Offizielle Zertifikate / SAN-Zertifikate

Das Feld für die Subject Alternate Names kann maximal 1024 Bytes fassen. Das begrenzt also die Anzahl der Namen im SAN-Zertifikat abhängig von der Länge der Domains.

Wer Outlook Web Access, RPC over HTTP  oder seit Exchange 2007 auch "Autodiscover" aus dem Internet einsetzen will, wird über kurz oder lang auf öffentliche Zertifikate umstellen. Jedes Endgerät mit SSL-Unterstützung hat seitens des Herstellers schon eine Liste der "Vertrauenswürdigen Stammzertifizierungsstellen" lokal vorliegen, so dass Zertifikate, die von diesen Stellen ausgestellt werden, auf allen Endgeräten ohne weitere Konfiguration als "vertrauenswürdig" eingestuft werden. Beim Einsatz von selbst erstellten Zertifikaten muss man die ausstellende CA erst als Vertrauenswürdig eintragen, was auf einigen Geräten nicht oder nur mit sehr viel Aufwand geht.

Single Zertifikate, SAN-Zertifikat - welches nehmen ?

Früher war die Auswahl sehr einfach. Um einen Webserver unter "https://owa.msxfaq.de" zu sichern, musste man ein SSL-Zertifikat für den Hostnamen "owa.msxfaq.de" anfordern. (Siehe MSXFAQ - IIS Zertifikat einrichten) und bei der Zertifizierungsstelle einreichen. Damit war dann genau eine Webseite des IIS mit einer IP-Adresse per SSL erreichbar.

Spätestens seit Exchange 2007 müssen nun aber mehrere Adressen (URLs) per HTTPS erreichbar sein. Nun kann man natürlich nicht für jede Adresse eine eigene öffentliche IP-Adresse mit einem eigenen Zertifikat vorsehen. Daher gibt es SAN-Zertifikate (Subject Alternate Name). Sie werden oft auch Unified Communication (UC) Zertifikate genannt und beruhen einfach darauf, dass ein Zertifikat weitere "alternative Namen" beinhalten kann. Ein Webserver kann daher mit einer IP-Adresse unter verschiedenen URLs erreicht werden, ohne dass der Client die Meldung erhält, dass der angesprochene Name nicht zum Zertifikat passen würde.

Details eines SAN-Zertifikats

Man sieht gut, dass hier die beiden Servernamen enthalten sind, die einzige Domain, für welche meine Spielumgebung zuständig ist und natürlich der Autodiscover-Eintrag.

Leider kann der Assistent des IIS keine solchen SAN-Zertifikate anfordern. Das kann aktuell aber die Exchange 2007 Powershell (Siehe E2K7: Zertifikate). Eine andere Lösung besteht darin, so genannte Wildcard Zertifikate zu nutzen, die z.B. auf die Url "*.msxfaq.de" ausgestellt sind. Wildcard Zertifikate sind aber oft sehr viel teurer und nicht alle Clients akzeptieren diese Zertifikate.

Um die Lösung perfekt zu machen müssen nun die Clients eben diese Zertifikate akzeptieren und es muss eine Zertifizierungsstelle gefunden werden, die SAN-Zertifikate ausstellen kann.

Welche Namen für das Zertifikat ?

Wenn Sie nun soweit sind, ein offizielles Zertifikat anzufordern, sollten sie genau überlegen, welches der primäre Name und welches der alternative Name ist. Für kleine Firmen mit einem Server bietet sich folgendes an: (ersetzen sie firma.tld durch ihren Domainnamen)

Primärer Name: owa.firma.tld
SubjectAlternateName: autodiscover.firma.tld
SubjectAlternateName: servername
SubjectAlternateName: servername.firma.tld

Ob Sie weitere Namen benötigen, hängt von ihrer Umgebung ab. Natürlich können Sie das Zertifikat auch nutzen, um weitere Webseiten, z.B. ein Intranet, ein Kundenportal oder auch den RDPoverHTTP-Zugang (Windows 2008) zu sichern. Prüfen Sie, ob eine der folgenden Bedingungen zutrifft:

 Für den Einsatz von SAN-Zertifikaten mit dem ISA-Server sind einige Vorbedingen zu beachten (Siehe Links am Ende der Seite) Es kann als auch sinnvoll sein, mehrere IP-Adressen mit eigenen Namen und Zertifikaten zu verwenden. Ein SAN-Zertifikat erleichtert primär den Einsatz mehrerer Hostnamen unter der gleichen IP-Adresse und ist für viele Namen natürlich günstiger.

Häufig genannte Zertifizierungsstellen

Natürlich können Sie ihr Zertifikat bei jeder Zertifizierungsstelle kaufen, die ihnen das gewünschte Zertifikat anbietet und auf den Endgeräten auch als vertrauenswürdig aufgeführt wird. Klären Sie aber auf jeden Fall vorab dies, da einige CAs nicht auf allen Endgeräten eingetragen sind.(z.B. hat die Deutsche Telekom vier CAs, von denen nur die ersten drei auf älteren Mobilgeräten vorhanden sind)

Die Liste ist sicher nicht vollständig und soll keine Empfehlung darstellen. Aber da aktuell (Nov 07) nur sehr wenige Zertifizierungsstellen SAN-Zertifikate ausstellen, möchte ich ihnen die Suche vereinfachen. Ich habe das jeweils günstigste Zertifikat gewählt. Bitte prüfen Sie aber selbst die aktuellen Preise, da diese doch langsam unter Druck kommen.

Zertifizierungsstelle SSL SAN Wildcard Zertifikate
Entrust
http://www.entrust.net/microsoft/		 159 US-$ 599 US-$ (10 Domains)  
Comodo
http://www.comodo.com/msexchange 		139 US-$ 200 US-$ (3 Domains)
30US-$ jede weitere Domain		 999 US-$
DigiCert
http://www.digicert.com/unified-communications-ssl-tls.htm
https://www.digicert.com/easy-csr/exchange2007.htm		 99 US-$ 395 US-$ (5 Domains)
39US-$ jede weitere Domain		 200 US-$
GoDaddy
http://www.godaddy.com
https://www.godaddy.com/gdshop/ssl/ssl.asp?ci=9039		 35€ 64€ $ (5 Domains)
3US-$ jede weitere Domain
bis zu 100 Domains		 142€
Verisign
http://www.verisign.com/ssl/buy-ssl-certificates/specialized-ssl-certificates/san-ssl-certificates/index.html 		499 US-$ Im Rahmen von Managed PKI für Enterprise Kunden verfügbar ?
Trustcenter.de (Geotrust ?) 149 € Kein Angebot 679 €
Thawte 149 US-$ Kein Angebot 799 US-$
GlobablSign
http://nl.globalsign.com/en/ssl+certificates/san/		 139€
bis zu 40 Namen		  
Alpha SSL
www.alphassl.com		 49US$ Nicht mehr 149US$
Telekom, Telesec http://wwwca.telesec.de   Kein Angebot  

Verschiedene Zertifizierungsstellen bieten ihnen unterschiedlich teure Zertifikate an, die sich aber im wesentlichen in der Höhe der Haftung der Zertifizierungsstelle und der damit verbundenen Überprüfung ihrer Identität unterscheiden. Abhängig von der Vertrauenswürdigkeit können Sie ihre e-Commmerce-Site mit unterschiedlichen Logos schmücken. Im Bezug auf die Verschlüsselung und Funktion gibt es aber keine signifikanten Unterschiede. Erst mit dem Internet Explorer 7 kann man besondere "Extended Validation (EV) certificates" nutzen, die in der Adresszeile einen höheren Schutz gegen Zertifikatsdiebstahl versprechen.

SAN Zertifikate mit der eigenen CA

Wenn Sie eine eigene Zertifizierungsstelle betreiben und das Stammzertifikat dieser z.B.: über Gruppenrichtlinien auf alle Clients verteilt haben, dann können Sie natürlich auch mit dieser CA ein SAN-Zertifikat anfordern. Dazu sind wenige Änderungen erforderlich. Zuerst müssen Sie auf der Zertifizierungsstelle die SAN-Optionen freischalten

certutil -setreg policy\EditFlags +EDITF_ATTRIBUTESUBJECTALTNAME2
net stop certsvc
net start certsvc

Der Neustart der Zertifizierungsstelle ist erforderlich. Danach können Sie auch SAN-Zertifikate über den Browser anfordern. Im Feld "Attributes" muss man einfach alle Namen in der folgenden Form addieren:

san:dns=owa&dns=owa.msxfaq.de&dns=activesync.msxfaq.de&dns=mobil.msxfaq.de

Das Formular einer Windows 2003 sieht wie folgt aus:

Zertifikat per Formular erstellen 

Wichtig sind hierbei die Einstellungen, dass der Schlüssel exportierbar ist, wenn Sie das Zertifikat von einem anderen Server abrufen, die SAN-Attribute mit den zusätzlichen Hostnamen und speziell beim Einsatz für OCS muss der Anzeigename mit dem Hostname übereinstimmen. (Das Formular ist um einige Eingabefelder verkürzt).

Requests vom Exchange 2007 Server und LCS können Sie natürlich einfach als Datei einsenden. Die Verfahren unterscheiden sich, wenn sie einen Windows Enterprise oder Standardserver haben und ob es eine Standalone oder integrierte CA ist. Details hierzu finden Sie auf

IIS, Zertifikate und Hostheader

Egal, welchen Webserver sie verwenden, so galt lange Zeit immer die Regel "ein Name = ein SSL-Zertifikat = eine dedizierte IP-Adresse). Das ist im Prinzip auch immer noch so, da auch die Anfragen per SSL verschlüsselt werden und daher der Webserver das Zertifikat an den Client senden muss, noch ehe der Datenstrom "entschlüsselt" wurde. Damit können Sie eigentlich keine "Hostheader" nutzen. Dieses Verfahren erlaubt es, auf einer Kombination von IP-Adresse:Port sehr viele Webserver zu betreiben. Das geht mit SSL genau genommen auch, wenn eben das Zertifikat die Namen aller Webseiten enthält, die hinter der gleichen IP-Adresse:Port-Kombination konfiguriert sind.

Mit einem "Wildcard"-Zertifikat kann man sogar fast unbegrenzt Webseiten betreiben, solange diese alle den gleichen Domainanteil haben. Praktisch hat das aber keine Bedeutung.

Probleme mit SAN-Zertifikaten

Eigentlich gibt es den Standard der SAN-Zertifikate schon lange. Wenn Sie aber kaum genutzt werden, dann fällt auch nicht auf, wenn verschiedene Anwendungen damit Probleme haben. Probleme, auf die ich bislang gestoßen bin

Die meisten Probleme lassen sich damit umgehen, dass der angesprochene Namen auch der primäre Name des SAN-Zertifikates ist. Bei der Beantragung muss man eben den richtigen Namen als Primär definieren.

Weitere Links

Keywords:Zertifikate CA SAN UC SubjectAlternateName