Vertrauensanker
Ein Vertrauensanker ist ein Zertifikat oder Schlüssel, dem die Prüfstelle ausdrücklich vertraut und auf den sich andere Zertifikate zurückführen lassen müssen.
Zertifikate, die ein Nachweis selbst mitbringt, können nie ihr eigener Anker sein; sie sind nur Zwischenglieder. Erst wenn der Pfad bei einem Anker der Prüfstelle endet, ist ein Zeitstempel im Prüfmodell belegt.
Beispiel
Eine Prüfstelle legt das Stammzertifikat ihrer Zeitstempelstelle und die Schlüssel zweier Aussteller als Vertrauensanker fest. Nur Nachweise, deren Pfad bei einem dieser Anker endet, gelten als belegt.
Abgrenzung
Ein Schlüssel im Nachweis selbst ist selbst behauptet; ein Vertrauensanker wird von der Prüfstelle festgelegt. Ein Stammzertifikat ist eine häufige Form eines Ankers.
In der Praxis
- Beziehen Sie Anker nur aus vertrauenswürdigen Quellen, etwa direkt vom Aussteller oder aus einer offiziellen Liste, nie aus dem Nachweis selbst.
- Halten Sie die Zahl der Anker klein und dokumentieren Sie, warum Sie jedem vertrauen. Jeder zusätzliche Anker erweitert den Kreis möglicher Aussteller.
- Prüfen Sie regelmässig, ob Anker abgelaufen oder ersetzt sind, und entfernen Sie nicht mehr benötigte Anker aus Ihrer Konfiguration.
Bezug zu KYA
KYA weist für jeden Bericht aus, ob ein Schlüssel aus einem Anker der Prüfstelle stammt oder nur eingebettet war. Ohne Anker ist die Herkunft nicht belegt, auch wenn die Signatur stimmt.
Zugehöriger Prüfschritt: Zeitstempel (timestamp_assurance). Ist der RFC-3161-Zeitstempel gültig, an den Inhalt gebunden und auf einen Anker der prüfenden Stelle rückführbar?
Häufige Fragen
Was ist ein Vertrauensanker?
Ein Schlüssel oder Zertifikat, dem eine Prüfstelle ausdrücklich vertraut und von dem aus sie andere Schlüssel prüft.
Warum genügt eine gültige Signatur nicht?
Weil sie nur zeigt, dass Inhalt und Schlüssel zusammenpassen. Wem der Schlüssel gehört, belegt erst der Pfad zu einem Vertrauensanker.
Wer legt Vertrauensanker fest?
Die Prüfstelle, nach ihren Regeln. KYA lädt keine Anker selbst, sondern verwendet die, die die Prüfstelle hinterlegt.
Kann ein Nachweis seinen eigenen Anker mitbringen?
Er kann einen Schlüssel mitliefern, doch dann ist die Herkunft nur selbst behauptet. KYA weist das aus; als Anker zählt nur, was die Prüfstelle selbst festlegt.
Was passiert, wenn ein Anker kompromittiert wird?
Alle Nachweise, die darauf aufbauen, verlieren ihre Aussagekraft. Die Prüfstelle muss den Anker sofort entfernen und betroffene Nachweise neu bewerten.
Wo finde ich vertrauenswürdige Anker?
Direkt bei den Ausstellern, etwa auf deren Website oder in ihrer technischen Dokumentation, und in offiziellen Listen anerkannter Vertrauensdienste. Prüfen Sie die Quelle, bevor Sie einen Anker hinterlegen.