Die Aufgaben einer Zertifizierungsstelle (Certificate Authority)

Beachten Sie dazu auch CA-Auswahl - Welche Zertifizierungsstelle ist die Richtige ?

Auf vielen Seiten fällt immer der Begriff der "Zertifizierungsstelle" bzw. "Certificate Authority (CA)". Auf der Seite SSL-Grundlagen können Sie mehr über die Bedeutung von privaten und öffentlichen Schlüsseln lesen. Wenn ich ihnen meinen öffentlichen Schlüssel bereit stelle, damit Sie mir verschlüsselt senden bzw. die Signatur prüfen können, dann müssen Sie natürlich sicher sein, das es tatsächlich "mein" öffentlicher Schlüssel ist und nicht irgend jemand anderes sich als "Frank Carius" ausgibt. Das gleiche gilt, wenn Sie per HTTPS auf die Webseite ihrer Bank oder den VPN-Knoten ihres Unternehmens zugreifen.

Mein öffentlicher Schlüssel und Informationen über meine Mailadresse, Gültigkeitszeitraum oder die Webadresse müssen als Einheit von jemand anderem beglaubigt werden. Wichtig ist, dass die beglaubigende Stelle natürlich auf ihrem Computer aufgeführt ist. Das erfolgt schon durch die Installation ihres Browsers, der Applikation oder des Betriebssystems. Hier am Beispiel des Internet Explorer, welcher auf die in Windows hinterlegten Zertifikate zugreift:


Stammzertifikate in Internet Explorer 8 / Windows 7

Achtung:
Certificate Support and the Update Root Certificates Component
http://technet.microsoft.com/en-us/library/bb457160.aspx
http://technet.microsoft.com/en-us/library/cc733922(WS.10).aspx
Windows XP und höher können unbekannte StammCAs "on the fly" bei Microsoft prüfen und dynamisch addieren. Es kann also sein, dass ein Zertifikat noch nicht in der Stammliste enthalten ist, aber nach dem ersten Zugriff per HTTPS auf eine Webseite, deren Zertifikat von so einer CA ausgestellt wurde, addiert wird.
Event ID 11 — Automatic Root Certificates Update Configuration http://technet.microsoft.com/en-us/library/cc734018(WS.10).aspx

Diese Funktion ist zwar nett aber kann an verschiedenen Stellen erst mal die Funktion verhindern. Oft sehe ich das Problem in Verbindung mit Lync Edge-Server, die Zertifikate zur Identifizierung nutzen und Federation nicht funktioniert. Auch im ISA-Server kann man dies sehen

Andere Programme wie z.B. Firefox oder Mozilla haben eigene Zertifikatsspeicher mit vertrauenswürdigen Stammzertifizierungsstellen:

 
Stammzertifikate in Firefox 3.5

Die kommerziellen CAs

Auch wenn Windows, Internet Explorer und andere Programme Stammzertifikate mitliefern, so gibt es doch immer wieder Probleme, weil der Server die Root-Updates nicht beziehen kann (Firewall, Versionen etc.) oder auch die Zertifizierungsstellen nicht immer glücklich bei der Namensvergabe sind. Das ist zum Teil auch der Übernahmeschlacht geschuldet (siehe auch CA-Auswahl) bei der eine CA dann gleich mehrere Stammzertifizierungsstellen besitzt (bei Verisign sind es allein 11 RootCAs (stand Mai 2011) zzgl. die Stämme von zugekauften CA's.

Und oft bauen Zertifizierungsstellen neue CAs auf, reichen die StammCAs als "trusted" bei verschiedenen Herstellern (z.B. Microsoft) ein, damit diese verteilt werden. Aber wenn Sie dann ein "altes" Betriebssystem (z.B. Windows 2000, Windows Mobile 5) haben, für die es keine automatischen StammCA-Updates mehr gibt oder Linux-Distributionen diese neuen Zertifikate noch nicht enthalten, dann bekommen die Clients wieder eine Warnung. So passiert, als die Deutsche Telekom ihre CA4 installiert und Zertifikate ausgestellt hat, die aber (noch) nicht vertrauenswürdig waren.

Etwas kniffliger sind Änderungen zu erkennen, wie mit das bei VeriSign aufgefallen ist. Aus einer Zwischenzertifizierungsstelle wurde plötzlich eine Stammzertifizierungsstelle, deren "sichtbarer" Namen aber gleich geblieben ist.

Das gleiche öffentliche Zertifikat sieht je nach installiertem Root-Zertifikat dann einmal so oder so aus.

Wenn der Client als das Zertifikat "VeriSign" schon hat, was im Innern das "VeriSign Class 3 Public Primary Certification Authority G5" ist. dann funktioniert auch das "neuere" Zertifikate.

Wie komme ich zum Zertifikat ?

Damit sie nun Verschlüsseln und signieren können, müssen Sie natürlich ein Zertifikat auf ihrem PC installieren, dass von einer Zertifizierungsstelle ausgestellt sein muss.

Beachten Sie dazu auch die Seite CA-Auswahl

Sie haben also eine ganze Liste von Optionen zum eigenen Zertifikat zu kommen. Wobei Firmen intern mit einer eigenen CA ganz gut starten könnten oder direkt eine Gateway-Lösung einsetzen. Privatpersonen könnten mit einem persönlichen Zertifikat sehr einfach ausgehende Mails signieren und verschlüsselt empfangen.

Warum die Banken ideale Ausstelle für Zertifikate wären !

Sie haben nun gelesen, welche Wege sie haben, um ein Zertifikat zu erhalten. Aber für die Masse der Personen entfallen die Optionen Selbstzertifikat, Firmenzertifikat und Eigenzertifikat. Aber der Weg zum offiziellen Zertifikat ist nicht massentauglich, auch wenn er doch ganz einfach ist. (Siehe Clientzertifikat/SMIME). Natürlich gibt es Personen die hier nach dem Staat rufen. Unser Staat könnte ja Zertifikate auf den Personalausweis hinterlegen. Andere sehen die "Krankenversichertenkarte" als Alternative, da sie nicht so lange gültig ist. Ich sehe aber in unsern Hausbanken und vielleicht Kreditkartenunternehmen die idealen Instanzen, um Zertifikate unters Volk zu bringen. Mehrere Faktoren sprechen dafür:

Ich verstehe die Passivität an dieser Stelle auch schon daher nicht, weil genau die Banken und Sparkassen sehr schnell auch davon profitieren könnten wie folgende Beispiele zeige:

Das ganze muss nicht mal zwingend mit einer Smartcard und einem Leser einher gehen. Für den Anfang könnte die Bank mich auffordern, per Homebanking und einer TAN eine Mailadresse zu hinterlegen, für die die Bank dann ein Zertifikat rechnet und mir per Download im geschützten Bereich bereit stellt. (Besser fände natürlich schon, wenn ich einen Request über den Bereich einreichen könnte). Wenn die Bank dann statt des TAN-Generators (ca. 10 Euro) einen Kartenleser verteilt, wäre all das gegessen.

Wohlgemerkt, ich spreche nicht von "qualifizierter Signatur" oder der Signatur von Rechnungen oder Steuererklärungen etc., sondern primär um die Möglichkeit fürs Volk, Mails digital zu signieren und Signaturen zu prüfen. Interessanterweise hat Bundeskanzler Schröder auf einer Cebit etwas ähnliches versprochen. Nur wussten die Banken davon nichts.

Weitere Links

Keywords:Vertrauen Sicherheit SMIME PGP