Verwenden von Key Management Framework (Aufgaben)

In diesem Abschnitt wird beschrieben, wie Sie mithilfe des Befehls pktool Ihre Public-Key-Objekte wie z. B. Passwörter, Passwortsätze, Dateien, Schlüsselspeicher, Zertifikate und CRLs verwalten.

So erstellen Sie ein Zertifikat mit dem Befehl `pktool gencert`

Mit diesem Verfahren wird ein selbstsigniertes Zertifikat erstellt und im PKCS #11-Schlüsselspeicher gespeichert. Als Teil dieses Vorgangs wird ebenfalls ein Paar aus öffentlichem und privatem RSA-Schlüssel erstellt. Der private Schlüssel wird in dem Schlüsselspeicher mit dem Zertifikat gespeichert.

Generieren eines selbstsignierten Zertifikats
```
% pktool gencert [keystore=keystore] label=label-name \
subject=subject-DN serial=hex-serial-number
```
keystore=keystore

Gibt den Schlüsselspeicher nach Typ des Public-Key-Objekts an. Der Wert kann nss, pkcs11 oder ssl sein. Dieses Schlüsselwort ist optional.

label=label-name

Gibt einen eindeutigen Namen an, den der Aussteller an das Zertifikat weitergibt

subject=subject-DN

Gibt den Distinguished Name für das Zertifikat an

serial=hex-serial-number

Gibt die Seriennummer im hexadezimalen Format an. Der Aussteller des Zertifikats wählt die Nummer aus, z. B. 0x0102030405.

Überprüfen Sie den Inhalt des Schlüsselspeichers.

% pktool list
Found number certificates.
1. (X.509 certificate)
      Label:  label-name
      ID: Fingerprint that binds certificate to private key
      Subject: subject-DN
      Issuer:  distinguished-name
      Serial:  hex-serial-number
n. ...

Dieser Befehl listet alle Zertifikate im Schlüsselspeicher auf. Im folgenden Beispiel enthält der Schlüsselspeicher nur ein Zertifikat.

Beispiel 15-1 Erstellen eines selbstsignierten Zertifikats mit pktool

Im folgenden Beispiel erstellt ein Benutzer bei My Company ein selbstsigniertes Zertifikat und speichert dieses in einem Schlüsselspeicher für PKCS #11-Objekte. Zu Beginn ist der Schlüsselspeicher leer. Wenn der Schlüsselspeicher nicht initialisiert wurde, lautet die PIN für das Softtoken changeme.

% pktool gencert keystore=pkcs11 label="My Cert" \
subject="C=US, O=My Company, OU=Security Engineering Group, CN=MyCA" \
serial=0x000000001
Enter pin for Sun Software PKCS#11 softtoken:Type PIN for token

% pktool list
Found 1 certificates.
1. (X.509 certificate)
      Label: My Cert
      ID: 12:82:17:5f:80:78:eb:44:8b:98:e3:3c:11:c0:32:5e:b6:4c:ea:eb
      Subject: C=US, O=My Company, OU=Security Engineering Group, CN=MyCA
      Issuer: C=US, O=My Company, OU=Security Engineering Group, CN=MyCA
      Serial: 0x01

So importieren Sie ein Zertifikat in den Schlüsselspeicher

In diesem Verfahren wird beschrieben, wie eine Datei mit PKI-Informationen, die mit PEM oder Raw-DER verschlüsselt wurde, in Ihren Schlüsselspeicher importiert wird. In Beispiel 15-4 wird ein Exportverfahren dargestellt.

Importieren Sie das Zertifikat.

% pktool import keystore=keystore infile=infile-name label=label-name

Wenn Sie private PKI-Objekte importieren, geben Sie Passwörter an, sofern Sie dazu aufgefordert werden.
1. Geben Sie bei Aufforderung das Passwort für die Datei an.
  Wenn Sie private PKI-Informationen importieren, wie z. B. eine Exportdatei im PKCS #12-Format, ist für die entsprechende Datei ein Passwort erforderlich. Der Ersteller der importierten Datei stellt Ihnen das PKCS #12-Passwort zur Verfügung.
```
Enter password to use for accessing the PKCS12 file:Type PKCS #12 password
```
2. Geben Sie bei Aufforderung das Passwort für Ihren Schlüsselspeicher ein.
```
Enter pin for Sun Software PKCS#11 softtoken: Type PIN for token
```

Überprüfen Sie den Inhalt des Schlüsselspeichers.

% pktool list
Found number certificates.
1. (X.509 certificate)
      Label:  label-name
      ID: Fingerprint that binds certificate to private key
      Subject: subject-DN
      Issuer:  distinguished-name
      Serial:  hex-serial-number
2. ...

Beispiel 15-2 Importieren einer PKCS #12-Datei in den Schlüsselspeicher

Im folgenden Beispiel importiert der Benutzer eine PKCS #12-Datei eines anderen Erstellers. Der Befehl pktool import extrahiert den privaten Schlüssel und das Zertifikat aus der Datei gracedata.p12 und speichert beides in dem bevorzugten Schlüsselspeicher des Benutzers.

% pktool import keystore=pkcs11 infile=gracedata.p12 label=GraceCert
Enter password to use for accessing the PKCS12 file:Type PKCS #12 password
Enter pin for Sun Software PKCS#11 softtoken: Type PIN for token
Found 1 certificate(s) and 1 key(s) in gracedata.p12
% pktool list
Found 1 certificates.
1. (X.509 certificate)
        Label: GraceCert
        ID: 12:82:17:5f:80:78:eb:44:8b:98:e3:3c:11:c0:32:5e:b6:4c:ea:eb
        Subject: C=US, O=My Company, OU=Security Engineering Group, CN=MyCA
        Issuer: C=US, O=My Company, OU=Security Engineering Group, CN=MyCA
        Serial: 0x01

Beispiel 15-3 Importieren eines X.509-Zertifikats in den Schlüsselspeicher

Im folgenden Beispiel importiert der Benutzer ein X.509-Zertifikat im PEM-Format in den bevorzugten Schlüsselspeicher des Benutzers. Dieses öffentliche Zertifikat wird nicht mit einem Passwort geschützt. Der öffentliche Schlüsselspeicher des Benutzers ist ebenfalls nicht passwortgeschützt.

% pktool import keystore=pkcs11 infile=somecert.pem label="TheirCompany Root Cert"
% pktool list
Found 1 certificates.
1. (X.509 certificate)
        Label: TheirCompany Root Cert
        ID: 21:ae:83:98:24:d1:1f:cb:65:5b:48:75:7d:02:47:cf:98:1f:ec:a0
        Subject: C=US, O=TheirCompany, OU=Security, CN=TheirCompany Root CA
        Issuer: C=US, O=TheirCompany, OU=Security, CN=TheirCompany Root CA
        Serial: 0x01

So exportieren Sie ein Zertifikat und einen privaten Schlüssel im PKCS #12-Format

Sie können eine Datei im PKCS #12-Format erstellen, um private Schlüssel und das dazugehörige X.509-Zertifikat auf andere Systeme zu exportieren. Der Zugriff auf die Datei wird durch ein Passwort geschützt.

Suchen Sie das zu exportierende Zertifikat.

% pktool list
Found number certificates.
1. (X.509 certificate)
      Label:  label-name
      ID: Fingerprint that binds certificate to private key
      Subject: subject-DN
      Issuer:  distinguished-name
      Serial:  hex-serial-number
2. ...

Exportieren Sie die Schlüssel und das Zertifikat.
Verwenden Sie den Schlüsselspeicher und die Beschriftung aus dem Befehl pktool list. Geben Sie einen Dateinamen für die Exportdatei an. Wenn der Name ein Leerzeichen enthält, setzen Sie ihn in doppelte Anführungszeichen.
```
% pktool export keystore=keystore outfile=outfile-name label=label-name
```
Schützen Sie die Exportdatei mit einem Passwort.
Geben Sie bei Aufforderung das aktuelle Passwort für den Schlüsselspeicher ein. An diesem Punkt erstellen Sie ein Passwort für die Exportdatei. Der Empfänger muss dieses Passwort beim Importieren der Datei angeben.
```
Enter pin for Sun Software PKCS#11 softtoken: Type PIN for token
Enter password to use for accessing the PKCS12 file:Create PKCS #12 password
```
Tipp - Senden Sie das Passwort separat von der Exportdatei. Gemäß der Best Practices empfiehlt es sich, das Passwort außerbandig anzugeben, z. B. während eines Telefonanrufs.

Beispiel 15-4 Exportieren eines Zertifikats und eines privaten Schlüssels im PKCS #12-Format

Im folgenden Beispiel exportiert ein Benutzer die privaten Schlüssel mit dem dazugehörigen X.509-Zertifikat in eine standardmäßige PKCS #12-Datei. Diese Datei kann in andere Schlüsselspeicher importiert werden. Das PKCS #11-Passwort schützt den Quellschlüsselspeicher. Das PKCS #12-Passwort wird zum Schützen privater Daten in der PKCS #12-Datei verwendet. Dieses Passwort wird zum Importieren der Datei benötigt.

% pktool list
Found 1 certificates.
1. (X.509 certificate)
      Label: My Cert
      ID: 12:82:17:5f:80:78:eb:44:8b:98:e3:3c:11:c0:32:5e:b6:4c:ea:eb
      Subject: C=US, O=My Company, OU=Security Engineering Group, CN=MyCA
      Issuer: C=US, O=My Company, OU=Security Engineering Group, CN=MyCA
      Serial: 0x01

% pktool export keystore=pkcs11 outfile=mydata.p12 label="My Cert"
Enter pin for Sun Software PKCS#11 softtoken: Type PIN for token
Enter password to use for accessing the PKCS12 file:Create PKCS #12 password

Der Benutzer telefoniert dann mit dem Empfänger und stellt das PKCS #12-Passwort bereit.

So generieren Sie einen Passwortsatz mit dem Befehl `pktool setpin`

Sie können einen Passwortsatz für ein Objekt in einem Schlüsselspeicher sowie für den Schlüsselspeicher selbst generieren. Der Passwortsatz ist für den Zugriff auf das Objekt oder den Schlüsselspeicher erforderlich. In Beispiel 15-4 wird die Generierung eines Passwortsatzes für ein Objekt in einem Schlüsselspeicher dargestellt.

Generieren Sie einen Passwortsatz für den Zugriff auf einen Schlüsselspeicher.
```
% pktool setpin keystore=nss|pkcs11 dir=directory
```
Beantworten Sie die Eingabeaufforderungen.
Wenn für den Schlüsselspeicher noch kein Passwort festgelegt wurde, drücken Sie die Eingabetaste, um das Passwort zu erstellen.
```
Enter current token passphrase:Press the Return key
Create new passphrase:Type the passphrase that you want to use
Re-enter new passphrase:Retype the passphrase
Passphrase changed.
```
Der Schlüsselspeicher wird jetzt durch passphrase geschützt. Wenn Sie den Passwortsatz verlieren, können Sie nicht mehr auf die Objekte im Schlüsselspeicher zugreifen.

Beispiel 15-5 Schützen eines Schlüsselspeichers mit einem Passwortsatz

Im folgenden Beispiel wird dargestellt, wie der Passwortsatz für eine NSS-Datenbank festgelegt wird. Da kein Passwortsatz erstellt wurde, drückt der Benutzer die Eingabetaste bei der ersten Aufforderung.

% pktool setpin keystore=nss dir=/var/nss
Enter current token passphrase:Press the Return key
Create new passphrase:    has8n0NdaH
Re-enter new passphrase:  has8n0NdaH
Passphrase changed.

Navigationslinks �berspringen
Druckansicht beenden
	Systemverwaltungshandbuch: Sicherheitsservices