Seminar Passbolt Sicherheit und Härtung – Kryptografie, Richtlinien und Berechtigungen

Passbolt schützt Geheimnisse durch clientseitige Verschlüsselung, doch Sicherheit entsteht erst aus dem Zusammenspiel von Kryptografie, Endgeräten, Serverbetrieb, Berechtigungen und organisatorischen Verfahren. Eine korrekt verschlüsselte Ressource kann weiterhin zu weit freigegeben oder durch unsichere Wiederherstellungsprozesse gefährdet sein.

Das Seminar baut ein konkretes Bedrohungsmodell auf und übersetzt es in technische sowie organisatorische Kontrollen.

Nutzen des Seminars

Security- und Betriebsteams können das Passbolt-Sicherheitsmodell sachgerecht bewerten, Risiken priorisieren und eine Instanz anhand reproduzierbarer Prüfpunkte härten. Berechtigungen, Rollen, MFA, Schlüsselmaterial, verschlüsselte Metadaten und Serverkonfiguration werden nicht isoliert, sondern entlang realer Angriffspfade geprüft.

Zielgruppe

Security Engineers, IT-Sicherheitsbeauftragte, erfahrene Passbolt- und Linux-Administratoren, Auditoren mit technischem Schwerpunkt sowie DevSecOps-Teams.

Seminarinhalte

Bedrohungsmodell und Vertrauensgrenzen

• Schutzgüter: Geheimnisse, Metadaten, Identitäten, Schlüssel und Aktivitäten
• Vertrauen in Browser, Erweiterung, Mobilgerät, Desktop-App, Server und Identitätsprovider
• Angriffspfade durch Phishing, kompromittierte Endgeräte, Fehlfreigaben und Serverzugriff
• Abgrenzung zwischen Ende-zu-Ende-Verschlüsselung und betrieblicher Gesamtsicherheit

OpenPGP und Schlüsselprozesse

• Benutzer- und Server-Schlüssel, Signatur und Empfängerverschlüsselung
• Prüfung der Serveridentität im Authentifizierungsablauf
• Schutz privater Schlüssel und Passphrasen
• Recovery Kit, Gerätewechsel und kontrollierte Wiederherstellung
• Account Recovery als editionsabhängiger Ausnahmeprozess

Metadaten und Ressourcentypen

• Verschlüsselte Metadaten und Zero-Knowledge-Betriebsmodus
• Sicherheitswirkung und Migrationsanforderungen moderner Ressourcentypen
• Passwörter, TOTP, Notizen, PIN-Codes und benutzerdefinierte Felder
• Secret History als Beta-Funktion, Ablauf und Grenzen rückwirkender Sichtbarkeit

Berechtigungen und Governance

• Lesen, Aktualisieren, Eigentum und tatsächliche Reichweite von Gruppen
• Gemeinsame Ordner, Vererbung und sichere Freigabebestätigung
• RBAC, Funktionstrennung, benutzerdefinierte Rollen und die weiterhin offene API-Ebene
• Offboarding, Eigentumsübertragung und Entzug von Zugriffen
• Richtlinien für Passwort, Passphrase, MFA und Export

Server- und Plattformhärtung

• TLS, sichere Cookies, Reverse-Proxy-Vertrauen und Netzwerkbegrenzung
• Dateirechte für Konfiguration und GPG-Schlüsselring
• Datenbankberechtigungen, SMTP-Geheimnisse und Umgebungsvariablen
• Versionierte Pakete oder Images, Updates und Abhängigkeitswarnungen
• Minimierung von Diagnose- und Protokolldaten

Überwachung und Incident Response

• Healthcheck, API-Status, Statusbericht und Datacheck
• Aktivitätsinformationen und Erkennen ungewöhnlicher Zugriffe
• Sofortmaßnahmen bei Schlüssel-, Konto- oder Serverkompromittierung
• Rotation, Rechteentzug, Wiederherstellung und beweissichere Dokumentation
• Regelmäßige Sicherheitsreviews und Verantwortlichkeiten

Praktische Übungen

• Erstellen eines kompakten Threat Models für eine Beispielorganisation
• Prüfen von Benutzer- und Server-Schlüsseln sowie Recovery-Prozessen
• Analysieren einer Ordnerstruktur mit versteckten Fehlfreigaben
• Entwerfen eines rollenbasierten Administrationsmodells
• Härten einer Linux- oder Containerkonfiguration anhand einer Prüfliste
• Bewerten von Healthcheck-, Status- und Protokollinformationen
• Bearbeiten eines Szenarios mit kompromittiertem Benutzerkonto

Methodik und Praxisbezug

Threat Modeling, Konfigurationsreview und praktische Rechteanalyse werden kombiniert. Eine vorbereitete Laborinstanz enthält typische Schwachstellen, die systematisch erkannt, priorisiert und behoben werden.

Editionen und technische Abgrenzung

Kryptografie, Berechtigungen, MFA und Serverhärtung gelten editionsübergreifend. SSO, SCIM, LDAP, Account Recovery und bestimmte Governance-Funktionen werden bei Pro und Cloud zusätzlich in das Bedrohungsmodell aufgenommen.