Begriffe
Zusammenfassung. Definitionen der Fachbegriffe, die diese Dokumentation verwendet. Wo ein Begriff einem Standard entstammt, ist die Quelle genannt.
Übersicht
| Begriff | Bedeutung |
|---|---|
| ACME | Automatic Certificate Management Environment, Protokoll zur automatisierten Ausstellung (RFC 8555) |
| Agentenzertifikat | ML-DSA-Zertifikat, mit dem sich ein Schlüsselagent gegenüber dem Agenten der Gegenseite ausweist (RFC 9881) |
| AIA | Authority Information Access; Erweiterung, die angibt, wo das Zertifikat der ausstellenden CA abrufbar ist (RFC 5280) |
| Alternativsignatur | zweite Signatur in einem Zertifikat nach den X.509-Erweiterungen 2.5.29.72 bis 2.5.29.74; hier ML-DSA |
| Attestierung | Bestätigung eines Auftrags durch das Enrollment mit dessen Dienstschlüssel; ersetzt bei automatischen Profilklassen die Personenfreigabe |
| Auftrag | unveränderlicher, byte-genau gespeicherter Schnappschuss eines künftigen Zertifikats, einer Sperrung oder einer Beziehung; Kennung ist der SHA-256 über seine Bytes |
| Ausstellende CA | CA, die Systemzertifikate ausstellt; je Organisation oder Partner mindestens eine, mit Namensbeschränkung |
| Bereitschaft | vorbereitete zweite Instanz, die bei Ausfall übernimmt |
| Berechtigung | Entscheidung einer Zielanwendung, ob eine bestimmte Operation für eine geprüfte Identität erlaubt ist |
| Betriebspartner | Unternehmen, das im Modell Managed eine Installation im vereinbarten Umfang betreibt, ohne Freigaberechte und ohne Schlüsselbesitz |
| Beziehungsrichtlinie | Festlegungen einer Organisation für ihre Richtung einer Vertrauensbeziehung: Dienste, Zweck, kryptographische Anforderungen, Dauer, Änderungsrecht, Widerruf |
| CA-Generation | Satz von CA-Schlüsseln und -Zertifikaten mit eigener Laufzeit; eine neue Generation löst die vorherige ab |
| CDP | CRL Distribution Point; Erweiterung, die angibt, wo die Sperrliste abrufbar ist (RFC 5280) |
| CMP | Certificate Management Protocol; Profil für Geräte: RFC 9483 |
| CRL | Certificate Revocation List, Sperrliste (RFC 5280) |
| CSR | Certificate Signing Request, Zertifikatsantrag nach PKCS #10 mit Besitznachweis |
| EST | Enrollment over Secure Transport (RFC 7030) |
| Externer Anker | Kopie eines Kettenkopfs in einem nur anfügbaren Speicher außerhalb der Reichweite der Administratoren |
| Externer PSK | außerhalb von TLS vereinbartes Geheimnis, das in den Schlüsselplan von TLS 1.3 eingeht (RFC 8446) |
| Fail closed | bei fehlender Statusinformation ablehnen statt annehmen |
| Freigabe | Signatur einer im Regelwerk eingetragenen Person über den Auftragshash |
| Hybrid | Kombination eines klassischen und eines Post-Quanten-Verfahrens |
| Hybride Gruppe | Schlüsseleinigung in TLS 1.3 aus ECDHE und ML-KEM (RFC 10024) |
KeyUpdate | TLS-1.3-Nachricht zur Ableitung neuer Verkehrsschlüssel aus dem bisherigen Verkehrsgeheimnis |
| Mandant | Trennlinie zwischen Organisationen und Partnern innerhalb einer Installation |
| ML-DSA | Module-Lattice-Based Digital Signature Algorithm (FIPS 204) |
| ML-KEM | Module-Lattice-Based Key-Encapsulation Mechanism (FIPS 203) |
| mTLS | TLS mit gegenseitiger Zertifikatsauthentisierung |
| Namensbeschränkung | Erweiterung nameConstraints in einem CA-Zertifikat (RFC 5280, Abschnitt 4.2.1.10) |
| Nachweiskette | Zuordnung jeder Anforderung zu Quelle, Ziel, Zusage, Maßnahme, Komponente und Nachweisverfahren |
| OCSP | Online Certificate Status Protocol (RFC 6960); von TrustBridge nicht angeboten |
| OData | Open Data Protocol, Standard für REST-Schnittstellen (OASIS, ISO/IEC 20802) |
| Organisation | Partei mit eigener Hierarchie von Zertifizierungsstellen, eigenen Freigebern und eigenem Register |
| Partner | Organisation der Lieferkette, technisch vertreten durch ihre ausstellende CA |
| Partneridentität | vom TLS-Adapter geprüfte Kombination aus Organisation, Dienstname und Beziehung einer Verbindung |
| Partnerportal | Weboberfläche, über die Verantwortliche eines Partners mit Partner-CA Anträge stellen und freigeben |
| Profilklasse | im Regelwerk des Workers festgelegte Zertifikatskategorie mit verbindlichen Regeln |
| Profilvorlage | in der Verwaltung gepflegte Vorlage, aus der ein Auftrag erzeugt wird |
| Projektion | Kopie eines Registereintrags in der Datenbank zur Anzeige; nicht verbindlich |
| Prüfer-Vertrag | Regeln, die eine prüfende Gegenstelle einhalten muss, damit die Sicherheitszusagen bei ihr wirken |
| Register | nur anfügbares, verkettetes Journal des CA-Workers über Absichten, Ausstellungen, Ablehnungen, Sperrungen und Beziehungen |
| Regelwerk | lokale Konfiguration des CA-Workers: CAs, Profilklassen, Freigeber, Grenzen |
| RPO, RTO | höchster hinnehmbarer Datenverlust bzw. höchste hinnehmbare Wiederherstellungsdauer |
| Schlüsselagent | Dienst auf einem angebundenen Rechner, der mit dem Agenten der Gegenseite das zusätzliche Post-Quanten-Geheimnis vereinbart |
| Schlüsselvermittler | lokale Komponente, die das Geheimnis des Schlüsselagenten an den TLS-Adapter auf demselben Rechner übergibt |
| Sicherheitsmodul (HSM) | Hardware, die Schlüssel erzeugt, verwahrt und nutzt, ohne sie herauszugeben |
| Sicherheitszusage | prüfbare Aussage über ein Verhalten des Gesamtsystems mit Annahmen, Nachweisverfahren und Restrisiko |
| Sichtbereich | benannte Menge von Mandanten, deren Daten eine Person sehen darf |
| SLH-DSA | Stateless Hash-Based Digital Signature Algorithm (FIPS 205) |
| SPIFFE | Secure Production Identity Framework for Everyone; Standard für Workload-Identitäten |
| System | Rechner, Dienst oder Gerät eines Partners, identifiziert durch genau einen DNS-Namen |
| TLS-Adapter | lokaler Dienst, der für eine bestehende Anwendung die geschützte TLS-Verbindung zur Gegenstelle aufbaut oder annimmt |
tls_cert_with_extern_psk | TLS-1.3-Erweiterung aus RFC 9973: Zertifikatsauthentisierung mit zusätzlichem externem PSK im Schlüsselplan |
| Verbindungsrotation | planmäßiger Ersatz einer TLS-Verbindung durch eine neue mit frischem Geheimnis, ohne Unterbrechung für die Anwendung |
| Vertrauensanker | Zertifikat, dem eine Gegenstelle ohne weitere Prüfung vertraut |
| Vertrauensbasis (TCB) | Komponenten, deren Kompromittierung unberechtigte Ausstellung oder Statusaussage ermöglicht |
| Vertrauensbeziehung | Vereinbarung zwischen genau zwei Organisationen, Vertrauensanker der anderen Seite für bestimmte Dienste und Zwecke anzuerkennen |
| Vertrauensbündel | vom CA-Worker signierte Zusammenstellung der aktiven Beziehungen mit ihren Ankern und Richtlinien |
| Widerruf | einseitige Beendigung einer Richtung einer Vertrauensbeziehung |
| Zeremonie | dokumentierter Vorgang mit festen Rollen an der Offline-Wurzel |
| Zusätzliches Post-Quanten-Geheimnis | von den Schlüsselagenten unabhängig von TLS vereinbartes Geheimnis, das als externer PSK in jede Beziehungsverbindung eingeht |
de/wiki/pqcrypt/trustbridge/glossary.txt · Zadnja sprememba: uporabnika Claude Test Contributor