Verschlüsselung

    Netlogon: Domänen-Controller verweigern Verbindung zu unsicheren Geräten

    Security-TeaserIm August 2020 wurde die Schwach­stelle CVE-2020-1472 im Netlogon Remote Protocol pub­liziert. Microsofts Patch er­zwingt ab dem 9. Februar die Kommu­nikation über einen Secure RPC. Inkom­patible Geräte können sich ab sofort nur mehr an einem DC authen­tifizieren, wenn man sie über ein GPO zulässt.

    Zertifikat für BitLocker Recovery Agent ausstellen

    Zertifikat für BitLocker-EntsperrungBitLocker unter­stützt mehrere Mecha­nismen, um ein ver­schlüsseltes Lauf­werk zu ent­sperren. Dazu gehören auch Wieder­her­stellungs­agenten, mit deren Zerti­fikat man einen BitLocker-Protector hinzu­fügen kann. Für die Aus­stellung eines solchen Zertifikats benötigt man eine eigens dafür angepasste Vor­lage.

    BitLocker-Laufwerke automatisch entsperren über Auto-Unlock oder SID-Protector

    Bitlocker LaufwerksverschlüsselungWenn ein Rechner neben dem System-Volume über Daten­lauf­werke verfügt, die mit BitLocker ver­schlüsselt sind, dann ist es angenehm, wenn man sie nicht immer sepa­rat ent­sperren muss. Das gilt erst recht für Wechsel­daten­träger. BitLocker bietet mit Auto-Unlock und SID-Protector dafür zwei Ver­fahren.

    BitLocker To Go: Verschlüsselung von USB-Laufwerken über Gruppenrichtlinien steuern

    USB-Laufwerk verschlüsseln mit BitLocker To GoWenn Unter­nehmen den unkon­trol­lierten Abfluss von Daten ver­hindern wollen, dann gilt ihre beson­dere Auf­merk­samkeit den Wechsel­daten­trägern. Bei Verlust von USB-Speichern schützt BitLocker To Go deren Inhalt vor unbe­fug­tem Zugriff. Das Feature lässt sich über Gruppen­richt­linien erzwingen und anpassen.

    Clients hinter Proxy erfordern HTTPS-Verbindung zu WSUS

    WSUS für SSL konfigurierenMit dem kumulativen Update für September ändern Rechner unter Windows 10 ihr Verhalten gegen­über den Windows Server Update Services (WSUS). Wenn Letztere nicht für die Kommu­nikation über HTTPS konfi­guriert wurden, dann können die Clients unter bestimmten Bedingungen keine Updates mehr abrufen.

    Invoke-WebRequest: Es konnte kein geschützter SSL/TLS-Kanal erstellt werden

    TLS-Problematik bei Windows PowerShellWer mit Invoke-WebRequest Web-Inhalte abrufen will, kann an einem SSL/TLS-Fehler scheitern. Der Grund liegt darin, dass immer mehr Websites die Version 1.0 des Proto­kolls ablehnen. In Windows Power­Shell muss man dann, je nach Version des installierten .NET-Frameworks, TLS 1.1 / 1.2 manuell aktivieren.

    Schritt-für-Schritt-Anleitung: vSphere Trust Authority konfigurieren

    Virtuelle Maschinen verschlüsselnDie vSphere Trust Authority (vTA) besteht aus dem Verwaltungs-Cluster und einem vertrauens­würdigen Schlüssel­anbieter. Alle normalen ESXi-Cluster werden gegen den vTA-Cluster bestätigt. Diese Anleitung be­schreibt, wie man eine solche Infra­struktur ein­richtet, um die Inte­grität der Hosts zu prüfen.

    vSphere Trust Authority: Komponenten und Funktionsweise

    vSphere Trust AuthorityDie vSphere Trust Authority (vTA) bestätigt die Vertrauens­würdigkeit von ESXi-Hosts, welche dann krypto­grafische Operationen ausführen können. Die Infrastruktur besteht aus vTA- und vertrauens­würdigen Clustern sowie einem externen KMIP-Server. Auf den ESXi-Hosts laufen zudem mehrere Dienste für vTA.

    vSphere Trust Authority: ESXi-Hosts über separaten Verwaltungs-Cluster absichern

    Host-Attestierung in VMware vSphereNeben der Kubernetes-Integration ist Security ein Schwer­punkt von vSphere 7. Zu den Neu­heiten gehört dabei die vSphere Trust Authority (vTA), welche die ESXi-Infra­struktur schützen soll. Sie be­nötigt einen ver­trauens­würdigen Ver­waltungs-Cluster, der einen Be­stätigungs­dienst für die pro­duk­tiven Hosts ausführt.

    Key Management Server (KMS) für vSphere: PyKMIP als Docker-Container installieren

    KMS für die VM-Verschlüsselung in VMware vSphereEs gibt mehrere Dritt­anbieter für KMIP-kompatible KMS, die VMware für seine Ver­schlüsselungs­funktion unter­stützt. Es handelt sich dabei jedoch um kommer­zielle Produkte, die für eine Eva­luierung schlecht geeig­net sind. Dafür em­pfiehlt sich die Open-Source-Lösung PyKMIP, die als Linux-Container verfügbar ist.

    Seiten