Seminar Intensivseminar Nitrokey Identitäten und sichere Administration

Das Intensivformat bündelt die Nitrokey-Einzelseminare zu einem vollständigen Identitäts- und Schlüsselzyklus. Technische Funktionen werden konsequent mit Registrierung, Backup, Sperrung, Ersatz und Offboarding verbunden.

Die Integration in NitroPad und Heads bildet einen eigenen Schwerpunkt, da Bootvertrauen, GPG-Karte und administrative Identitäten unterschiedliche Schlüsselrollen und Wiederherstellungswege benötigen.

Inhaltsübersicht

1. Einordnung und Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Methodik

Einordnung und Zielsetzung

Das Intensivformat bündelt die Nitrokey-Einzelseminare zu einem vollständigen Identitäts- und Schlüsselzyklus. Technische Funktionen werden konsequent mit Registrierung, Backup, Sperrung, Ersatz und Offboarding verbunden. Die Integration in NitroPad und Heads bildet einen eigenen Schwerpunkt, da Bootvertrauen, GPG-Karte und administrative Identitäten unterschiedliche Schlüsselrollen und Wiederherstellungswege benötigen.

Zielgruppe und Voraussetzungen

Zielgruppe: Identity- und Access-Management, Linux-Administration, PKI, DevSecOps, IT-Sicherheitsbetrieb und Endgeräteverwaltung.

Voraussetzungen: Gute Kenntnisse von Authentisierung, Public-Key-Kryptografie, Linux-Administration und organisatorischem Berechtigungsmanagement.

Lernziele

• Nitrokey-Modelle und Funktionen an Anforderungen ausrichten.
• FIDO2, Passkeys, OpenPGP, PIV und OTP sicher bereitstellen.
• SSH-, Git- und Administrationszugänge hardwaregestützt absichern.
• NitroPad- und Heads-Integration kontrolliert betreiben.
• Enterprise-Rollout und Lebenszyklusprozesse definieren.

Seminarinhalte

1. Funktionen, Modelle und Richtlinien

Die Auswahl beginnt mit einer belastbaren Funktions- und Risikoanalyse.

1. Schritt 1: Anwendungsfälle für Webanmeldung, E-Mail, SSH, Code-Signatur, PKI und Bootvertrauen sammeln.
2. Schritt 2: Benötigte Anwendungen und modellabhängige Fähigkeiten abgleichen.
3. Schritt 3: PIN-, Touch-, Benutzerverifikations- und Backup-Anforderungen festlegen.
4. Schritt 4: Rollen für Ausgabe, Registrierung, Support und Sperrung trennen.
5. Schritt 5: Technischen Standard und Ausnahmeregeln dokumentieren.

2. FIDO2 und Passkeys

Phishing-resistente Anmeldung wird mit einem Wiederzugangskonzept aufgebaut.

1. Schritt 1: Gerät initialisieren, Firmwarestand prüfen und FIDO2-PIN setzen.
2. Schritt 2: Nicht auffindbare und auffindbare Anmeldedaten unterscheiden.
3. Schritt 3: Primären und zweiten Nitrokey bei Testdiensten registrieren.
4. Schritt 4: Verlustfall, Kontowiederherstellung und Gerätewechsel durchspielen.
5. Schritt 5: Registrierungsnachweise und Mindestanforderungen für produktive Dienste festlegen.

3. OpenPGP, PIV und OTP

Kryptografische Anwendungen werden nach Schlüsselzweck und Vertrauensmodell getrennt.

1. Schritt 1: Signatur-, Verschlüsselungs- und Authentisierungsschlüssel planen.
2. Schritt 2: Schlüssel sicher erzeugen, auf das Gerät übertragen oder direkt dort erstellen.
3. Schritt 3: Widerruf, Zertifikatslaufzeit und Offline-Backup vorbereiten.
4. Schritt 4: PIV- und OTP-Einsatz nur für passende Plattformen und Prozesse aktivieren.
5. Schritt 5: PIN-Wechsel, Entsperrung und Ersatzgerät praktisch prüfen.

4. SSH, Git und NitroPad/Heads

Administrative und firmwarebezogene Schlüsselrollen werden getrennt umgesetzt.

1. Schritt 1: FIDO2- oder OpenPGP-basierte SSH-Variante anhand der Zielumgebung auswählen.
2. Schritt 2: Hardwaregebundenen Schlüssel erzeugen und Serverzugang mit restriktiven Optionen einrichten.
3. Schritt 3: Git-Signaturen und Freigabeprozesse für Quellcode oder Konfiguration integrieren.
4. Schritt 4: Kompatible GPG-Anwendung für Heads prüfen und Bootsignierung testen.
5. Schritt 5: Verlust oder Sperrung des Heads-Nitrokeys über Re-Ownership abdecken.

5. Rollout und Lebenszyklus

Aus Einzelkonfigurationen entsteht ein skalierbarer Unternehmensprozess.

1. Schritt 1: Pilotgruppe, Inventar und Ausgabeprotokoll vorbereiten.
2. Schritt 2: Registrierung je Dienst standardisieren und zweiten Faktor kontrolliert hinterlegen.
3. Schritt 3: Supportverfahren für PIN-Sperre, Defekt, Verlust und Namensänderung definieren.
4. Schritt 4: Offboarding mit Entzug der Berechtigungen und sicherer Wiederverwendung umsetzen.
5. Schritt 5: Kontrollkennzahlen und regelmäßige Stichproben für den Betrieb festlegen.

Praxisübungen

• FIDO2-Registrierung mit Zweitgerät und Wiederzugangstest.
• OpenPGP-Schlüsselzyklus mit Widerruf und Ersatzgerät.
• SSH-/Git-Integration sowie Heads-Signierung in einer getrennten Laborumgebung.

Methodik

Das Format verbindet Identitätsarchitektur, Gerätekonfiguration und Betriebsorganisation. Jede Funktion wird erst nach dokumentiertem Wiederzugangs- und Sperrkonzept produktiv eingeordnet.