Sicherheitszusagen

Zusammenfassung. Diese Seite ist das Sicherheitsnachweismodell (Security Assurance Model) von WKL TrustBridge. Sie formuliert jede Sicherheitszusage als prüfbare Aussage und nennt dazu die Annahmen, unter denen sie gilt, das Verfahren, mit dem sie nachgewiesen wird, und das verbleibende Risiko. Die Seite unterscheidet ausdrücklich drei Ebenen: die kryptographische Eigenschaft eines Verfahrens, die Anforderung an Betrieb oder Gegenstelle, unter der sie wirkt, und die Zusage über das Verhalten des Gesamtsystems. Jede Zusage gilt nur unter ihren Annahmen.

Begriffe

Zusage – Aussage über ein Verhalten des Gesamtsystems, die mit dem genannten Verfahren prüfbar ist.
Annahme – Bedingung, die außerhalb der Zusage erfüllt sein muss; fällt sie weg, gilt die Zusage nicht.
Nachweisverfahren – Test, Messung, Übung oder Prüfung, die die Zusage belegt oder widerlegt.

Zusagen

S-01 Keine Ausstellung ohne Autorisierung


Zusage	Ein Zertifikat wird nur ausgestellt, wenn für genau diesen Auftrag gültige Freigaben der im Regelwerk vorgeschriebenen Zahl von Personen bzw. eine gültige Attestierung des Enrollments vorliegen
Annahmen	Integrität von Worker-Host, Regelwerk und Register; Freigabe-Schlüssel nicht kompromittiert; das Sicherheitsmodul nimmt Signaturaufträge nur vom Worker an; im Modell Managed hält der Betriebspartner keinen Freigabe-Schlüssel
Nachweisverfahren	Tests des Workers mit je einem Auftrag pro Prüfregel, der abgelehnt werden muss (ohne Freigabe, fremde Freigabe, Freigabe auf anderen Hash, abgelaufene Frist, stornierter Auftrag, zweite Ausführung); Manipulationstest an der Datenbank; Abgleich der Signaturzähler des Moduls mit dem Register
Restrisiko	Kollusion: ein Freigeber, der zugleich Verwaltung oder Datenbank kontrolliert, in Klassen mit nur einer Freigabe; Administrator des Worker-Hosts mit Zugriff auf das Regelwerk

S-02 Kein gültiges Zertifikat außerhalb des Namensraums


Zusage	Eine Gegenstelle, die den Prüfer-Vertrag einhält, akzeptiert kein Zertifikat für einen Namen außerhalb des Namensraums der ausstellenden CA
Annahmen	Die Gegenstelle setzt `nameConstraints` durch, wie es der TLS-Adapter tut; das CA-Zertifikat wurde mit dem festen Inhalt aus dem Werkzeug der Wurzel erzeugt
Nachweisverfahren	Testzertifikate mit verbotenen Namen, die abgelehnt werden müssen; Prüfung des Werkzeugs der Wurzel
Restrisiko	Gegenstellen ohne TLS-Adapter, die Namensbeschränkungen nicht oder unvollständig durchsetzen; die Zusage gilt dort nicht

S-03 CA-Schlüssel verlassen das Sicherheitsmodul nicht


Zusage	Kein privater CA-Schlüssel existiert außerhalb eines Sicherheitsmoduls oder dessen geschützter Sicherung
Annahmen	Das Modul ist zertifiziert, korrekt konfiguriert und erzeugt die Schlüssel als nicht exportierbar
Nachweisverfahren	Startprüfung des Workers auf Nicht-Exportierbarkeit; Zeremonieprotokoll mit Zeugen; Konfigurationsprüfung des Moduls
Restrisiko	Schwachstellen im Modul selbst

S-04 Sperrung wirkt in begrenzter Zeit


Zusage	Nach dem Eintrag einer Sperrung im Register lehnt jede vertragskonforme Gegenstelle das Zertifikat spätestens nach dem nächsten Ladezyklus ab, also innerhalb von etwa sechs Stunden zuzüglich der Laufzeit der Veröffentlichung
Annahmen	Worker und Verteilung laufen; die Gegenstelle lädt im vorgeschriebenen Takt
Nachweisverfahren	Messung von Registereintrag bis Ablehnung an einer Testgegenstelle
Restrisiko	Gegenstellen mit längerem Ladetakt; Zwischenspeicher im Netz

S-05 Statusauskunft übersteht einen Ausfall des Workers


Zusage	Nach Ausfall des Workers bleibt eine gültige Sperrliste mindestens 66 Stunden abrufbar
Annahmen	Die letzte Liste wurde vor dem Ausfall veröffentlicht; die Verteilung läuft
Nachweisverfahren	Ausfallübung mit angehaltenem Worker
Restrisiko	Ausfall von Worker und Bereitschaft über mehr als 66 Stunden führt zu Ablehnung aller Prüfungen (fail closed)

S-06 Jede Ausstellung ist gegenüber Dritten belegbar


Zusage	Für jedes ausgestellte Zertifikat lässt sich ohne Datenbank belegen, welcher Auftrag mit welchen Freigaben unter welcher Fassung des Regelwerks zugrunde lag, bis zum letzten externen Anker
Annahmen	Externer Anker liegt außerhalb der Reichweite der Administratoren; Register gesichert
Nachweisverfahren	Prüfverfahren für Dritte (siehe Audit und Nachweis) an einer Stichprobe
Restrisiko	Einträge nach dem letzten Anker sind bis zum nächsten Anker nur gegen beiläufige Änderung geschützt

S-07 Genau einmal je Auftrag


Zusage	Ein Auftrag führt höchstens zu einem Zertifikat; Abstürze erzeugen weder Doppelausstellung noch Lücken in der Nachweiskette
Annahmen	Exklusive Sperre auf das Register wirkt; genau ein Worker je CA
Nachweisverfahren	Tests mit erzwungenem Abbruch an jeder Stelle zwischen Absicht und Projektion; Start eines zweiten Workers
Restrisiko	Wiederherstellung des Registers aus einer zu alten Sicherung

S-08 Mandantentrennung beim Lesen


Zusage	Eine Person sieht nur Daten der Mandanten ihres Sichtbereichs
Annahmen	Richtlinien der Row-Level Security vollständig; Zuordnung von Personen zu Sichtbereichen korrekt
Nachweisverfahren	Tests mit mehreren Mandanten auf jeder Menge und jedem Befehl, einschließlich Filter- und Gruppierabfragen
Restrisiko	kompromittierte Verwaltung kann im Rahmen ihres eigenen Zugriffs lesen

S-09 PQ-Authentisierung nur bei verlangter Prüfung


Kryptographische Eigenschaft	Eine ML-DSA-Signatur ist nach heutigem Kenntnisstand auch für einen Angreifer mit Quantencomputer nicht fälschbar
Anforderung an die Gegenstelle	Sie muss die Alternativsignatur jedes Kettenglieds prüfen und eine fehlende oder ungültige als Fehler werten
Zusage	Eine Gegenstelle, die diese Prüfung verlangt, akzeptiert keine Kette, deren ML-DSA-Signaturen nicht von den CA-Schlüsseln stammen – auch wenn die klassischen Signaturen gefälscht sind
Keine Zusage	für Gegenstellen, die nur die klassische Signatur prüfen; sie erhalten keine PQ-Authentisierung, weil die Alternativsignatur abtrennbar ist
Nachweisverfahren	Testketten mit fehlender, verfälschter und fremder Alternativsignatur

S-10 Zwei Faktoren für jede Person an der Verwaltung


Zusage	Kein Zugriff auf die Verwaltungs-API ohne persönlichen Schlüssel und gültige Sitzung aus einem zweiten Faktor
Annahmen	Sitzungen sind an Person und Schlüssel gebunden; Entzug wirkt bei der nächsten Anfrage
Nachweisverfahren	Tests: ohne Schlüssel, ohne Sitzung, mit fremder Sitzung, nach Sperrung des Schlüssels, nach Entzug eines Rechts
Restrisiko	Schadsoftware auf dem Arbeitsplatz kann eine offene Sitzung mitbenutzen; siehe die Analyse in Schnittstellen und Integration. Freigaben sind davon nur betroffen, wenn der Freigabe-Schlüssel auf demselben Gerät ohne Bestätigung durch die Person nutzbar ist

S-11 Keine Weitergabe von Vertrauen


Zusage	Ein TLS-Adapter von Organisation A akzeptiert nur Ketten bis zu Vertrauensankern, die A selbst in eine aktive Beziehung aufgenommen hat; eine Beziehung zwischen B und C gibt C bei A keinen Zugang
Annahmen	Das Vertrauensbündel von A ist mit dem Schlüssel des CA-Workers von A signiert; der Adapter verwendet nur dieses Bündel
Nachweisverfahren	Tests mit Ketten aus der Hierarchie von C, mit einem von B ausgestellten Zertifikat für einen Namen von C und mit einem unsignierten oder veralteten Bündel; alle müssen abgelehnt werden
Restrisiko	B kann Systeme in seinem eigenen Namensraum für C betreiben; dafür haftet B gegenüber A nach ihrem Vertrag

S-12 Zusätzliches Post-Quanten-Geheimnis in jeder Beziehungsverbindung


Kryptographische Eigenschaft	Der Schlüsselplan von TLS 1.3 leitet alle Verkehrsschlüssel aus dem externen PSK und dem Ergebnis der hybriden Schlüsseleinigung ab; ein Angreifer muss beide kennen
Anforderung an den Betrieb	Die Beziehungsrichtlinie verlangt das zusätzliche Geheimnis; Sitzungswiederaufnahme und 0-RTT sind abgeschaltet
Zusage	Eine Verbindung einer Beziehung, die das zusätzliche Geheimnis verlangt, kommt nur zustande, wenn beide TLS-Adapter dasselbe aktuelle Geheimnis ihrer Schlüsselagenten verwenden; ohne bestätigte Erweiterung nach RFC 9973 bricht der Adapter ab
Keine Zusage	Authentisierung durch den PSK; sie bleibt bei den Zertifikaten (S-09)
Nachweisverfahren	Mitschnitt von Handshakes in beiden Richtungen: Erweiterung im ClientHello und ServerHello, Modus `psk_dhe_ke`, hybride Gruppe; falscher PSK führt zum Abbruch; unterdrückte Erweiterung führt zum Abbruch; unabhängige Analyse der Verbindung aus Agentenprotokoll und TLS-Schlüsselplan
Restrisiko	Fehler in der TLS-Implementierung des Adapters; kompromittierter Rechner eines der beiden Endpunkte

S-13 Widerruf einer Beziehung wirkt in festgelegter Zeit


Zusage	Nach dem Widerruf einer Richtung im Register entstehen sofort keine neuen Verbindungen und Schlüsselaustausche dieser Beziehung mehr; bestehende Verbindungen enden spätestens nach der in der Richtlinie festgelegten Frist
Annahmen	Die TLS-Adapter der widerrufenden Organisation erhalten das neue Vertrauensbündel; der Schlüsselagent löscht die Geheimnisse der Beziehung
Nachweisverfahren	Übung: Widerruf bei laufendem Verkehr, Messung bis zur Ablehnung neuer Verbindungen und bis zum Ende der letzten bestehenden
Restrisiko	Adapter, die das neue Bündel nicht erreichen, nehmen neue Verbindungen bis zum Ablauf des alten Bündels an; die Laufzeit des Bündels begrenzt diesen Zeitraum

Was ausdrücklich nicht zugesagt wird

Schutz gegen ein kompromittiertes Sicherheitsmodul oder eine kompromittierte Offline-Wurzel.
Wirkung der Namensbeschränkung bei Gegenstellen ohne TLS-Adapter, die sie nicht durchsetzen.
PQ-Authentisierung bei Gegenstellen, die nur klassisch prüfen.
Schutz der CA-Schlüssel gegen Seitenkanäle über die Zertifizierung des Sicherheitsmoduls hinaus.
Vertraulichkeit von Verkehr, der nicht über einen TLS-Adapter läuft, und der lokalen Strecke zwischen Adapter und Anwendung.
Eine Berechtigung. Was ein Partner mit einer geprüften Identität tun darf, entscheidet die Zielanwendung.