Zertifizierungsstellen

Eine Zertifizierungsstelle (CA) ist eine vertrauenswürdige Organisation, die Zertifikate ausstellt und digital signiert.

Wenn eine CA ein Zertifikat signiert, erklärt sie damit: Wir haben diese Identität überprüft, und Sie können diesem öffentlichen Schlüssel vertrauen.

Browser und Betriebssysteme werden mit einer integrierten Liste vertrauenswürdiger Root-CAs ausgeliefert.

Da alle diesen Root-CAs bereits vertrauen, wird ein von ihnen signiertes Zertifikat automatisch als vertrauenswürdig eingestuft, ohne dass eine manuelle Konfiguration erforderlich ist.

CAs sind hierarchisch organisiert:

• Die Root-CA wird offline aufbewahrt und nur selten verwendet; sie ist der übergeordnete Vertrauensanker.
• Intermediate-CAs werden von der Root-CA signiert und übernehmen die tägliche Signierung.

Dadurch wird der wertvolle Root-Schlüssel vor einer Offenlegung geschützt.

CAs überprüfen Identitäten mit unterschiedlicher Strenge:

• Domain-Validierung (DV) weist nur die Kontrolle über eine Domain nach.
• Organisationsvalidierung (OV) überprüft, ob die Organisation existiert.
• Erweiterte Validierung (EV) führt eine umfassende rechtliche Prüfung durch.

Bei der Domain-Validierung fordert die CA Sie auf, Ihre Kontrolle über die Domain nachzuweisen, häufig indem Sie ein Token unter einer URL bereitstellen oder einen DNS-Eintrag hinzufügen.

Eine öffentliche CA (etwa ein kommerzieller Anbieter) wird von Browsern weltweit als vertrauenswürdig eingestuft.

Eine private CA wird von einer Organisation intern für die eigenen Geräte und Dienste betrieben. Ihre Root-CA muss manuell auf jedem Client installiert werden, der ihr vertrauen soll.

Let's Encrypt ist eine kostenlose, automatisierte öffentliche CA. Sie verwendet das ACME-Protokoll, damit Clients Zertifikate ohne menschliches Eingreifen anfordern und erneuern können.

Die Liste der vertrauenswürdigen Root-CAs befindet sich in einem Trust Store.

• Betriebssysteme verwalten einen systemweiten Trust Store.
• Browser verwenden möglicherweise einen eigenen.

Auf vielen Linux-Systemen können Sie die vertrauenswürdigen Stammzertifikate anzeigen.

Wenn der Signaturschlüssel einer CA gestohlen wird oder sie betrügerische Zertifikate ausstellt, bricht das gesamte Vertrauensmodell zusammen.

In früheren Vorfällen haben Browser ganzen CAs das Vertrauen entzogen und dadurch alle ihre Zertifikate sofort ungültig gemacht. Deshalb ist die Sicherheit von CAs von höchster Bedeutung.

Certificate Transparency (CT) verpflichtet CAs dazu, jedes ausgestellte Zertifikat in öffentlichen, unveränderlichen Protokollen zu erfassen, die nur erweitert werden können.

Dadurch können Domaininhaber ohne ihre Erlaubnis ausgestellte Zertifikate für ihre Domain erkennen und nicht autorisierte oder fehlerhaft ausgestellte Zertifikate aufdecken.

Berücksichtigen Sie bei der Auswahl einer CA:

• Vertrauensabdeckung über Browser und Geräte hinweg
• Automatisierungsunterstützung (ACME)
• Benötigte Validierungsebene (DV/OV/EV)
• Kosten und Support

Warum werden Intermediate-CAs verwendet, anstatt alles mit der Root-CA zu signieren?

Sie haben gelernt, dass Zertifizierungsstellen Zertifikate ausstellen und signieren, denen Browser vertrauen.

• Vertrauen geht von offline aufbewahrten Root-CAs über Intermediate-CAs aus.
• Die Validierung erfolgt auf den Ebenen DV, OV und EV.
• Certificate Transparency erkennt fehlerhafte Ausstellungen.

Als Nächstes verfolgen wir die Vertrauenskette von einem Leaf-Zertifikat bis zur Root-CA.