Key Management Interoperability Protocol
Das Key Management Interoperability Protocol (KMIP) bietet einen einheitlichen Standard für die Kommunikation zwischen einem Key Lifecycle Management System (KLMS) und dessen Clients. Dadurch kann eine zentrale Schlüsselverwaltung eingesetzt werden und die Datensicherheit erhöht werden. Das Protokoll wird von der OASIS standardisiert.[1]
Protokolldefinition
[Bearbeiten | Quelltext bearbeiten]In der KMIP-Spezifikation wird definiert, wie eine Nachricht aussehen muss und welche Informationen ausgetauscht werden können.[2] Einige Funktionalitäten von Client und Server, zum Beispiel die Fehlerbehandlung, werden vorgegeben. Andere können wie gewünscht umgesetzt werden. Ein Client oder Server muss nicht die vollständige, im Protokoll definierte Funktionalität umsetzen, sondern nur die tatsächlich benötigte.[3] Die Protokoll-Spezifikation gibt nicht vor, wie die Authentifizierung zwischen Client und Server abläuft. Allerdings werden in einem zugehörigen Dokument zwei Authentifizierungs-Profile beschrieben. Bei beiden Profilen werden Versionen des TLS verwendet. TLS dient nicht nur der Authentifizierung, es stellt auch die Integrität der Daten sicher.[4]
Objekte
[Bearbeiten | Quelltext bearbeiten]Bei den Objekten wird zwischen Base Objects (Basisobjekten) und Managed Objects (verwalteten Objekten) unterschieden. Base Objects sind Informationen, die ein Managed Object spezifizieren. Zu den Base Objects gehören zum Beispiel Attribute, Key Value und Key Wrapping Data.
Ein Managed Object ist ein Objekt mit kryptographischem Inhalt, das vom KLM-System verwaltet wird. Dazu gehören die verschiedenen Schlüssel und Zertifikate. Außerdem können Templates (Vorlagen) erstellt werden, die dem Administrator eines KLM-Systems ermöglichen, Attribute von oft genutzten Prozessen zusammenzufassen. Zum Beispiel kann eine Vorlage für einen symmetrischen Schlüssel erstellt werden, in welcher der Algorithmus und die Länge des Schlüssels definiert sind. Wenn ein Schlüssel nach diesen Spezifikationen erstellt werden soll, wird der Name der Vorlage anstelle der gewünschten Attribute übergeben. Um weitere geheimzuhaltende Objekte zu speichern, werden das Secret Data Objekt (z. B. für Passwörter) oder das Opaque Object verwendet. Die Daten im Opaque Object müssen vom Server nicht interpretiert werden können. Es wird zum Beispiel ein Schlüssel gespeichert, obwohl der Server den verwendeten Verschlüsselungs-Algorithmus nicht unterstützt.
Attribute
[Bearbeiten | Quelltext bearbeiten]Um die Managed Objects zu spezifizieren, gibt es verschiedene Attribute. In der Tabelle sind alle Attribute mit ihren wichtigsten Eigenschaften aufgelistet. Es gibt Attribute, die für jedes Objekt oder für bestimmte Objekte zwingend sind, andere sind optional. Von einigen Attributen können pro Objekt mehrere Instanzen vorhanden sein. Wichtig ist dies zum Beispiel beim Link. Ein Public Key hat einen Link zum zugehörigen Private Key und zusätzlich zum Zertifikat, das den Schlüssel mit einer Identität verknüpft. In der KMIP-Spezifikation wird zudem für jedes Attribut beschrieben, wer es erstellen, ändern, löschen darf und bei welchen Operationen das Attribut implizit gesetzt wird.
Attribut | Beschreibung |
---|---|
Unique Identifier |
|
Name |
|
Object Type |
|
Cryptographic Algorithm | |
Cryptographic Length |
|
Cryptographic Parameters |
|
Cryptographic Domain Parameters |
|
Certificate Type | |
Certificate Identifier |
|
Certificate Subject |
|
Certificate Issuer |
|
Digest |
|
Operation Policy Name |
|
Cryptographic Usage Mask |
|
Lease Time |
|
Usage Limits |
|
State |
|
Initial Date |
|
Activation Date |
|
Process Start Date |
|
Protect Stop Date |
|
Deactivation Date |
|
Destroy Date |
|
Compromise Occurrence Date |
|
Compromise Date |
|
Revocation Reason |
|
Archive Date |
|
Object Group |
|
Link |
|
Application Specific Information |
|
Contact Information |
|
Last Change Date |
|
Custom Attribute |
|
Operationen
[Bearbeiten | Quelltext bearbeiten]Bei den Operationen wird unterschieden, von wem sie initiiert werden. Die meisten davon sind Client-to-Server-Operationen. Zusätzlich gibt es wenige Server-to-Client-Operationen. In der KMIP-Spezifikation wird jeweils beschrieben, welche Informationen eine Anfrage und die dazugehörige Antwort beinhalten. In den folgenden Unterkapiteln werden die Operationen und ihre wichtigsten Eigenschaften aufgelistet. Die Aufteilung erfolgt gemäß Verwendungszweck.
Client-to-Server-Operationen
[Bearbeiten | Quelltext bearbeiten]Ein Client kann eine Teilmenge oder alle Operationen unterstützen. Möchte er mehrere Operationen gleichzeitig an den Server senden, können diese in einer Nachricht zu einem Batch zusammengefasst werden.
Untenstehende Tabelle enthält die Operationen, die ein neues Objekt erzeugen oder Inhalte eines bestehenden Objekts erneuern. Das KLMS kann selbst Zertifikate ausstellen, oder die Zertifizierung von einem externen Dienst (certification authority) anfordern.
Operation | Beschreibung |
---|---|
Create |
|
Create Key Pair |
|
Register |
|
Re-key |
|
Derive Key |
|
Certify |
|
Re-Certify |
|
Operationen, die benötigt werden, um Objekte aufzufinden und abzurufen und um deren Verwendung zu prüfen, werden in der nächsten Tabelle aufgelistet.
Operation | Beschreibung |
---|---|
Locate |
|
Check |
|
Get |
|
In der folgenden Tabelle werden die Operationen angegeben, die sich auf die Attribute von Objekten beziehen. Die Auswahl des gewünschten Objekts erfolgt jeweils mit dem Unique Identifier, die Auswahl des Attributs mit dem Attributnamen.
Operation | Beschreibung |
---|---|
Get Attributes |
|
Get Attribute List |
|
Add Attribute |
|
Modify Attribute | Änderung eines Attributs |
Delete Attribute | Löschen eines Attributs |
Operationen, die in der nächsten Tabelle aufgelistet werden, beschäftigen sich mit der Nutzung von Objekten. Die Objektauswahl erfolgt wie schon oben erwähnt mit der Angabe des Unique Identifiers. Einige der folgenden Operationen dürfen nur von bestimmten Clients beantragt werden (zum Beispiel vom Administrator oder vom Ersteller eines Objekts). Die Identität dieser Clients muss mittels Authentifizierung überprüft werden.
Operation | Beschreibung |
---|---|
Obtain Lease |
|
Get Usage Allocation |
|
Activate |
|
Revoke |
|
Destroy |
|
Archive |
|
Recover |
|
Validate |
|
Die nächste Tabelle beschreibt die asynchronen Operationen sowie eine Operation zur Befragung des Servers. Operationen werden als asynchron bezeichnet, wenn der Server nicht sofort antwortet. Der Client kann zu einem späteren Zeitpunkt die Poll-Operation ausführen, um die Antwort zu erhalten. Dieses Vorgehen wird gewählt, wenn Operationen eine gewisse Bearbeitungszeit benötigen (z. B. Wiederherstellen eines Objekts).
Operation | Beschreibung |
---|---|
Query |
|
Cancel |
|
Poll |
|
Server-to-Client-Operationen
[Bearbeiten | Quelltext bearbeiten]Für gewisse Abläufe ist es sinnvoll, dass ein KLM-Server eine Kommunikation initiiert. Dabei sendet der Server dem Client eine Anfrage (Request Message). Der Client antwortet mit einer Response Message. Bei Anwendung dieser Operationen müssen sich die Clients beim Server anmelden. Die Art der Anmeldung wird nicht im Protokoll spezifiziert. Es wird jedoch erwartet, dass eine Authentifizierung stattfindet, die einen Man-in-the-middle-Angriff[5] verhindert.
Operation | Beschreibung |
---|---|
Notify |
|
Put |
|
Nachrichten-Format
[Bearbeiten | Quelltext bearbeiten]Eine Nachricht besteht immer aus einem Header, gefolgt von einem oder mehreren gestapelten Batch-Objekten und optionalen Nachrichten-Erweiterungen.
Im Header wird zwischen zwei Nachrichtentypen unterschieden: Request und Response. In beiden Headern ist jeweils die Protokoll-Version und der Batch Count angegeben. Der Batch Count gibt an, wie viele Operationen mit dieser Nachricht angefordert werden. Dazu kommen weitere Daten, abhängig vom Typ. Ein Batch-Objekt spezifiziert die gewünschte Operation und beinhaltet alle dafür benötigten Attribute. Die gepunkteten Attribute in den folgenden Abbildungen sind optional.
Um eine einfache Verarbeitung zu garantieren, wird eine Tag-Type-Length-Value (TTLV) Codierung verwendet (siehe Abbildung).
- Tag: Kennzeichnung der nachfolgenden Informationen des TTLV-Segments, codiert als sechsstellige Hexadezimalzahl, wobei diese immer mit 42 beginnt („42XXXX“)
- Type: Typ der nachfolgenden Informationen (Structure, Integer, Long Integer, Big Integer, Enumeration, Boolean, Text String, Byte String, Date-Time, Interval)
- Length: Länge der nachfolgenden Informationen in Bytes
- Value: Der eigentliche Wert bzw. Kern des TTLV-Segments (je nach Datentyp verschieden codiert)
Mit Strukturen werden verschachtelte Inhalte erstellt. Im Value-Teil einer Struktur können weitere TTLV-Segmente vorkommen. Als Länge der Struktur wird dann die Anzahl der Bytes aller in der Struktur enthaltenen Elemente angegeben.
Beispiel Nachricht Enkodierung
[Bearbeiten | Quelltext bearbeiten]Eine Nachricht vom KMIP Client an den KLMS Server zur Erstellung eines symmetrischen Schlüssels kann folgendermaßen aussehen, als Byte-Strom in hexadezimaler Form dargestellt. Aufgeschlüsselt nach dem TTLV Schema und gemäß KMIP Spezifikation interpretiert, ist diese Nachricht eine Anfrage des Clients an den Server. Der Client verlangt einen symmetrischen Schlüssel zur Ver- und Entschlüsselung mit dem AES-Algorithmus. Der Schlüssel soll eine Länge von 128 Bit haben.
Use Cases
[Bearbeiten | Quelltext bearbeiten]Zusätzlich zur Spezifikation wurden Use Cases entwickelt[6]. Dabei wurden die Abläufe von verschiedenen Szenarien und die auszutauschenden Nachrichten beschrieben. Die Use Cases können einerseits dazu verwendet werden, den Ablauf einer Kommunikation nachzuvollziehen. Andererseits kann damit eine Implementationen des KMIP, die auf einem KLMS läuft, getestet werden. Die Use Cases enthalten nur realistische Anwendungen, sie eignen sich nicht dazu, mögliche Angriffe auf das System zu testen.
Open Source Implementation KMIP4J
[Bearbeiten | Quelltext bearbeiten]Während einige Software-Unternehmen schon eine Weile mit proprietären Implementationen von KMIP arbeiten, gab es bisher noch keine frei verfügbare Software. Mit KMIP4J gibt es nun eine Open-Source-Implementation von KMIP 1.0. Diese ist auf SourceForge verfügbar.
Weblinks
[Bearbeiten | Quelltext bearbeiten]- oasis-open.org/... – Offizielle Webseite der Gremium zum Standard KMIP
- wiki.oasis-open.org/... – Referenz-Implementierungen
- Key Management Interoperability Protocol Specification Version 1.0 (PDF; 2,0 MB)
- Key Management Interoperability Protocol Use Cases Version 1.0 (MS Word; 1,0 MB)
- Key Management Interoperability Protocol Usage Guide Version 1.0 (MS Word; 453 kB)
- Key Management Interoperability Protocol Profiles Version 1.0 (PDF; 197 kB)
- White Paper: Key Management Interoperability Protocol (PDF; 1,1 MB)
- KMIP4J on Sourceforge
Einzelnachweise
[Bearbeiten | Quelltext bearbeiten]- ↑ http://xml.coverpages.org/KMIP/KMIP-WhitePaper.pdf
- ↑ Key Management Interoperability Protocol Specification Version 1.0 - OASIS Standard
- ↑ http://docs.oasis-open.org/kmip/spec/v1.0/cs01/kmip-spec-1.0-cs-01.pdf
- ↑ Key Management Interoperability Protocol Profiles Version 1.0 Committee Specification, 15. Juni 2010, (PDF; 193 kB)
- ↑ Kurose und Ross: Computernetzwerke – Der Top-Down-Ansatz. Pearson Deutschland GmbH, München 2012.
- ↑ http://docs.oasis-open.org/kmip/usecases/v1.0/cs01/kmip-usecases-1.0-cs-01.doc