Es wurde festgestellt, dass der private Schlüssel zum Serverzertifikat eines Webservers möglicherweise abgeflossen ist. Das Zertifikat ist noch nicht abgelaufen. Welche Maßnahme ist für den Betreiber am angemessensten?

Antwort: C. Bei der Zertifizierungsstelle (CA) den Widerruf des Zertifikats beantragen und für ein neues Schlüsselpaar ein neues Zertifikat ausstellen lassen

Ein Zertifikat ist die Aussage „Dieser öffentliche Schlüssel gehört zu diesem Domainnamen (oder dieser Organisation)“, signiert von einer Zertifizierungsstelle (CA). Indem Nutzer die Signaturen bis zu einer vertrauenswürdigen CA zurückverfolgen, können sie darauf vertrauen, wem ein öffentlicher Schlüssel gehört. Dieses System, mit CAs und Zertifikaten die Zugehörigkeit öffentlicher Schlüssel zu garantieren, heißt PKI (Public-Key-Infrastruktur). Fließt ein privater Schlüssel ab, kann ein Angreifer sich als der echte Server ausgeben oder Signaturen fälschen. Ein Zertifikat bleibt bis zu seinem Ablauf gültig; daher beantragt der Betreiber, ohne zu warten, bei der CA den Widerruf und lässt es als ungültig veröffentlichen. Nutzer können den Widerrufsstatus über CRLs (Zertifikatssperrlisten) oder OCSP prüfen. Anschließend lässt der Betreiber für ein neu erzeugtes Schlüsselpaar ein neues Zertifikat ausstellen. Öffentliche Schlüssel sind zur Veröffentlichung bestimmt; einen geheim zu halten verhindert nicht den Missbrauch eines abgeflossenen privaten Schlüssels.