Systemarchitektur

Zusammenfassung. Diese Seite beschreibt die Komponenten einer TrustBridge-Installation, ihre Verbindungen und für jede Komponente ein Sicherheitsprofil: Aufgabe, Sicherheitsgrenze, benötigte Rechte, ausdrücklich verbotene Fähigkeiten, Identitätsnachweis, Datenfluss und Schlüsselzugriff, Verhalten bei Fehlern und Kompromittierung, Wiederanlauf und Audit, verbleibende Risiken. Eine Installation besteht aus zwei Teilen: der Zertifizierungsstelle mit Verwaltung, Enrollment und Verteilung an einem zentralen Ort der Organisation und den Endpunktkomponenten Schlüsselagent, Schlüsselvermittler und TLS-Adapter auf jedem angebundenen Rechner.

• Vertrauensbasis (Trusted Computing Base, TCB) – die Menge der Komponenten, deren Kompromittierung eine unberechtigte Ausstellung oder Statusaussage ermöglicht.
• Auftrag – unveränderlicher, byte-genau gespeicherter Schnappschuss eines künftigen Zertifikats, einer Sperrung oder einer Beziehungsrichtlinie; Kennung ist der SHA-256 über seine Bytes.
• Register – nur anfügbares, verkettetes Journal des CA-Workers über Absichten, Ausstellungen, Ablehnungen, Sperrungen und Beziehungen.
• Regelwerk – lokale Konfigurationsdatei des CA-Workers: zugelassene CAs und Profilklassen, Freigeber, Laufzeiten, erlaubte Inhalte.
• Vertrauensbündel – vom CA-Worker signierte Zusammenstellung der aktiven Beziehungen einer Organisation mit ihren Vertrauensankern und Richtlinien; TLS-Adapter und Schlüsselagenten akzeptieren nur Bündel mit gültiger Signatur.
• Projektion – Kopie eines Registereintrags in der Datenbank zur Anzeige; nicht verbindlich.

Alle Diagramme verwenden dieselbe visuelle Sprache.

graph TD
  subgraph Z1 [Zone Partner und Prüfer]
    PS[Systeme der Partner]
    PR[Prüfende Gegenstellen]
    PP[Freigeber der Partner]
  end
  subgraph Z2 [Zone Online-Dienste]
    AD[Protokolladapter<br/>ACME, EST]
    EK[Enrollment-Kern<br/>Attestierung]
    VW[Verwaltung<br/>Verwaltungs-API]
    PO[Partnerportal]
    VT[Verteilung<br/>AIA, CDP, Vertrauensbündel]
  end
  subgraph Z3 [Zone Daten]
    DB[(SQL Server)]
  end
  subgraph Z4 [Zone Signatur, kein Eingang]
    WK[CA-Worker]
    HSM[Sicherheitsmodul]
    REG[(Register)]
  end
  subgraph Z5 [Zone Betrieb]
    ADM[Verwaltungsanwendung]
    ANK[(Externer Anker<br/>nur anfügbar)]
    ART[(Artefaktspeicher<br/>zweiter Weg)]
  end
  subgraph Z6 [Offline]
    RT[Wurzel-CA]
  end
  subgraph Z7 [Angebundener Rechner]
    TLA[TLS-Adapter]
    SA[Schlüsselagent und<br/>Schlüsselvermittler]
  end
  PS -->|HTTPS| AD
  PP -->|HTTPS| PO
  AD --> EK
  EK -->|Auftrag| DB
  ADM -->|HTTPS| VW
  PO --> VW
  VW -->|SQL| DB
  WK -->|ausgehend: liest, schreibt| DB
  WK ==>|signiert| HSM
  WK --> REG
  WK -->|ausgehend| ART
  WK -->|Kettenkopf| ANK
  DB --> VT
  ART --> VT
  PR -->|HTTP GET| VT
  TLA -->|Sperrlisten, Vertrauensbündel| VT
  SA -->|Erneuerung über ACME oder EST| AD
  RT -.->|Zeremonie| WK
  classDef tcb fill:#fde7e9,stroke:#a4262c,color:#201f1e
  classDef onl fill:#f3f2f1,stroke:#605e5c,color:#201f1e
  classDef off fill:#e1dfdd,stroke:#323130,color:#201f1e
  classDef par fill:#deecf9,stroke:#0078d4,color:#201f1e
  classDef pq fill:#dff6dd,stroke:#107c10,color:#201f1e
  class WK,HSM,REG,EK tcb
  class AD,VW,PO,VT,DB,ANK,ART,TLA onl
  class RT off
  class PS,PR,PP,ADM par
  class SA pq
  style Z1 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z2 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z3 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z4 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z5 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z6 fill:#ffffff,stroke:#8a8886,color:#201f1e
  style Z7 fill:#ffffff,stroke:#8a8886,color:#201f1e

Prozess- und Kontentrennung. Verwaltung, Partnerportal, Enrollment und Verteilung dürfen in einer kleinen Installation in einem Prozess laufen. Der CA-Worker nie: Er teilt weder Prozess noch Betriebssystemkonto mit einem Dienst, der HTTP annimmt. Jeder Dienst meldet sich an der Datenbank mit eigener Anmeldung an, die nur die Rechte der von ihm benötigten Tabellen hat.

In beiden Varianten laufen TLS-Adapter, Schlüsselagent und Schlüsselvermittler auf jedem angebundenen Rechner oder auf einem vorgelagerten Rechner im selben geschützten Netzsegment. Die Trennung von Prozess und Betriebssystemkonto zwischen CA-Worker und HTTP-Diensten ist vorgeschrieben; ein eigener Rechner für den Worker ist empfohlen.

• Kein bestimmtes Sicherheitsmodul. Die Anforderungen stehen oben; jedes Modul, das sie erfüllt, ist zulässig.
• Keine Berechtigungen der angebundenen Anwendungen. Der TLS-Adapter liefert ihnen die geprüfte Identität, die Entscheidung bleibt bei ihnen.
• Keine Identitätsversorgung kurzlebiger Workloads innerhalb eines Rechenzentrums (etwa SPIFFE).