Zusammenfassung. Diese Seite führt die technischen und organisatorischen Maßnahmen von WKL
TrustBridge als Katalog. Jede Maßnahme nennt, welche Anforderung sie erfüllt, worin sie besteht und wie
sie nachgewiesen wird. Der Katalog ist die Brücke zwischen den Sicherheitszielen der
Architekturableitung und den Nachweisen in Audit und Nachweis.
Technische Sicherheitsgrenzen sind durch automatische Prüfungen im Bau abgesichert, organisatorische
Maßnahmen durch Rollen, Verfahren und Übungen.
Begriffe
Technische Maßnahme – durch Software oder Hardware erzwungen.
Organisatorische Maßnahme – durch Rollen, Verfahren und Kontrolle erzwungen.
Tor – automatische Prüfung im Bau oder in der Testausführung, die bei Verletzung den Bau
abbricht.
Katalog
Kryptographie und Schlüssel
ID
Maßnahme
Anforderung
Nachweis
M-01
CA-Schlüssel nur im Sicherheitsmodul, nicht exportierbar, auch ML-DSA
A-03
Startprüfung des Workers (Fingerabdruck, Nicht-Exportierbarkeit); Zeremonieprotokoll
M-02
Ein Schlüssel gehört zu genau einer CA; neuer Schlüssel = neue CA-Generation
A-03, A-08
Regelwerk, Register
M-03
Hybride Zertifikate mit ML-DSA-Alternativsignatur
A-07
Prüfung erzeugter Zertifikate mit klassischen und PQ-fähigen Prüfern
M-04
ML-DSA und ML-KEM gegen veröffentlichte NIST-Prüffälle geprüft
A-06
204 Prüffälle, Prüfstand mit Verfälschungen gegengeprüft
M-05
Prüfvektoren außerhalb des Repositorys, Prüfsumme jeder Datei vor Gebrauch nachgerechnet; abweichende Datei ist Fehlschlag
A-17
Testausführung
M-06
Kein stiller Rückfall auf ein schwächeres Verfahren; jeder Rückfall braucht Richtlinie, Audit-Eintrag, Begründungscode und Telemetrie
A-07
Architekturtest
M-07
Keine Schlüsselerzeugung für Antragsteller; nur CSR mit Besitznachweis (bei hybrid für beide Schlüssel)
A-15
Prüfung im Worker
M-08
Keine privaten Schlüssel in Datenbank, Übertragungsobjekten, Protokollen oder Fehlermeldungen
A-03, A-16
Architekturtest; Durchsicht der Protokolle
Trennung und Rechte
ID
Maßnahme
Anforderung
Nachweis
M-10
CA-Worker ohne eingehende Verbindung, nie in Prozess oder Konto eines HTTP-Dienstes
A-02, A-03
Architekturtest; Netzkonfiguration
M-11
Eigene Datenbankanmeldung je Dienst mit genau den benötigten Rechten
A-09
Rechteprüfung
M-12
Verwaltung ohne Zugang zum Sicherheitsmodul und ohne Konfiguration für CA-Schlüssel
A-03
Architekturtest
M-13
Verteilung ohne privaten Schlüssel und ohne Schreibrecht; prüft Signaturen vor Auslieferung
A-04
Architekturtest
M-14
Mandantenfremdschlüssel (mandant_id, id) und Row-Level Security beim Lesen
A-09
Tests mit mehreren Mandanten
M-15
Verwaltungsclient ohne Datenbankverbindung
A-09, A-20
Tor für die Quellen der Access-Anwendung
Autorisierung und Integrität
ID
Maßnahme
Anforderung
Nachweis
M-20
Freigabe als Signatur über den Auftragshash; Freigeber nur im lokalen Regelwerk
A-02
Register mit Freigaben
M-21
Zwei Freigeber für sicherheitsrelevante Profilklassen (CA-Zertifikate, Freigeber- und Agentenzertifikate, Beziehungen)
A-02
Regelwerk
M-22
Auftrag byte-genau, Kennung SHA-256; Anzeige aus genau diesen Bytes
A-02
Tests der Verwaltungsanwendung
M-23
Prüfung jedes Auftrags gegen Regelwerk: Profilklasse, CA, Mandant, Name, Erweiterungen, Laufzeit, Frist, Einmaligkeit
A-01, A-02
Tests des Workers mit unzulässigen Aufträgen
M-24
Namensbeschränkung (kritisch) in jedem CA-Zertifikat, fest im Werkzeug der Wurzel
A-01
Prüfung erzeugter CA-Zertifikate
M-25
Prüfer-Vertrag für Gegenstellen; Testzertifikate zur Überprüfung
A-01
Testzertifikate, Partnerverträge
Verfügbarkeit und Wiederanlauf
ID
Maßnahme
Anforderung
Nachweis
M-30
Sperrlisten 72 h gültig, Takt 6 h, sofort nach Sperrung
A-04
Messung im Betrieb
M-31
Zweiter Veröffentlichungsweg an der Datenbank vorbei
A-04, A-05
Ausfallübung
M-32
Notsperrung an der Konsole des Worker-Hosts
A-05
Übung
M-33
Absicht vor Signatur im Register; Neustart mit derselben Seriennummer
A-18
Tests mit erzwungenem Abbruch
M-34
Bereitschaft für Worker und Sicherheitsmodul; Verteilung hochverfügbar
A-04
Ausfallübung
Anmeldung und Zugang
ID
Maßnahme
Anforderung
Nachweis
M-40
Persönlicher Schlüssel plus zweiter Faktor für jede Person an der Verwaltung
A-10
Tests der Anmeldung
M-41
Jede Rechteänderung zusammen mit ihrem Audit-Eintrag in einer Transaktion
A-11
Tests
M-42
Fremde Objekte als 404 beantworten
A-09
Tests
M-43
Rechte bei jeder Anfrage prüfen, nicht in der Sitzung zwischenspeichern
A-10
Entzugstests
M-44
Sitzungen begrenzt (Vorgabe 8 Stunden); Sperrung eines Schlüssels beendet alle daran gebundenen Sitzungen sofort
A-10
Entzugstests
M-45
Freigabe-Schlüssel getrennt vom Anmeldegeheimnis, auf Chipkarte oder Sicherheitsschlüssel mit PIV-Funktion, PIN je Signatur
A-02
Abnahme der Träger
M-46
Prüfung neuer Namensräume auf Überlappung mit bestehenden vor jeder Zeremonie
A-01
Werkzeug der Wurzel
Protokollierung und Nachweis
ID
Maßnahme
Anforderung
Nachweis
M-50
Drei Ebenen: Betriebsprotokoll, Sicherheitsaudit, Register
Verkettung über alle Felder mit eindeutiger, längenpräfixierter Kodierung, je Mandant
A-11
Kettenprüfung mit Verfälschungen
M-52
Externer, nur anfügbarer Anker für Kettenköpfe; laufende Kopie des Sicherheitsaudits
A-11
Abgleich
M-53
Abgleich der Signaturzähler des Moduls mit dem Register
A-12
Alarm bei Abweichung
Entwicklung und Lieferkette der Software
ID
Maßnahme
Anforderung
Nachweis
M-60
Warnungen sind Fehler; undokumentierte öffentliche Schnittstelle bricht den Bau
A-17
Bau
M-61
Namenstor gegen Altlasten und Platzhalter (verbotene Muster, offene Arbeitsmarker, nicht umgesetzte Methoden)
A-17
Bau meldet Datei, Zeile und Muster
M-62
Keine Geheimnisse im Repository, auch keine Testschlüssel
A-17
Geheimnissuche im Bau; Prüfung des Prüfvektorverzeichnisses auf Schlüsselmaterial
M-63
Geprüfte Herkunft aller Kryptographie-Bibliotheken: Herkunftsnachweis, im Bau nachgerechnete Prüfsumme, Eintrag in die Stückliste je Zielplattform
A-17
Bau, Stückliste
M-64
Abhängigkeiten nur über zentrale Paketverwaltung mit festen Versionen
A-17
Bau
M-65
Dokumentationstests: Nachweiskette gegen Seiten und Maßnahmenkatalog, keine internen Verweise, auflösbare Links, Seitenreihenfolge, Diagrammregeln
A-17
dotnet test; mit absichtlichen Verstößen rot gesehen
Organisatorische Maßnahmen
ID
Maßnahme
Anforderung
M-70
Zeremonien mit Leitung, Verwahrern (Quorum 3 von 5) und Zeugen; zwei Tresore
A-03, A-19
M-71
Vier-Augen-Prinzip für Änderungen am Regelwerk des Workers
A-02
M-72
Kompromittierungsverfahren für CA-Schlüssel, regelmäßig geübt
A-12
M-73
Prüfer-Vertrag als Bestandteil der Partnerverträge
A-01
M-74
Aufbewahrungs- und Löschfristen für Protokolle, je Organisation festgelegt
A-16
Föderation und Post-Quanten-Schicht
ID
Maßnahme
Anforderung
Nachweis
M-80
Beziehungen nur über vom CA-Worker signierte Vertrauensbündel mit steigender Nummer und begrenzter Laufzeit
A-21
Tests mit unsigniertem, veraltetem und fremdem Bündel
M-81
Beziehungsrichtlinie je Richtung; Änderung nur mit Freigabe nach dem Änderungsrecht der Richtung
A-21
Register; Tests der Freigaberegeln
M-82
Keine Kreuzzertifikate; der TLS-Adapter akzeptiert nur Anker der aktiven Beziehungen
A-21
Tests mit Ketten Dritter
M-83
Externer PSK nach RFC 9973 mit psk_dhe_ke und hybrider Gruppe; Abbruch ohne bestätigte Erweiterung
A-22
Mitschnitte; Tests mit falschem und unterdrücktem PSK
M-84
Geheimnisse nur im Speicher der beiden beteiligten Rechner; Übergabe nur über die lokale Schnittstelle des Schlüsselvermittlers
A-22
Architekturtest; Prüfung von Datenträgern und Protokollen auf Schlüsselmaterial
M-85
Verbindungsrotation, sobald eine Verbindung die in der Beziehung festgelegte Höchstdauer erreicht; keine Sitzungswiederaufnahme und kein 0-RTT für Beziehungsverbindungen
A-22
Langzeittest mit Mitschnitt
M-86
Weitergabe der Partneridentität an die Zielanwendung; die Zielanwendung ist nur über den TLS-Adapter erreichbar
A-23
Netztest; Test mit selbst gesetzten Kopfzeilen
M-87
Im Modell Managed keine Freigabe-Schlüssel und keine Verwahrerrollen beim Betriebspartner; Wechsel des Betreibers über eine neue CA-Generation
A-24
Regelwerk; Probewechsel in einer Testumgebung
Was diese Seite nicht belegt
Keine Vollständigkeit gegenüber einem Regelwerk. Die Zuordnung zu den Regelwerken in
Audit und Nachweis ist keine Konformitätsbehauptung.
Keine Maßnahmen der Zielanwendungen. Wie etwa der Database Gateway Berechtigungen durchsetzt,
beschreibt dessen eigene Dokumentation.
de/wiki/pqcrypt/trustbridge/security-measures.txt · Last modified: by Claude Test Contributor
