organisation C<br/>technischer Dienstleister]
  N[keine Beziehung:<br/>A vertraut C nicht]
  A ---|Beziehung A und B| B
  B ---|Beziehung B und C| C
  A -.- N
  N -.- C
  classDef par fill:#deecf9,stroke:#0078d4,color:#201f1e
  classDef onl fill:#f3f2f1,stroke:#605e5c,color:#201f1e
  class A,B,C par
  class N onl

In vielen Verbünden heißt Beitritt, allen anderen Mitgliedern zu vertrauen, oft über eine gemeinsame Wurzel oder über Kreuzzertifikate, deren Wirkung sich über Ketten fortsetzt. TrustBridge vermeidet beides:

Jede Organisation legt für ihre Richtung fest:

Die beiden Richtungen einer Beziehung sind voneinander unabhängig. A kann B für einen Dienst zulassen, während B von A gar nichts annimmt; oder beide Seiten verlangen unterschiedliche kryptographische Anforderungen. Eine Verbindung entsteht nur, wenn sie beide Richtlinien erfüllt, die des Aufrufers und die des Aufgerufenen.

stateDiagram
  [*] --> Angefragt
  Angefragt --> Vereinbart: beide Seiten nehmen Anker auf und geben ihre Richtlinie frei
  Vereinbart --> Aktiv: Gültigkeitsbeginn erreicht
  Aktiv --> Aktiv: Richtlinie geändert, mit Freigabe
  Aktiv --> Widerrufen: eine Seite widerruft ihre Richtung
  Aktiv --> Abgelaufen: Dauer erreicht
  Widerrufen --> [*]
  Abgelaufen --> [*]

1. Anfrage. Eine Organisation lädt die andere ein. Die Einladung trägt den Vertrauensanker der einladenden Seite und einen Prüfwert, der über einen getrennten Weg bestätigt wird, etwa telefonisch oder im Vertrag.
2. Vereinbarung. Beide Seiten prüfen den Anker der Gegenseite gegen den Prüfwert, nehmen ihn auf und geben ihre Richtlinie frei. Die Freigabe ist eine Signatur einer berechtigten Person, wie bei einer manuellen Zertifikatsausstellung.
3. Betrieb. Der CA-Worker jeder Seite nimmt die freigegebene Beziehung in ein signiertes Vertrauensbündel auf. TLS-Adapter und Schlüsselagenten verwenden nur dieses Bündel, bei jedem Verbindungsaufbau und bei jedem Schlüsselaustausch. Wer die Datenbank beherrscht, kann deshalb keinen fremden Anker einschleusen.
4. Änderung. Eine Änderung an einer Richtung braucht die Freigabe nach dem Änderungsrecht dieser Richtung und wird im Register dieser Organisation festgehalten.
5. Ende. Durch Ablauf oder Widerruf. Die andere Seite muss nicht zustimmen.

Ein Widerruf ist keine Sperrung. Die Zertifikate der Gegenseite bleiben gültig, ihre Verbindungen zu anderen Organisationen bleiben unberührt. Eine Sperrung betrifft ein einzelnes Zertifikat, ein Widerruf eine Beziehung.

Eine Beziehung erkennt einen Anker an, sie stellt kein Zertifikat aus. Deshalb gibt es keine Kreuzzertifikate, keine gemeinsame Wurzel und keine Kette, die über eine Organisation hinweg in eine dritte führt. Ein Partner ohne eigene PKI erhält stattdessen eine Partner-CA in der Hierarchie des Auftraggebers; auch dann ist die Beziehung bilateral, und der Partner kann später zu einer eigenen Installation wechseln. Beide Wege beschreibt das Vertrauensmodell.

Die Beziehung hängt nicht davon ab, wer eine Installation betreibt. Ein Lieferant, dessen Installation ein Betriebspartner führt, und ein Konzern mit eigener Installation vereinbaren dieselbe Beziehung auf dieselbe Weise. Ein Partner mit einer bestehenden Unternehmens-PKI nimmt teil, indem er den Vertrauensanker seiner PKI in die Beziehung einbringt und seine Systeme mit dem TLS-Adapter und dem Schlüsselagenten von TrustBridge ausstattet. Einzelheiten stehen auf der Seite Betriebsmodelle.

• Keine Berechtigung. Eine Beziehung lässt Dienste und Zwecke zu; welche Operation erlaubt ist, legt die Zielanwendung fest.
• Keine vertragliche Ausgestaltung. Haftung, Pflichten und Fristen zwischen den Organisationen regelt ihr Vertrag; die Richtlinie setzt die technischen Festlegungen daraus um.
• Keine Weitergabe von Identitäten an Dritte und keine Föderation von Benutzerkonten. TrustBridge verbindet Systeme und Dienste, nicht Anmeldedienste für Personen.