Seminar GnuTLS Authentifizierung mit PSK, SRP und Raw Public Keys

Das Seminar behandelt Authentifizierungsmodelle jenseits klassischer X.509-Zertifikate. PSK, SRP und Raw Public Keys werden hinsichtlich Vertrauensmodell, Provisionierung, Skalierung, Identitätsbindung, Schlüsselwechsel und Betriebsrisiken systematisch verglichen.

In praktischen Übungen werden die Verfahren mit GnuTLS-Werkzeugen und kleinen API-Beispielen eingerichtet, getestet und gegen typische Fehlkonfigurationen abgesichert.

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Zielgruppe und Voraussetzungen
• 1. Auswahl des Authentifizierungsmodells
• 2. Pre-Shared Keys sicher betreiben
• 3. SRP-basierte Anmeldung einrichten
• 4. Raw Public Keys verwenden
• 5. Lebenszyklus, Monitoring und Migration
• Praxisübungen
• Einordnung in den Lernpfad

Seminarprofil

Die Inhalte sind als zusammenhängende Arbeitsstrecke aufgebaut. Fachliche Einordnung, Konfiguration beziehungsweise Implementierung, kontrollierte Prüfung und betriebliche Dokumentation greifen ineinander. Die Übungen verwenden ausschließlich Labor- und Testdaten.

Lernziele

• PSK, SRP und Raw Public Keys fachlich voneinander abgrenzen.
• Ein geeignetes Vertrauens- und Provisionierungsmodell auswählen.
• Credentials sicher erzeugen, verteilen, laden und erneuern.
• Client- und Serverkonfigurationen mit GnuTLS testen.
• Skalierungs-, Rotations- und Incident-Prozesse dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Administratoren, Entwickler, Embedded- und IoT-Verantwortliche, Security Engineers sowie Architekten geschlossener oder ressourcenbegrenzter Systeme.

Voraussetzungen: Grundkenntnisse von TLS, symmetrischen und asymmetrischen Schlüsseln sowie grundlegende GnuTLS-Bedienung.

1. Auswahl des Authentifizierungsmodells

1. Schutzbedarf, Teilnehmerzahl, Netzgrenzen und Lebensdauer der Systeme aufnehmen.
2. X.509, PSK, SRP und Raw Public Keys anhand einheitlicher Kriterien vergleichen.
3. Identitätsquelle, Vertrauensanker und Verantwortlichkeiten festlegen.
4. Entscheidung und Ausschlusskriterien für den Betrieb dokumentieren.

2. Pre-Shared Keys sicher betreiben

1. Identitäten und ausreichend starke Schlüsselwerte erzeugen.
2. Schlüsseldateien, Berechtigungen und Übertragungsweg absichern.
3. Client und Server auf abgestimmte PSK-Credentials konfigurieren.
4. Unbekannte Identitäten, falsche Schlüssel und Rotationsfälle testen.

3. SRP-basierte Anmeldung einrichten

1. Benutzerregistrierung und Verifier-Daten vom Klartextkennwort trennen.
2. Serverseitige Parameter und Benutzerdaten erzeugen und schützen.
3. Client- und Serverablauf mit kontrollierten Fehlermeldungen testen.
4. Sperrung, Kennwortwechsel und Missbrauchserkennung in den Betriebsprozess aufnehmen.

4. Raw Public Keys verwenden

1. Schlüsselpaare erzeugen und öffentliche Schlüssel eindeutig einer Identität zuordnen.
2. Verteil- und Pinning-Verfahren für öffentliche Schlüssel festlegen.
3. GnuTLS-Sitzungen auf Raw-Public-Key-Authentifizierung konfigurieren.
4. Schlüsselwechsel, Verlust und fehlerhafte Zuordnung praktisch durchspielen.

5. Lebenszyklus, Monitoring und Migration

1. Inventar für Identitäten, Schlüsselstände und Gültigkeitsbereiche aufbauen.
2. Rotation mit Überlappungsphase und Rückfalloption planen.
3. Authentifizierungsfehler und Anomalien ohne Geheimnisoffenlegung protokollieren.
4. Migration zu oder von X.509 mit kontrolliertem Parallelbetrieb vorbereiten.

Praxisübungen

• PSK-Labor mit getrennten Clientidentitäten, Schlüsselrotation und Negativtests.
• SRP-Testumgebung mit Benutzeranlage, fehlerhafter Anmeldung und Sperrkonzept.
• Raw-Public-Key-Pinning mit geplantem Schlüsselwechsel.

Einordnung in den Lernpfad

Empfohlen nach der Grundlagenveranstaltung. Für größere PKI-Umgebungen folgt die X.509-Schulung; für Gerätebindung das TPM-Seminar.