1. Hinweise zur Verwendung

Hinweise zur Verwendung wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Hinweise zur Verwendung

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Hinweise zur Verwendung

Abgabebeispiel für Hinweise zur Verwendung

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

2. Teil A: Musterantworten

Teil A: Musterantworten wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Teil A: Musterantworten

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Teil A: Musterantworten

Abgabebeispiel für Teil A: Musterantworten

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

1. CA Operations

CA Operations wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu CA Operations

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei CA Operations

Abgabebeispiel für CA Operations

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

2. Issuance Workflow

Issuance Workflow wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Issuance Workflow

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Issuance Workflow

Abgabebeispiel für Issuance Workflow

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

3. Renewal Automation

Renewal Automation wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Renewal Automation

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Renewal Automation

Abgabebeispiel für Renewal Automation

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

4. ACME

ACME wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu ACME

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei ACME

Abgabebeispiel für ACME

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

5. Vault PKI

Vault PKI wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Vault PKI

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Vault PKI

Abgabebeispiel für Vault PKI

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

6. cert-manager

cert-manager wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu cert-manager

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei cert-manager

Abgabebeispiel für cert-manager

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

7. step-ca

step-ca wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu step-ca

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei step-ca

Abgabebeispiel für step-ca

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

8. Monitoring

Monitoring wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Monitoring

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Monitoring

Abgabebeispiel für Monitoring

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

9. Backup/Restore

Backup/Restore wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Backup/Restore

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Backup/Restore

Abgabebeispiel für Backup/Restore

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

10. Runbooks

Runbooks wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Runbooks

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Runbooks

Abgabebeispiel für Runbooks

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

3. Teil B: Analyse-Erwartung

Teil B: Analyse-Erwartung wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Teil B: Analyse-Erwartung

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Teil B: Analyse-Erwartung

Abgabebeispiel für Teil B: Analyse-Erwartung

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

4. Teil C: Praxislösung

Teil C: Praxislösung wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Teil C: Praxislösung

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Teil C: Praxislösung

Abgabebeispiel für Teil C: Praxislösung

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

5. Teil D: Diagnose und Betriebsnotiz

Teil D: Diagnose und Betriebsnotiz wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Teil D: Diagnose und Betriebsnotiz

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Teil D: Diagnose und Betriebsnotiz

Abgabebeispiel für Teil D: Diagnose und Betriebsnotiz

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

1. CA Operations

CA Operations wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu CA Operations

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei CA Operations

Abgabebeispiel für CA Operations

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

2. Issuance Workflow

Issuance Workflow wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Issuance Workflow

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Issuance Workflow

Abgabebeispiel für Issuance Workflow

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

3. Renewal Automation

Renewal Automation wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Renewal Automation

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Renewal Automation

Abgabebeispiel für Renewal Automation

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

4. ACME

ACME wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu ACME

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei ACME

Abgabebeispiel für ACME

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

5. Vault PKI

Vault PKI wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Vault PKI

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Vault PKI

Abgabebeispiel für Vault PKI

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

6. cert-manager

cert-manager wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu cert-manager

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei cert-manager

Abgabebeispiel für cert-manager

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

7. step-ca

step-ca wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu step-ca

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei step-ca

Abgabebeispiel für step-ca

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

8. Monitoring

Monitoring wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Monitoring

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Monitoring

Abgabebeispiel für Monitoring

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

9. Backup/Restore

Backup/Restore wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Backup/Restore

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Backup/Restore

Abgabebeispiel für Backup/Restore

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

10. Runbooks

Runbooks wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Runbooks

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Runbooks

Abgabebeispiel für Runbooks

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

6. Erwartete Abgabestruktur

Erwartete Abgabestruktur wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Erwartete Abgabestruktur

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Erwartete Abgabestruktur

Abgabebeispiel für Erwartete Abgabestruktur

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

7. Cleanup

Cleanup wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Cleanup

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Cleanup

Abgabebeispiel für Cleanup

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

8. Bewertungs- und Prüferhinweise

Bewertungs- und Prüferhinweise wird im Workshop immer als überprüfbarer PKI-Baustein behandelt. Entscheidend ist nicht nur, dass ein Kommando ein Zertifikat erzeugt, sondern dass der Zweck, die Extensions, die Vertrauenskette, die Gültigkeit, die Schlüsselverwendung und der Rückbau nachvollziehbar sind.

openssl x509 -in certs/server.crt -noout -subject -issuer -dates
openssl x509 -in certs/server.crt -noout -text | sed -n '/X509v3 extensions:/,/Signature Algorithm/p'
openssl verify -CAfile certs/chain.pem certs/server.crt

Eine gute Lösung beschreibt außerdem, ob es sich um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige TLS-Zertifikate handelt. Für öffentlich vertrauenswürdige Zertifikate gelten zusätzliche Anforderungen aus CA/Browser Forum Baseline Requirements; ein Lab-CA-Workshop ersetzt diese Anforderungen nicht.

Praxis- und Review-Erwartung zu Bewertungs- und Prüferhinweise

• Private Keys werden nur im Lab erzeugt und nicht committet.
• Konfigurationen enthalten Dummy-DNs und Dokumentationsdomänen.
• CA-Zertifikate haben CA:TRUE; End-Entity-Zertifikate haben CA:FALSE.
• Serverzertifikate enthalten SANs; der Common Name wird nicht als alleinige Hostprüfung verwendet.
• Die Chain wird mit OpenSSL geprüft, nicht nur visuell betrachtet.
• Ablauf, Erneuerung und Widerruf werden als Lebenszyklus dokumentiert.
• Bei Security-Themen werden Angriffsfläche, Detektion und Recovery beschrieben.

Typische Fehler bei Bewertungs- und Prüferhinweise

Abgabebeispiel für Bewertungs- und Prüferhinweise

submission/
  openssl/root-openssl.cnf
  openssl/intermediate-openssl.cnf
  csr/server.csr
  certs/server.crt
  certs/chain.pem
  evidence.md
  cleanup.md

Evidence enthält die relevanten OpenSSL-Ausgaben, keine privaten Schlüssel.

Praxisanhang: CA-Nachweisführung für Assessment

Dieser Anhang macht die Datei als Workshop-Unterlage vollständiger: Er verbindet die fachlichen Inhalte mit wiederholbarer Evidence, Reviewfragen, Betriebsentscheidungen und Security-Erwartungen. Die Punkte gelten nicht als erfundene Produktfeatures, sondern als reale Prüfkriterien für PKI-Arbeit mit X.509, OpenSSL und typischen CA-Betriebsmodellen.

A.1 Scope und Abgrenzung

Vor jeder CA-Arbeit muss klar sein, ob es um eine private Lab-PKI, eine interne Unternehmens-PKI oder öffentlich vertrauenswürdige Serverzertifikate geht. Diese Unterscheidung verändert Verantwortlichkeiten, Audit-Anforderungen, Laufzeiten, Widerrufsprozesse und die Frage, welche Clients dem Zertifikat überhaupt vertrauen dürfen.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.2 Trust Model

Das Trust Model beschreibt, welche Root als Trust Anchor verteilt wird, welche Intermediate-CAs signieren dürfen und welche Relying Parties diese Kette auswerten. Ohne dieses Modell bleibt ein technisch gültiges Zertifikat organisatorisch unklar.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.3 Root-CA-Behandlung

Eine Root-CA ist im Workshop ein lokales Lernartefakt. In realen Umgebungen wird der Root-Key offline oder in einem HSM geschützt, nur selten verwendet und über Zeremonien, Rollen, Protokolle und Wiederherstellungspläne kontrolliert.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.4 Intermediate-CA-Betrieb

Intermediate-CAs sind die operative Signaturinstanz. Ihre Zertifikate brauchen CA:TRUE, keyCertSign, cRLSign, passende Path-Length-Vorgaben und ein klares Ablauf- und Rotationskonzept.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.5 Registration Authority

Die RA- oder Freigabefunktion entscheidet, ob ein Antrag signiert werden darf. Für interne Server heißt das mindestens: System Owner, DNS-Name, Umgebung, Zweck, Laufzeit, Verantwortliche und Änderungsfenster sind nachvollziehbar.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.6 Private-Key-Schutz

Private Schlüssel sind der kritischste Teil der PKI. Im Repository dürfen nur Konfigurationen, CSRs, öffentliche Zertifikate und Evidence liegen. Schlüssel entstehen lokal unter work/ oder in geschützten Systemen und werden nicht committet.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.7 CSR-Review

Ein CSR beweist Besitz eines privaten Schlüssels, aber nicht automatisch Berechtigung für einen Namen. Der Review prüft Subject, SAN, Public Key Algorithm, Schlüssellänge, Antragsteller und geplanten Zertifikatstyp.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.8 X.509-Extensions

Extensions sind nicht Dekoration, sondern Sicherheitslogik. Basic Constraints, Key Usage, Extended Key Usage, Subject Alternative Name, Subject Key Identifier und Authority Key Identifier bestimmen, wofür ein Zertifikat akzeptiert werden darf.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.9 SAN und Namensmodell

Serveridentität wird über SANs geprüft. Der Common Name ist für moderne Hostname-Prüfung nicht ausreichend. Interne Namensräume, Dokumentationsdomänen und produktive Domains müssen sauber getrennt bleiben.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.10 Chain-Verifikation

Eine belastbare Prüfung trennt Trust Anchor und Chain-Zertifikate. Praktisch heißt das: Root über -CAfile, Intermediate über -untrusted, Leaf als Zielzertifikat und bei Bedarf zusätzlich Hostname-Prüfung.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.11 Widerruf

Widerruf ist ein Betriebsprozess, kein nachträglicher Kommentar. CRL oder OCSP müssen erzeugt, veröffentlicht, überwacht und von relevanten Clients tatsächlich ausgewertet werden.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.12 Ablauf und Erneuerung

Zertifikate brauchen ein Renewal-Fenster, bevor sie kritisch werden. Die Entscheidung umfasst neue Seriennummer, neue Signatur, optional neuen Schlüssel, Rollout-Reihenfolge und Rückfallplan.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.13 Automatisierung

Automatisierung mit Vault PKI, cert-manager, ACME, Smallstep oder SPIFFE reduziert Handarbeit, ersetzt aber nicht Policy. Rollen, TTLs, Issuer, Approver und Audit müssen weiterhin explizit sein.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.14 Audit und Evidence

Evidence muss zeigen, was erzeugt, geprüft und entschieden wurde. Gute Nachweise enthalten OpenSSL-Ausgaben, Fingerprints, Seriennummern, Chain-Prüfung, CRL/OCSP-Status und keine Geheimnisse.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.15 Incident Response

Bei Key-Kompromittierung zählt Reihenfolge: betroffene Seriennummern ermitteln, widerrufen, CRL/OCSP aktualisieren, Ersatz ausstellen, Betreiber informieren, Logs sichern und Root Cause dokumentieren.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.16 Policy und CPS

Eine Certificate Policy beschreibt, was erlaubt ist. Ein Certification Practice Statement beschreibt, wie es betrieben wird. Auch private PKIs profitieren von dieser Trennung, weil sie Review und Betrieb stabilisiert.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.17 Environment

WSL, VM, Bare Metal und Cloud unterscheiden sich bei Trust Store, Dateirechten, Paketversionen und Pfaden. Deshalb müssen Kommandos und Evidence immer die lokale Umgebung benennen.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.18 Security Hardening

Härtung umfasst Dateirechte, getrennte Rollen, kurze Laufzeiten, minimale EKUs, sichere Algorithmen, Offline Root, kontrollierte Intermediate-CAs und Monitoring auf Ablauf oder ungewöhnliche Ausstellung.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.19 Troubleshooting

PKI-Troubleshooting beginnt nicht beim Clientfehler, sondern bei der Kette: Ist der private Key passend, ist der CSR korrekt, ist das Zertifikat richtig signiert, ist die Chain vollständig und vertraut der Client der Root?

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.20 Team-Workflow

In Workshops und echten Teams sollte eine Person erzeugen, eine zweite Person prüfen und eine dritte Person die Evidence nachvollziehen können. So werden PKI-Fehler früher sichtbar.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.21 Abgabeformat

Eine belastbare Abgabe enthält Konfiguration, öffentliche Artefakte, Evidence, Fehleranalyse, Cleanup-Notiz und eine kurze Betriebsbewertung. Private Schlüssel und produktive Daten fehlen bewusst.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.22 Transfer in Produktion

Der Transfer aus dem Lab in Produktion ist kein Kopieren von OpenSSL-Kommandos. Er verlangt Rollenmodell, sichere Schlüsselablage, Monitoring, Backup, Widerrufsverteilung, Dokumentation und regelmäßig geübte Recovery.

Konkrete Reviewfragen:

• Welche Entität wird geschützt oder signiert?
• Welche Datei oder Ausgabe belegt die Aussage?
• Welche Rolle hat Root, Intermediate, Leaf oder Client?
• Welche Annahme wäre in Produktion zusätzlich zu prüfen?
• Welche Änderung müsste im Audit nachvollziehbar sein?
• Welche Cleanup- oder Schutzmaßnahme verhindert versehentliche Secret-Leaks?

A.23 Minimaler Evidence-Satz

evidence/
  context.md
  openssl-version.txt
  csr-review.txt
  certificate-summary.txt
  certificate-extensions.txt
  chain-verification.txt
  revocation-or-renewal-note.md
  cleanup.md

Dieser Satz ist bewusst minimal. Für fortgeschrittene Übungen kommen CA-Datenbank, CRL, OCSP-Antwort, Audit-Log, Policy-Auszug, Rollenentscheidung und Incident-Timeline hinzu.

A.24 Qualitätskriterien

• Der fachliche Scope ist vor der technischen Ausführung klar.
• Die Chain wird technisch geprüft und nicht nur beschrieben.
• SAN, Key Usage, EKU und Basic Constraints sind explizit bewertet.
• Widerruf und Erneuerung sind als Lebenszyklus abgedeckt.
• Private Schlüssel bleiben außerhalb der versionierten Inhalte.
• Öffentliche Standards werden korrekt abgegrenzt: RFC 5280 beschreibt Profil und Verarbeitung, CA/Browser Forum regelt öffentlich vertrauenswürdige Serverzertifikate, NIST SP 800-57 hilft bei Schlüsselmanagement und Laufzeiten.