|
| 1 | +# Fall 3: Zugriff / Berechtigung / Zertifikat-Problem |
| 2 | + |
| 3 | +## Übersicht |
| 4 | + |
| 5 | +| Feld | Wert | |
| 6 | +|------|------| |
| 7 | +| **Ticket-Typ** | Service Request / Failure — Zugriff & Berechtigungen | |
| 8 | +| **Häufigkeit** | Mittel (~12 von 206 Tickets) | |
| 9 | +| **Typische Priorität** | Medium | |
| 10 | +| **Typische Zuweisung** | WOS - Workplace & Software | |
| 11 | + |
| 12 | +--- |
| 13 | + |
| 14 | +## Repräsentativer Fall |
| 15 | + |
| 16 | +### Ticket-Steckbrief |
| 17 | + |
| 18 | +| Feld | Wert | |
| 19 | +|------|------| |
| 20 | +| **Incident ID** | INC000016337079 | |
| 21 | +| **Zusammenfassung** | Zugriff auf GitHub gestört | |
| 22 | +| **Priorität** | Medium | |
| 23 | +| **Dringlichkeit** | 3-Medium | |
| 24 | +| **Auswirkung** | 3-Moderate/Limited | |
| 25 | +| **Status** | Pending | |
| 26 | +| **Melder-Quelle** | Web | |
| 27 | +| **Gemeldet am** | 14.11.2025, 14:09 | |
| 28 | + |
| 29 | +### Betroffene/r Benutzer/in |
| 30 | + |
| 31 | +| Feld | Wert | |
| 32 | +|------|------| |
| 33 | +| **Organisation** | WBF-SECO, Konjunktur | |
| 34 | +| **Standort** | Bern | |
| 35 | +| **Gerät** | HP EliteBook 840 G8 | |
| 36 | +| **Service** | BS_GPL Git | |
| 37 | + |
| 38 | +### Beschreibung (Original) |
| 39 | + |
| 40 | +> Rückruf unter → +41 58 46 59538 |
| 41 | +> |
| 42 | +> Grund der Ticketeröffnung → GitHub Probleme |
| 43 | +> |
| 44 | +> Thema → Software/Applikation - Sonstiges |
| 45 | +> |
| 46 | +> Beim `git pull` auf `https://github.com/dpkj/tstools.git` erhalte ich |
| 47 | +> `schannel: SEC_E_UNTRUSTED_ROOT (0x80090325)`. |
| 48 | +> Das scheint mit dem TLS-Proxy der Bundesverwaltung zusammenzuhängen. |
| 49 | +> Können Sie bitte sicherstellen, dass das Root-Zertifikat des Proxys auf meinem |
| 50 | +> Arbeitsplatz im Windows-Trusted Root Certification Authorities-Store installiert ist, |
| 51 | +> so dass Git (schannel) Verbindungen zu GitHub aufbauen kann? |
| 52 | +
|
| 53 | +### Verlauf |
| 54 | + |
| 55 | +| Zeitpunkt | Status | Bearbeiter | |
| 56 | +|-----------|--------|------------| |
| 57 | +| 14.11.2025 14:09 | New | U80839737 | |
| 58 | +| 14.11.2025 14:09 | Assigned | U80839737 | |
| 59 | +| 18.11.2025 08:56 | Pending | U80827226 (Boschung Sandro) | |
| 60 | + |
| 61 | +- **Gruppen-Transfers:** 1 |
| 62 | +- **Gesamt-Transfers:** 2 |
| 63 | +- **SLA-Status:** ✅ Within the Service Target |
| 64 | + |
| 65 | +--- |
| 66 | + |
| 67 | +## Diskussionsfragen |
| 68 | + |
| 69 | +Gehen Sie den Fall durch und überlegen Sie sich Antworten zu folgenden Fragen: |
| 70 | + |
| 71 | +### 1. Erstbewertung & Triage |
| 72 | +- [ ] Der Melder hat als Operational Categorization **Service Request** angegeben. Handelt es sich um einen Service Request (Berechtigung einrichten) oder um eine **Failure** (etwas funktioniert nicht mehr, das vorher funktioniert hat)? |
| 73 | +- [ ] Der Melder liefert eine sehr detaillierte technische Beschreibung inkl. Fehlermeldung und Lösungsvorschlag. Wie beeinflusst das Ihre Triage? |
| 74 | +- [ ] Ist die Priorität **Medium** angemessen für einen Entwickler, der keinen Zugriff auf sein Code-Repository hat? |
| 75 | + |
| 76 | +### 2. Analyse & Diagnose |
| 77 | +- [ ] Der Fehler `SEC_E_UNTRUSTED_ROOT` deutet auf ein **Zertifikatsproblem** hin. Welche Ursachen kommen in Frage? |
| 78 | + - TLS-Inspection durch den Proxy der Bundesverwaltung |
| 79 | + - Fehlendes Root-Zertifikat im Windows Certificate Store |
| 80 | + - Git-Konfiguration (schannel vs. OpenSSL-Backend) |
| 81 | + - Netzwerkpolicy-Änderung |
| 82 | +- [ ] Wie überprüfen Sie, ob andere Benutzer denselben Fehler haben? |
| 83 | +- [ ] Welche Diagnose-Befehle/Tools würden Sie verwenden? |
| 84 | + - `git config --global http.sslBackend` |
| 85 | + - `certutil -store Root` |
| 86 | + - `openssl s_client -connect github.com:443` |
| 87 | + - Proxy-Logs |
| 88 | + |
| 89 | +### 3. Bearbeitungsprozess |
| 90 | +- [ ] Das Ticket wurde sofort zugewiesen (Assigned = Reported Date). Warum ist das positiv zu bewerten? |
| 91 | +- [ ] Das SLA wird eingehalten. Welche Massnahmen tragen dazu bei? |
| 92 | +- [ ] Das Ticket steht auf **Pending**. Was ist der wahrscheinlichste Grund? |
| 93 | + - Abklärung mit dem Netzwerk-/Proxy-Team? |
| 94 | + - Rückmeldung vom Benutzer nach einem Lösungsversuch? |
| 95 | + - Genehmigung für Zertifikatsinstallation? |
| 96 | + |
| 97 | +### 4. Sicherheitsaspekte |
| 98 | +- [ ] ⚠️ Zertifikatsinstallationen im Trust Store haben **Sicherheitsauswirkungen**. Welche Prüfungen sind vor der Installation notwendig? |
| 99 | +- [ ] Muss diese Änderung durch das Security-Team genehmigt werden? |
| 100 | +- [ ] Ist die Änderung nur für diesen einen Client oder muss sie flächendeckend ausgerollt werden? |
| 101 | +- [ ] Was wäre das Risiko, wenn der Benutzer als Workaround die SSL-Verifizierung deaktiviert (`git config --global http.sslVerify false`)? |
| 102 | + |
| 103 | +### 5. Lösung & Abschluss |
| 104 | +- [ ] Welche Lösungswege gibt es? |
| 105 | + - Root-Zertifikat des Proxys per GPO verteilen |
| 106 | + - Git auf OpenSSL-Backend umstellen (`git config --global http.sslBackend openssl`) |
| 107 | + - Proxy-Ausnahme für `github.com` beantragen |
| 108 | +- [ ] Wenn das Problem infrastrukturbedingt ist (TLS-Proxy), sollte dann ein **Problem-Ticket** eröffnet werden? |
| 109 | +- [ ] Wie stellen Sie sicher, dass die Lösung auch für andere betroffene Benutzer greift? |
| 110 | + |
| 111 | +--- |
| 112 | + |
| 113 | +## Ähnliche Tickets im Datenbestand |
| 114 | + |
| 115 | +| Incident ID | Zusammenfassung | |
| 116 | +|-------------|-----------------| |
| 117 | +| INC000016322354 | Account gesperrt: wird nach 20 Sek. gesperrt | |
| 118 | +| INC000016285115 | Account gesperrt | |
| 119 | +| INC000016341050 | Smartcard Login: PIN-Abfrage erscheint nicht | |
| 120 | +| INC000016333910 | G11: Windows Login Probleme / hängt sich vermehrt auf | |
| 121 | +| INC000016342088 | RDP-Verbindung wird sofort nach Login geschlossen | |
| 122 | +| INC000016343611 | DRINGEND: Kamera und Desktop Zugriff TÜV Süd | |
| 123 | +| INC000016346926 | Zugriff auf M... | |
| 124 | +| INC000016349483 | Windows-Login hängt und erfordert Neustart | |
| 125 | +| INC000016151058 | DataShure - Zugriff nicht mehr möglich | |
| 126 | +| INC000016314431 | Signieren von PDF Dokumenten nicht möglich | |
| 127 | +| INC000016303514 | Ungültige Signatur im Dokument | |
| 128 | + |
| 129 | +--- |
| 130 | + |
| 131 | +## Lernziele |
| 132 | + |
| 133 | +Nach Bearbeitung dieses Falls sollten Sie: |
| 134 | + |
| 135 | +1. **Zugriffsprobleme** von **Berechtigungsproblemen** und **Infrastrukturproblemen** unterscheiden können |
| 136 | +2. Die **Sicherheitsimplikationen** von Zertifikatsänderungen verstehen |
| 137 | +3. Wissen, wann eine Lösung **lokal** (einzelner Client) und wann **zentral** (GPO, Proxy-Konfiguration) umgesetzt werden muss |
| 138 | +4. Die **korrekte Kategorisierung** (Service Request vs. Failure) bei Zugriffsproblemen anwenden |
| 139 | +5. **Technisch versierte Melderbeschreibungen** effizient nutzen und trotzdem unabhängig verifizieren |
0 commit comments