Patch-Management » Best Practice: Zertifikatssperrlisten

DX-Union Community � Client & Server Automation � Patch-Management � Best Practice: Zertifikatssperrlisten

Themen-Einstellungen

Bereich wechseln

Allgemein News FAQ Client & Server Automation OS-Installation Software-Management Patch-Management Inventory Mobile-Device-Management Allgemein User & Workplace Automation User-Management Printer-Management Share-Management Device-Management Allgemein Service & Support Service Desk Allgemein

#1 | Best Practice: Zertifikatssperrlisten datum

11.11.2011 12:30

Hallo!

Mir ist eben aufgefallen, dass die Zertifikatssperrlisten Updates von Microsoft nicht über das Patchmanagement kommen. Ich wollte die Community mal fragen, wie bei euch die Zertifikatssperrlisten aktualisiert werden? Bei den Updates handelt es sich im Prinzip ja auch um ein Sicherheitsupdate. Habt ihr ein automatisiertes Verfahren oder ladet ihr die Updates von Hand runter und baut jedes mal ein neues Paket bzw. aktualisiert ein entsprechendes Paket?

Wenn jemand schon so etwas hat, könnte er es zur Verfügung stellen?

Grüße

C. Arnold

Antworten

#2 | RE: Best Practice: Zertifikatssperrlisten datum

11.11.2011 15:38 (zuletzt bearbeitet: 11.11.2011 15:45)

Hallo CArnold,

leider sind die Zertifikatssperrlisten scheinbar nicht in der patchscan.cab von Microsoft enthalten.
Unter 'http://technet.microsoft.com/de-de/libra...9.aspx#BKMK_cmd' kann man lesen, dass ein Import über die Kommandozeile möglich ist.
Es wäre also möglich das per Softwarepaket umzusetzen.

Ob und wie ein automatisierter Download möglich ist, kann ich leider nicht sagen.

In dem Artikel steht aber auch:

Standardmäßig werden die Zertifikatssperrliste und die Deltasperrliste auf dem Server, auf dem die Zertifizierungsstelle installiert ist, an folgendem Ort veröffentlicht:
Systemroot\system32\CertSrv\CertEnroll\
Wenn der Active Directory-Verzeichnisdienst verfügbar ist, werden sie auch in Active Directory veröffentlicht.

Das lässt darauf schließen, dass man die Liste nur auf einem passenden Server einspielen muss und sich die Clients im AD dann die Liste von diesem Server holen.

Mit freundlichen Grüßen

Andreas Ahlrichs
Produktsupport DX-Union
________________________________________________
MATERNA GmbH
Information & Communications

Telefon: +49 231 5599-111
E-Mail: dxu2nd@materna.de
_______________________________________________
Hauptsitz der MATERNA GmbH: Voßkuhle 37, 44141 Dortmund
Geschäftsführer: Dr. Winfried Materna, Helmut an de Meulen, Ralph Hartwig
Amtsgericht Dortmund HRB 5839

Antworten

#3 | RE: Best Practice: Zertifikatssperrlisten datum

22.11.2011 15:33

Leider war das Themenabo nicht aktiviert so wie ich es eigentlich vor hatte, daher habe ich Ihre Antwort eben erst gesehen.

AD ist bei uns vorhanden, aber einige PCs (8 Stück) sind nicht im AD, daher bleibt ein Softwarepaket nicht aus.

Das Problem ist dass man diese Updates nicht von Microsoft in Form von CRLs bekommt, sondern als INF die letztenendes die Werte der Registry verändern. Diese werden über das AD nicht weitergegeben (mein PC hat ganz andere Werte als der ständig über WSUS gepatchte Domaincontroller)

Gefälschte und missbrauchte Zertifikate stellen ein Sicherheitsrisiko dar. Jetzt ist die Frage, bekommt man Microsoft dazu die Patchscan.cab auch mit den Sperrlistenupdates zu versorgen oder muss man da selbst was machen? Am Ende wird Microsoft dann sicher sagen: Nutzt den WSUS, der bringt euch die Updates.

Wie kann man das Problem angehen?

Mit freundlichen Grüßen
C. Arnold

Antworten

#4 | RE: Best Practice: Zertifikatssperrlisten datum

24.11.2011 10:15 (zuletzt bearbeitet: 24.11.2011 10:39)

Hallo CArnold,

ich würde vermuten, dass es Ihnen nur schwer gelingen wird, Microsoft davon zu überzeugen die Zertifikatsperrlistenupdates mit in die patchscan.cab aufzunehmen.
Also bliebe nur die Verteilung per DX-Union Software-Paket.
Einziger Wehrmutstropfen ist hier aber, dass man die zu installierenden Updates manuell selektieren und paketieren muss.

Helfen könnte hier das Open Source Projekt 'mod_sslcrl' ('http://opensource.adnovum.ch/mod_sslcrl.html').
'mod_sslcrl' ist ein Open-Source-Tool für den Apache Webserver und prüft Zertifikate auf Sperrung und Widerruf und lädt dazu von den Zertifizierungsstellen laufend die aktuellen Sperrlisten.
Eine deutsche Kurzbschreibung finden Sie unter 'http://www.opensource.ch/oss-top-news/si...te-zertifikate/'.

Man könnte diese Tool evtl. nutzen, um ein DX-Union Softwarepaket zum Update der Sperrlisten, automatisch (ein Cronjob prüft regelmäßig ob sich der Timestamp der Sperrlisten auf dem Apache geändert hat und kopiert diese in das DX-Union Softwarepaket) immer auf dem aktuellen Stand zu halten.
Das Paket (Installation der Zertifikate dann wie in meiner ersten Antwort, per Kommandozeilenaufruf) müsste dann nur in regelmäßigen Abständen auf allen Clients installiert werden.

Mit freundlichen Grüßen

Antworten

Patchmanagement ignoriert Wartungsfenster �