Zertifizierungsstellen verwalten Zertifikatsanforderungen und stellen Zertifikate an teilnehmende Einrichtungen wie Gastgeber, Netzwerkgeräte oder Benutzer aus. Die CAs stellen die zentrale Schlüsselverwaltung für die teilnehmenden Einrichtungen zur Verfügung.

Digitale Signaturen, basierend auf einer Public-Key-Kryptografie, digitale Authentifizierung von Geräten und einzelnen Benutzern. Bei der Kryptografie mit einem öffentlichen Schlüssel, wie dem RSA-Verschlüsselungssystem, verfügt jedes Gerät oder jeder Benutzer über ein Schlüsselpaar, das sowohl einen privaten als auch einen öffentlichen Schlüssel enthält. Der private Schlüssel wird geheim gehalten und ist nur dem Gerät oder Benutzer des besitzenden Benutzers bekannt. Allerdings ist der öffentliche Schlüssel jedem bekannt. Alles, was mit einem der Schlüssel verschlüsselt ist, kann zusammen mit dem anderen entschlüsselt werden. Eine Signatur wird formiert, wenn Daten mit einem privaten Schlüssel des Absenders verschlüsselt werden. Der Empfänger überprüft die Signatur, indem er die Nachricht mit dem öffentlichen Schlüssel des Absenders entschlüsselt. Dieser Vorgang hängt davon ab, dass der Empfänger eine Kopie des öffentlichen Schlüssels des Absenders hat und mit einem hohen Maß an Interesse daran weiß, dass es wirklich zum Absender gehört und nicht zu jemandem, der als Absender vorgibt.

Digitale Zertifikate verknüpfen die digitale Signatur mit dem Absender. Ein digitales Zertifikat enthält Informationen zur Identifizierung eines Benutzers oder Geräts, z. B. der Name, die Seriennummer, das Unternehmen, die Abteilung oder die IP-Adresse. Außerdem enthält sie eine Kopie des öffentlichen Schlüssels der Juristischen Person. Die Zertifizierungsstelle, die das Zertifikat signiert, ist ein Drittanbieter, dem der Empfänger ausdrücklich vertraut, um Identitäten zu validieren und digitale Zertifikate zu erstellen.

Um die Signatur der CA zu validieren, muss der Empfänger zuerst den öffentlichen Schlüssel der CA kennen. Dieser Vorgang wird normalerweise bandlich oder über eine bei der Installation durchgeführte Operation durchgeführt. Zum Beispiel sind die meisten Webbrowser standardmäßig mit den öffentlichen Schlüsseln mehrerer CAs konfiguriert.

Das PKI-Vertrauensmodell ist hierarchisch mit mehreren konfigurierbaren, vertrauenswürdigen CAs. Sie können jedes teilnehmende Gerät mit einer Liste vertrauenswürdiger Zertifizierungen konfigurieren, sodass eine Peer-Zertifikat, die während des Austauschs des Sicherheitsprotokolls erhalten wurde, authentifiziert werden kann, wenn sie von einer der lokal vertrauenswürdigen CAs ausgestellt wurde. Die Cisco NX-OS-Software speichert lokal die selbstsignierte Stammzertifikat der vertrauenswürdigen CA (oder die Zertifikatskette für eine untergeordnete Ca). Der Prozess, eine vertrauenswürdige CA Stammzertifikat-Zertifizierungsstelle sicher zu erhalten (oder die gesamte Kette im Fall einer untergeordneten ZERTIFIZIERUNGsstelle) und lokal gespeichert wird, wird CA-Authentifizierung genannt.

Die Informationen zu einer von Ihnen konfigurierten vertrauenswürdigen Zertifizierungsstelle werden als Vertrauenspunkt und die ZERTIFIZIERUNGsstelle selbst als Vertrauenspunkt-CAbezeichnet. Diese Informationen bestehen aus einem CA-Zertifikat (oder einer Zertifikatskette im Fall einer untergeordneten Zertifizierungsstelle) und einer Zertifikatsperrung, die Die Informationen überprüft.

Das Cisco NX-OS-Gerät kann sich auch mit einem Vertrauenspunkt registrieren, um ein Identitätszertifikat zu erhalten, das einem Schlüsselpaar zuordnen kann. Dieser Vertrauenspunkt wird als Identitäts-CAbezeichnet.

Sie können ein Identitätszertifikat erhalten, indem Sie einen oder mehrere RSA-Schlüsselpaare erstellen und jedes RSA-Schlüsselpaar einer Vertrauenspunkt-CA zuordnen, in der sich das Cisco NX-OS-Gerät einschreiben möchte. Für das Cisco NX-OS-Gerät ist nur eine Identität pro CA benötigt, die aus einem Schlüsselpaar und einem Identitätszertifikat pro CA besteht.

Mit der Cisco NX-OS-Software können Sie RSA-Schlüsselpaare mit einer konfigurierbaren Schlüsselgröße (oder Modulus) erstellen. Die Standardgröße des Schlüssels ist 512. Sie können auch eine RSA-Schlüsselpaarbezeichnung konfigurieren. Die Standard-Beschriftung für den Schlüssel ist das vollqualifizierter Domänenname (FQDN).

Die folgende Liste fasst die Beziehung zwischen Vertrauenspunkten, RSA-Schlüsselpaaren und Identitätszertifikaten zusammen:

• Ein Vertrauenspunkt entspricht einer bestimmten CA, der das Cisco NX-OS-Gerät für die Überprüfung Peer-Zertifikat beliebigen Anwendung (z. B. SSH) vertraut.

• Ein Cisco NX-OS-Gerät kann viele Vertrauenspunkte haben, und alle Anwendungen auf dem Gerät können einer Zertifizierungsstellen(Peer-Zertifikat, die von einer der Trust Point CAs ausgestellt wurde, vertrauen.

• Ein Trust-Point ist nicht auf eine bestimmte Anwendung beschränkt.

• Ein Cisco NX-OS-Gerät wird bei der ZERTIFIZIERUNG registriert, die dem Vertrauenspunkt entspricht, um ein Identitätszertifikat zu erhalten. Sie können Ihr Gerät mit mehreren Vertrauenspunkten registrieren. Das heißt, Sie können ein separates Identitätszertifikat von jedem Trust-Point abrufen. Die Identitätszertifikate werden von Anwendungen in Abhängigkeit von den im Zertifikat von der ausstellenden CA angegebenen Zwecken verwendet. Der Zweck eines Zertifikats wird im Zertifikat als Zertifikaterweiterung gespeichert.

• Wenn Sie sich mit einem Trust-Point einschreiben, müssen Sie ein RSA-Schlüsselpaar angeben, das zertifiziert sein soll. Dieses Schlüsselpaar muss generiert und dem Vertrauenspunkt zugeordnet sein, bevor die Einschreibungsanfrage erstellt werden kann. Die Zuordnung zwischen dem Vertrauenspunkt, dem Schlüsselpaar und dem Identitätszertifikat ist gültig, bis er explizit durch Löschen des Zertifikats, Schlüsselpaares oder Vertrauenspunkts entfernt wird.

• Der Betreffname im Identitätszertifikat ist die vollqualifizierter Domänenname für das Cisco NX-OS-Gerät.

• Sie können auf einem Gerät einen oder mehrere RSA-Schlüsselpaare generieren, die jeweils einem oder mehrere Vertrauensstellen zugeordnet werden können. Einem Trust Point kann jedoch nicht mehr als ein Schlüsselpaar zugeordnet werden. Das heißt, von einer CA ist nur ein Identitätszertifikat zulässig.

• Wenn das Cisco NX-OS-Gerät mehrere Identitätszertifikate (jeweils aus einer bestimmten ZERTIFIZIERUNGsstelle) erhält, ist das Zertifikat, das eine Anwendung im Austausch eines Sicherheitsprotokolls mit einem Peer verwendet, anwendungsspezifisch.

• Sie müssen keinen oder mehrere Vertrauenspunkte für eine Applikation festlegen. Jede Applikation kann alle Zertifikate eines beliebigen Trust-Point-Zertifikats verwenden, solange der Zweck des Zertifikats den Anforderungen der Anwendung entspricht.

• Sie benötigen nicht mehr als ein Identitätszertifikat von einem Trust-Point oder mehr als ein Schlüsselpaar, das zu einem Vertrauenspunkt zugeordnet werden soll. Eine Zertifizierungsstelle bestätigt eine bestimmte Identität (oder einen Namen) nur einmal und gibt nicht mehrere Zertifikate mit demselben Namen aus. Wenn Sie mehr als ein Identitätszertifikat für eine CA benötigen und die Zertifizierungsstelle mehrere Zertifikate mit denselben Namen zulässt, müssen Sie einen anderen Vertrauenspunkt für die gleiche ZERTIFIZIERUNGsstelle definieren, diesem ein anderes Schlüsselpaar zuordnen und über eine Zertifizierung verfügen.

Das Cisco NX-OS-Gerät kann mehreren CAs vertrauen, indem es mehrere Vertrauenspunkte konfiguriert und jede mit einer bestimmten CA zu verknüpfen. Bei mehreren vertrauenswürdigen Zertifizierungsstellen müssen Sie kein Gerät bei der bestimmten Zertifizierungsstelle registrieren, die das Zertifikat für einen Peer ausgestellt hat. Stattdessen können Sie das Gerät mit mehreren vertrauenswürdigen Zertifizierungas konfigurieren, denen der Peer vertraut. Das Cisco NX-OS-Gerät kann dann eine konfigurierte vertrauenswürdige Zertifizierungsstelle verwenden, um Zertifikate zu verifizieren, die von einem Peer empfangen wurden, die nicht von derselben CA ausgestellt wurden, die in der Identität des Peer-Geräts definiert wurde.

Bei der Einschreibung wird ein Identitätszertifikat für das Gerät erhalten, das für Anwendungen wie SSH verwendet wird. Sie tritt zwischen dem Gerät, das das Zertifikat an fordert, und der Zertifizierungsstelle auf.

Das Cisco NX-OS-Gerät führt beim Durchführen des PKI-Einschreibungsprozesses die folgenden Schritte durch:

• Generiert ein privates RSA- und öffentliches Schlüssel-Paar auf dem Gerät.

• Generiert eine Zertifikatsanforderung im Standardformat und führt diese an die CA weiter.

Wenn die Einschreibungsanforderung auf dem CA-Server eingegangen ist, muss der CA-Administrator die Einschreibungsanforderung möglicherweise manuell genehmigen.

• Empfängt das ausgestellte Zertifikat von der ZERTIFIZIERUNGsstelle zurück, signiert mit dem privaten Schlüssel der CA.

• Gibt das Zertifikat in einen unspannungsfreien Speicherbereich auf dem Gerät ein (Bootflash).

Die Cisco NX-OS-Software unterstützt das Abrufen und Einschreibung von Zertifikaten durch manuelles Ausschneiden und Einfügen. Einschreibungen ausschneiden und einfügen bedeutet, dass Sie die Zertifikatsanforderungen und die resultierenden Zertifikate zwischen dem Gerät und der CA ausschneiden und einfügen müssen.

Beim Ausschneiden und Einfügen in das manuelle Einschreibungsverfahren müssen Sie die folgenden Schritte durchführen:

• Erstellen Sie eine Einschreibungszertifikatanforderung, die auf dem Cisco NX-OS-Gerät in base64-codiertem Textformular angezeigt wird.

• Schneiden Sie den verschlüsselten Zertifikatanforderungstext in eine E-Mail oder in ein Webformular ein und senden Sie ihn an die Zertifizierungsstelle.

• Erhalten Sie das ausgestellte Zertifikat (in base64-verschlüsselter Textform) von der Zertifizierungsstelle in einer E-Mail oder in einem Webbrowser-Download.

• Das ausgestellte Zertifikat mithilfe der Zertifikatimport-Einrichtung ausschneiden und auf dem Gerät einfügen.

Mit mehreren Identitäts-CAs kann sich das Gerät mit mehr als einem Vertrauenspunkt registrieren. Dies führt zu mehreren Identitätszertifikaten, jeweils von einer bestimmten ZERTIFIZIERUNGsstelle. Mit dieser Funktion kann das Cisco NX-OS-Gerät an SSH und anderen Anwendungen teilnehmen, bei denen viele Peers Zertifikate verwenden, die von CAs ausgestellt wurden, die für diese Peers akzeptabel sind.

Mit der RSA-Schlüsselkopplungsfunktion kann das Gerät für jede CA, bei der es registriert ist, ein eindeutiges Schlüsselpaar halten. Sie kann Richtlinienanforderungen für jede Zertifizierungsstelle anpassen, ohne einen Konflikt mit den Von den anderen Zertifizierungsstellen festgelegten Anforderungen wie z. B. der Schlüssellänge zu haben. Das Gerät kann mehrere RSA-Schlüsselpaare generieren und jedes Schlüsselpaar einem bestimmten Vertrauenspunkt zuordnen. Anschließend wird bei der Registrierung mit einem Vertrauenspunkt das zugeordnete Schlüsselpaar für das Erstellen der Zertifikatsanforderung verwendet.

Die PKI-Unterstützung auf einem Cisco NX-OS-Gerät kann Peer-Zertifikate überprüfen. Die Cisco NX-OS-Software überprüft die Zertifikate, die von Peers während des Sicherheitsaustauschs für Anwendungen wie SSH empfangen wurden. Die Anwendungen überprüfen die Gültigkeit der Peer-Zertifikate. Die Cisco NX-OS-Software führt beim Überprüfen der Peer-Zertifikate die folgenden Schritte durch:

• Überprüft, ob die Peer-Zertifikat von einer der lokal vertrauenswürdigen Zertifizierungsbehörden ausgestellt wurde.

• Überprüft, ob die Peer-Zertifikat gültig (nicht abgelaufen) für die aktuelle Uhrzeit ist.

• Überprüft, ob die Peer-Zertifikat noch nicht von der ausstellenden Zertifizierungsstelle widerrufen wurde.

Für die Aufsperrungsprüfung unterstützt die Cisco NX-OS-Software die Zertifikatssperrliste (Certificate Revocation List, CRL). Mit dieser Methode kann eine Trust Point-CA überprüfen, ob Peer-Zertifikat Gesperrt wurde.

Die Cisco NX-OS-Software kann den Sperrstatus von CA-Zertifikaten überprüfen. Die Anwendungen können die Mechanismen zur Überprüfung der Sperrung in der von Ihnen festgelegten Reihenfolge verwenden. Die Auswahlmöglichkeiten sind CRL, keine oder eine Kombination dieser Methoden.

Im Rahmen des CA-Authentifizierungs- und Einschreibungsprozesses können die untergeordneten CA-Zertifikate (oder Zertifikatskette) und Identitätszertifikate im Standard-PEM-Format (Base64) importiert werden.

Die vollständigen Identitätsinformationen in einem Vertrauenspunkt können in eine Datei im passwortgeschützten PKCS#12-Standardformat exportiert werden. Sie kann später auf dasselbe Gerät (z. B. nach einem Systemabsturz) oder auf ein Ersatzgerät importiert werden. Die Informationen in einer PKCS#12-Datei bestehen aus dem RSA-Schlüsselpaar, dem Identitätszertifikat und dem CA-Zertifikat (oder der Kette).

Sie können sicherstellen, dass die Trustpoint-Konfiguration über das Cisco NX-OS-Gerät beim Neustart beibehalten wird.

Bei der Konfiguration des Vertrauenspunkts handelt es sich um eine normale Cisco NX-OS-Gerätekonfiguration, die über das gesamte System hinweg nur dann neu gestartet wird, wenn Sie sie explizit in die Startup-Konfiguration kopieren. Die Zertifikate, Schlüsselpaare und CRL, die mit einem Vertrauenspunkt verknüpft sind, werden automatisch dauerhaft gespeichert, wenn Sie die Konfiguration des Vertrauenspunkts bereits in der Startkonfiguration kopiert haben. Wenn hingegen die Konfiguration des Vertrauenspunkts nicht in die Startkonfiguration kopiert wird, sind die damit verbundenen Zertifikate, Schlüsselpaare und CRL nicht dauerhaft, da sie nach einem Neustart die entsprechende Trust-Point-Konfiguration erfordern. Kopieren Sie die laufende Konfiguration immer in die Startup-Konfiguration, um sicherzustellen, dass die konfigurierten Zertifikate, Schlüsselpaare und CRLs dauerhaft sind. Speichern Sie außerdem die ausgeführte Konfiguration nach dem Löschen eines Zertifikats oder Schlüsselpaares, um sicherzustellen, dass die Löschungen dauerhaft sind.

Die Zertifikate und die CRL, die mit einem Vertrauenspunkt verknüpft sind, werden beim Import automatisch dauerhaft (d. h. ohne explizite Kopiervorgang in die Startkonfiguration), wenn der spezifische Trust-Point bereits in der Startkonfiguration gespeichert wurde.

Wir empfehlen Ihnen, ein passwortgeschütztes Backup der Identitätszertifikate zu erstellen und auf einem externen Server zu speichern.

Beim Kopieren der Konfiguration auf einen externen Server sind die Zertifikate und Schlüsselpaare enthalten.