Was ist Zertifizierungsstelle?

Eine Instanz, die die Zuordnung eines öffentlichen Schlüssels zu seinem Inhaber (Domainname oder Organisation) prüft und Zertifikate ausstellt, in denen sie diese Aussage mit ihrem eigenen privaten Schlüssel signiert. Auch CA (Certificate Authority) genannt. Vertrauensanker sind die Zertifikate von Root-Zertifizierungsstellen (Root-Zertifikate), die im Truststore von Betriebssystem oder Browser hinterlegt sind; Root-Zertifizierungsstellen stellen Zertifikate für Zwischenzertifizierungsstellen aus, diese wiederum für Server und andere. Wer ein Zertifikat erhält, prüft es, indem er die Signaturen vom Serverzertifikat über die Zwischenzertifikate bis zum Root-Zertifikat verfolgt (Zertifikatskette). Muss ein Zertifikat etwa wegen eines abgeflossenen privaten Schlüssels ungültig werden, widerruft es die Zertifizierungsstelle.

Japanische Bezeichnung: 認証局

„Zertifizierungsstelle“ kommt in 6 Übungsfragen aus 3 Themen vor, z. B. Grundlagen und Anwendungen der Kryptografie, Grundlagen der Computernetzwerke, Grundlagen der Informationssicherheit.

Fachgebiet: Grundlagen und Anwendungen der Kryptografie

Was bei der Zertifikatsprüfung bestätigt wird

Geprüft wird, dass sich die Signaturkette bis zu einem Root-Zertifikat im Truststore verfolgen lässt, dass jedes Zertifikat gültig ist, dass der Hostname des Verbindungsziels im SAN (Subject Alternative Name) des Zertifikats enthalten ist, dass der Verwendungszweck des Zertifikats passt und dass es nicht widerrufen wurde. Fehlt auch nur eine dieser Prüfungen, kann ein gefälschter Server unentdeckt bleiben.

Domainprüfung und Zertifikatsarten

Die meisten Webserver-Zertifikate sind DV-Zertifikate, bei denen nur geprüft wird, dass der Antragsteller die Domain verwaltet; sie lassen sich mit dem Protokoll ACME automatisch ausstellen und erneuern. Es gibt auch OV- und EV-Zertifikate, die zusätzlich die Existenz der Organisation prüfen, doch die Stärke der Verschlüsselung der Kommunikation ändert sich dadurch nicht.

Certificate Transparency

Als Vorkehrung gegen unrechtmäßige Ausstellungen durch Fehler oder Kompromittierung von Zertifizierungsstellen wird Certificate Transparency eingesetzt, ein Mechanismus, der ausgestellte Zertifikate in öffentlichen Append-only-Logs verzeichnet. Domaininhaber können die Logs überwachen, um zu prüfen, ob ohne ihr Wissen Zertifikate ausgestellt wurden.

Jetzt üben: Fragen zu Zertifizierungsstelle

Welche Aussage über die Zertifikatskette ist richtig, wenn ein Browser das Zertifikat eines Webservers prüft?

AEin Serverzertifikat muss direkt von einer Root-Zertifizierungsstelle signiert sein; über eine Zwischenzertifizierungsstelle ausgestellte Zertifikate gelten nicht als vertrauenswürdig
BDer Browser verwendet das vom Server gesendete Root-Zertifikat unverändert als Vertrauensanker
CDer Browser verfolgt die Signaturen vom Serverzertifikat über das Zertifikat der Zwischenzertifizierungsstelle und vertraut ihm, wenn er bei einem im Betriebssystem oder Browser hinterlegten Root-Zertifikat ankommt

Antwort und Erläuterung anzeigen

Antwort: C. Der Browser verfolgt die Signaturen vom Serverzertifikat über das Zertifikat der Zwischenzertifizierungsstelle und vertraut ihm, wenn er bei einem im Betriebssystem oder Browser hinterlegten Root-Zertifikat ankommt

Üblicherweise ist das Serverzertifikat von einer Zwischenzertifizierungsstelle signiert und deren Zertifikat von einer Root-Zertifizierungsstelle. Ein Root-Zertifikat ist ein von sich selbst signiertes Zertifikat, das im Truststore des Betriebssystems oder Browsers vorinstalliert ist und als Vertrauensanker dient. Der Server sendet sein eigenes Zertifikat und die Zwischenzertifikate, und der Browser verfolgt die Signaturen der Reihe nach und prüft, ob er bei einem Root-Zertifikat im Truststore ankommt. Da der private Schlüssel der Root offline streng verwahrt wird und die tägliche Ausstellung über Zwischenzertifizierungsstellen erfolgt, lässt sich ein Problem lösen, indem nur das Zertifikat der betroffenen Zwischenzertifizierungsstelle widerrufen wird.

Häufige Fragen

Wer signiert ein Root-Zertifikat?

Ein Root-Zertifikat ist ein selbstsigniertes Zertifikat, das mit dem eigenen privaten Schlüssel für sich selbst signiert wurde. Seine Vertrauenswürdigkeit stützt sich nicht auf die Signatur, sondern darauf, dass die Hersteller von Betriebssystemen und Browsern es geprüft und in den Truststore aufgenommen haben. Wird einem Truststore unbefugt ein Root-Zertifikat hinzugefügt, kann dessen Inhaber daher für jede beliebige Website Zertifikate fälschen.

Warum stellen Root-Zertifizierungsstellen Serverzertifikate nicht direkt aus?

Fließt der private Schlüssel einer Root ab, dauert der große Schaden an, bis die Truststores aktualisiert sind. Der private Schlüssel der Root wird daher etwa in einem Offline-HSM streng verwahrt, und die tägliche Ausstellung übernehmen Zwischenzertifizierungsstellen. Tritt bei einer Zwischenzertifizierungsstelle ein Problem auf, lässt es sich lösen, indem nur deren Zertifikat widerrufen wird.

„Zertifizierungsstelle“ in den Erläuterungen

Üblicherweise ist das Serverzertifikat von einer Zwischenzertifizierungsstelle signiert und deren Zertifikat von einer Root-Zertifizierungsstelle.
Welche Aussage über die Zertifikatskette ist richtig, wenn …
Der Server legt ein Zertifikat vor, und der Browser prüft es, indem er die Signaturen bis zu einer vertrauenswürdigen Zertifizierungsstelle (CA) zurückverfolgt, und vergleicht es mit dem Domainnamen der URL.
Was wird durch HTTPS (durch TLS geschütztes HTTP) geschützt?
Ein Zertifikat ist die Aussage „Dies ist der öffentliche Schlüssel für diesen Domainnamen“, signiert von einer Zertifizierungsstelle (CA) mit deren privatem Schlüssel.
Warum kann ein Browser bei TLS davon ausgehen, dass der ver…
Ein Zertifikat ist die Aussage „Dieser öffentliche Schlüssel gehört zu diesem Domainnamen (oder dieser Organisation)“, signiert von einer Zertifizierungsstelle (CA).
Es wurde festgestellt, dass der private Schlüssel zum Serve…
In der Vergangenheit kam es vor, dass Zertifizierungsstellen übernommen wurden oder Verfahrensfehler machten und Zertifikate an andere als die rechtmäßigen Inhaber ausstellten.
Welche Beschreibung des Mechanismus Certificate Transparenc…