Betriebsmodelle
Zusammenfassung. TrustBridge wird in drei Modellen betrieben. Im Modell Managed führt ein Betriebspartner Installation, Aktualisierung, Überwachung und Zertifikatsverwaltung für eine Organisation, die keine eigene Kryptographie-Infrastruktur unterhalten will. Im Modell Customer Managed betreibt eine Organisation alles selbst. Im Modell Federated Hybrid arbeiten Organisationen mit verschiedenen Modellen in derselben Lieferkette zusammen. In allen drei Modellen gilt: Betrieb ist kein Schlüsselbesitz. Freigaben erteilen nur Personen der Organisation selbst, die Schlüssel ihrer Zertifizierungsstelle liegen in einem nur ihr zugeordneten Sicherheitsmodul, und ein Wechsel des Betreibers gelingt ohne Herausgabe privater Schlüssel.
Begriffe
- Betriebspartner – Unternehmen, das im Modell Managed eine TrustBridge-Installation im vertraglich vereinbarten Umfang für eine Organisation betreibt.
- Installation – die Komponenten einer Organisation: CA-Worker, Sicherheitsmodul, Online-Dienste, Verwaltungsanwendung, Schlüsselagenten und TLS-Adapter.
- Verwahrer – Person, die einen Anteil am Zugang zur Offline-Wurzel hält.
- CA-Generation – ein Satz von CA-Schlüsseln und -Zertifikaten mit eigener Laufzeit; eine neue Generation löst die vorherige ab.
Die drei Modelle
graph TD
subgraph M1 [Managed]
O1[Organisation:<br/>Freigeber, Verwahrer, Richtlinien]
P1[Betriebspartner:<br/>Installation, Updates, Überwachung]
H1[Sicherheitsmodul<br/>nur dieser Organisation]
end
subgraph M2 [Customer Managed]
O2[Organisation:<br/>alles selbst]
H2[Sicherheitsmodul<br/>der Organisation]
end
subgraph M3 [Federated Hybrid]
X1[Lieferant, Managed]
X2[Konzern, Customer Managed]
X3[Partner mit eigener<br/>Unternehmens-PKI]
end
P1 -->|betreibt| H1
O1 ==>|gibt frei| H1
O2 ==>|betreibt und gibt frei| H2
X1 ---|Beziehung| X2
X2 ---|Beziehung| X3
classDef par fill:#deecf9,stroke:#0078d4,color:#201f1e
classDef onl fill:#f3f2f1,stroke:#605e5c,color:#201f1e
classDef tcb fill:#fde7e9,stroke:#a4262c,color:#201f1e
class O1,O2,X1,X2,X3 par
class P1 onl
class H1,H2 tcb
style M1 fill:#ffffff,stroke:#8a8886,color:#201f1e
style M2 fill:#ffffff,stroke:#8a8886,color:#201f1e
style M3 fill:#ffffff,stroke:#8a8886,color:#201f1e| Modell | Für wen | Wer betreibt | Wer gibt frei |
|---|---|---|---|
| Managed | kleine und mittlere Unternehmen, die sich sicher mit Auftraggebern verbinden wollen, ohne eigene Kryptographie-Infrastruktur zu pflegen | der Betriebspartner im vertraglich vereinbarten Umfang | Personen der Organisation |
| Customer Managed | große Unternehmen und Organisationen mit eigener Sicherheitsinfrastruktur | die Organisation selbst | Personen der Organisation |
| Federated Hybrid | Lieferketten, in denen Organisationen verschiedene Modelle oder eigene PKIs verwenden | jede Organisation nach ihrem Modell | jede Organisation für sich |
Verantwortung im Modell Managed
| Aufgabe | Betriebspartner | Organisation |
|---|---|---|
| Installation und Konfiguration | führt aus | legt Anforderungen fest |
| Sicherheitsaktualisierungen | führt aus, nach vereinbarten Fristen | wird informiert |
| Überwachung und Störungsbehebung | führt aus | wird bei Störungen informiert |
| Verwaltung des Zertifikatslebenszyklus (Erneuerung, Sperrung auf Anweisung) | führt aus | gibt manuelle Ausstellungen frei, weist Sperrungen an |
| Freigabe manueller Aufträge | – | Personen der Organisation, mit eigenen Freigabe-Schlüsseln |
| Vertrauensbeziehungen und Richtlinien | richtet technisch ein | vereinbart und gibt frei |
| Zeremonien der Offline-Wurzel | führt durch | stellt die Verwahrer |
| Hilfe bei Sicherheitsvorfällen | unterstützt, nach vereinbartem Umfang | entscheidet über Notsperrung und Widerruf |
| Technische Unterstützung | leistet | – |
Der Betriebspartner kennt keine Freigabe-Schlüssel und keine Geheimnisse der Schlüsselagenten. Er kann eine Ausstellung vorbereiten, aber nicht auslösen; das Vertrauensmodell beschreibt, warum die Kontrolle über Datenbank und Verwaltung dafür nicht genügt.
Verantwortung im Modell Customer Managed
Die Organisation betreibt ihre Zertifizierungsstellen, privaten Schlüssel, Sicherheitsmodule, Richtlinien, Beziehungsfreigaben, Zertifikate, Prüfungen und Betriebsverfahren selbst. WKL liefert die Software, ihre Aktualisierungen, die Interoperabilität mit anderen TrustBridge-Installationen und Unternehmens-PKIs, diese Dokumentation und die vereinbarte Unterstützung.
Zusammenarbeit im Modell Federated Hybrid
Eine Organisation verliert ihre Selbstständigkeit nicht dadurch, dass sie mit anderen zusammenarbeitet. Jede Beziehung ist bilateral, und keine Organisation braucht für eine Beziehung den Betreiber einer anderen:
| Konstellation | Wie die Beziehung entsteht |
|---|---|
| Managed und Customer Managed | beide Installationen tauschen Vertrauensanker aus; der Betriebspartner richtet die Seite des Lieferanten ein, die Freigabe erteilt der Lieferant |
| Zwei Organisationen mit verschiedenen Betriebspartnern | wie oben; die Betriebspartner haben untereinander keine Rolle |
| TrustBridge und bestehende Unternehmens-PKI | der Partner bringt den Anker seiner PKI ein und stattet die beteiligten Systeme mit TLS-Adapter und Schlüsselagent aus |
Ort der Schlüssel
| Schlüssel | Managed | Customer Managed |
|---|---|---|
| Offline-Wurzel | offline, Zugang nur mit Verwahrern der Organisation | offline, bei der Organisation |
| Schlüssel der ausstellenden CAs | Sicherheitsmodul oder eigene Partition eines Sicherheitsmoduls, ausschließlich dieser Organisation zugeordnet | Sicherheitsmodul der Organisation |
| Freigabe-Schlüssel | persönliche Hardware-Träger der Freigeber der Organisation | wie Managed |
| Schlüssel der Systeme und Agenten | auf den Systemen selbst | wie Managed |
| Geheimnisse der Schlüsselagenten | nur auf den beiden beteiligten Rechnern | wie Managed |
Wechsel und Ende der Zusammenarbeit
Ein Wechsel des Betreibers oder des Modells braucht keine Herausgabe privater Schlüssel. Er verläuft über eine neue CA-Generation:
- Im neuen Betrieb entstehen neue Schlüssel der ausstellenden CAs, zertifiziert durch die Wurzel der Organisation in einer Zeremonie mit ihren Verwahrern.
- Die Organisation nimmt die neue Generation in ihre Beziehungen auf; die Partner erkennen sie neben der alten an.
- Die Systeme erhalten bei ihrer nächsten Erneuerung Zertifikate der neuen Generation.
- Nach der Übergangszeit wird die alte Generation gesperrt und ihre Schlüssel werden im alten Sicherheitsmodul vernichtet; die Vernichtung wird protokolliert.
Endet eine Zusammenarbeit zwischen zwei Organisationen, widerruft jede ihre Richtung der Beziehung, siehe Föderation und bilaterales Vertrauen. Register und Nachweise bleiben bei der Organisation, zu der sie gehören.
Was diese Seite nicht festlegt
- Keine Preise und Vertragsbedingungen. Umfang, Fristen und Reaktionszeiten eines Betriebspartners regelt der Vertrag mit ihm.
- Keine Pflicht zu einem bestimmten Betreiber oder einem Abonnement. Jede Organisation kann ihr Modell wechseln.
- Keine Übertragung von Verantwortung für Freigaben. Wer im Modell Managed freigibt, ist immer eine Person der Organisation.