Web-API-Zertifikate für Arbiter und Sentinel

Die Specops Password Policy Sentinel und Specops Password Arbiter Web-APIs verwenden von Specops verwaltete selbstsignierte TLS-Serverzertifikate. Diese Zertifikate werden durch Zertifikat-Pinning validiert, wodurch der Server authentifiziert und vor Man-in-the-Middle-Angriffen geschützt wird.

Schwachstellenscanner können selbstsignierte Zertifikate kennzeichnen, da sie nicht mit einer vertrauenswürdigen Zertifizierungsstelle verknüpft sind. Dies identifiziert korrekt den Zertifikatstyp, berücksichtigt jedoch nicht das von Specops durchgesetzte Zertifikat-Pinning. Ein alleiniger Fund eines selbstsignierten Zertifikats zeigt daher keine Man-in-the-Middle-Schwachstelle auf.

Zertifikat-Pinning stellt Vertrauen in ein bestimmtes Zertifikat oder einen öffentlichen Schlüssel her. Es ist eine etablierte Sicherheitstechnik, die sich für kontrollierte Umgebungen wie diese internen Verbindungen eignet, bei denen Specops sowohl die Client-Software als auch die Serverzertifikate verwaltet.

Specops öffentliche Dienste, einschließlich der Download-Seite und der Breached Password Protection Cloud-API, verwenden von CA ausgestellte Zertifikate und eine standardmäßige CA-basierte Validierung.

Specops verwaltet automatisch die Zertifikate für die Sentinel- und Arbiter-Web-API-Endpunkte und verwendet Zertifikat-Pinning, um die Serveridentität zu validieren. Diese verwaltete Konfiguration ist erforderlich, um die beabsichtigte Vertrauensbeziehung zwischen Specops-Komponenten aufrechtzuerhalten.

Wenn ein Schwachstellenscanner einen Fund ausschließlich auf der Verwendung von selbstsignierten Zertifikaten meldet, sollte dieser Fund als erwartete Konfiguration dokumentiert werden, wobei das Zertifikat-Pinning als Server-Validierungsmechanismus aufgezeichnet wird.