Betrieb und Notfall

Zusammenfassung. Diese Seite beschreibt, wie WKL TrustBridge auf Ausfälle und Kompromittierung reagiert: welche Funktion beim Ausfall welcher Komponente erhalten bleibt, welche Zeiten für Wiederherstellung zur Verfügung stehen, wie gesperrt und widerrufen wird, wenn zentrale Dienste fehlen, und wie ein kompromittierter CA-Schlüssel behandelt wird. Leitlinie ist, dass die Statusauskunft robuster ist als die Ausstellung: Eine ausbleibende Ausstellung verzögert, eine ausbleibende Sperrung schadet. Die Vorgabewerte am Ende der Seite gelten, solange eine Organisation nichts anderes festlegt.

• RPO (Recovery Point Objective) – höchster hinnehmbarer Datenverlust, gemessen in Zeit.
• RTO (Recovery Time Objective) – höchste hinnehmbare Dauer bis zur Wiederherstellung.
• Bereitschaft – vorbereitete zweite Instanz, die bei Ausfall übernimmt, aber nicht gleichzeitig arbeitet.
• Notsperrung – Sperrung unmittelbar am Worker-Host ohne Datenbank und Verwaltung.

graph TD
  W[CA-Worker fällt aus] --> L[letzte Sperrliste gültig<br/>bis nextUpdate]
  L --> T1[0 bis 66 h:<br/>Prüfungen gelingen]
  L --> T2[nach 66 h ohne neue Liste:<br/>Prüfungen scheitern fail closed]
  B[Bereitschafts-Worker] -->|Ziel: deutlich unter 66 h| N[neue Sperrliste]
  N --> T1
  classDef ok fill:#dff6dd,stroke:#107c10,color:#201f1e
  classDef ko fill:#fde7e9,stroke:#a4262c,color:#201f1e
  class T1 ok
  class T2 ko
  classDef tcb fill:#fde7e9,stroke:#a4262c,color:#201f1e
  class B,W tcb
  classDef neu fill:#f3f2f1,stroke:#605e5c,color:#201f1e
  class L,N neu

Fail closed. Läuft eine Sperrliste ab, ohne dass eine neue vorliegt, lehnen Gegenstellen ab. Das ist gewollt: Eine Gegenstelle, die ohne gültigen Status annimmt, würde gesperrte Zertifikate akzeptieren. Der Preis ist ein Verfügbarkeitsrisiko, das durch den Puffer von 66 Stunden und die Bereitschaft begrenzt wird.

Das Register ist die einzige Wahrheit über Ausstellung und Sperrung. Nach einer Wiederherstellung aus einer Sicherung kann es hinter der Datenbank zurückliegen. Der Worker geht dann so vor:

1. Er trägt die Wiederherstellung samt letztem bekanntem Anker als eigenes Ereignis ein; ein Rückfall hinter einen Anker ist damit erklärt, nicht verdeckt.
2. Er übernimmt projizierte Zertifikate aus der Datenbank, deren CA-Signatur gültig ist, bevor er neue Aufträge abarbeitet. Eine Seriennummer, die bereits verwendet wurde, wird so nicht erneut vergeben.
3. Er erzeugt eine neue Sperrliste mit einer CRL-Nummer oberhalb jeder veröffentlichten.

Fehlen Datenbank oder Verwaltung, sperrt eine berechtigte Person an der Konsole des Worker-Hosts. Der Sperrauftrag geht direkt ins Register; die neue Sperrliste erreicht die Verteilung über den zweiten Weg. Voraussetzung sind physischer oder abgesicherter Fernzugang zum Worker-Host und ein geübtes Verfahren; die Schritte beschreibt So sperren Sie ein Zertifikat.

Ein Widerruf braucht weder die Gegenseite noch die Datenbank. Fehlt die Verwaltung, widerruft eine berechtigte Person an der Konsole des Worker-Hosts; der Worker erzeugt ein neues Vertrauensbündel ohne die Beziehung, und die TLS-Adapter laden es über den zweiten Weg. Bis die Adapter das neue Bündel erhalten haben, begrenzt die Laufzeit des alten Bündels die Wirkung. Die Schritte beschreibt So widerrufen Sie eine Vertrauensbeziehung.

Eine Kompromittierung fällt beim stündlichen Abgleich der Signaturzähler des Moduls mit dem Register auf oder wird von außen gemeldet. Die Antwort folgt sechs Schritten – erkennen, eindämmen, melden, sperren, wiederaufbauen, nachbereiten –, die So reagieren Sie auf einen kompromittierten CA-Schlüssel beschreibt. Gesperrt wird eine ausstellende CA nur in einer Zeremonie an der Wurzel; die Hierarchien der Partner sind nicht betroffen.

Bei Kompromittierung der Wurzel ist die Hierarchie dieser Organisation neu aufzubauen und der neue Anker in alle ihre Beziehungen einzubringen. Die Hierarchien der Partner sind nicht betroffen. Vor diesem Fall schützen Offline-Betrieb, Mehrpersonenregel und Tresore.

Jede Organisation führt die folgenden Tests vor der Inbetriebnahme und danach mindestens jährlich durch. Übungen mit der Wurzel verwenden eine Testwurzel.

Die folgenden Werte gelten, solange eine Organisation nichts anderes festlegt. Abweichungen sind im Regelwerk oder in der Beziehungsrichtlinie einzutragen und werden im Register festgehalten.

• Keine Betriebsorganisation einer bestimmten Organisation. Rollen, Verwahrer und Bereitschaft benennt jede Organisation selbst; im Modell Managed übernimmt der Betriebspartner die vereinbarten Rollen, nie Freigabe und Verwahrung.
• Keine Reaktionszeiten eines Betriebspartners. Sie regelt der Vertrag mit ihm.
• Keine Werte außerhalb der Grenzen des Regelwerks; eine Organisation kann Vorgaben verschärfen und innerhalb der Grenzen anpassen, nicht aufheben.