iAnywhere.com - Zertifizierungsstellen

Zertifizierungsstellen

Bei selbstsignierten Zertifikaten ist problematisch, dass ein Unbefugter mit einem anderen Paar öffentlicher und privater Schlüssel ein gefälschtes Zertifikat erstellen kann. In diesem Fall kann das gefälschte Zertifikat für das Original gehalten werden, wodurch unwissentlich Nachrichten mit dem falschen öffentlichen Schlüssel verschlüsselt werden, und nicht mit denen des wirklichen Empfängers. Nur derjenige, der den falschen privaten Schlüssel kennt, kann die Nachricht lesen, die mit dem gefälschten Zertifikat erstellt wurde.

Um sich gegen solche Angriffe zu schützen, sollten Benutzer und Eigentümer des Zertifikats eine vertrauenswürdige Drittpartei hinzuziehen. Diese Partei, die sogenannte Zertifizierungsstelle oder Zertifizierungsbehörde, fügt dem Zertifikat mit ihrem eigenen privaten Schlüssel eine digitale Signatur hinzu. Sobald das Zertifikat signiert wurde, kann es nur mithilfe der Drittpartei geändert werden. Die Zertifizierungsstelle muss den privaten Schlüssel des Zertifikatseigentümers nicht kennen, um das Zertifikat zu signieren.

Die Zertifizierungsstelle muss keine externe Person oder Organisation sein. Wenn die Zertifikate nur innerhalb des Unternehmens verwendet werden, kann die Zertifizierungsstelle auch Teil dieses Unternehmens sein.

Um ein vertrauenswürdiges System aufzubauen, muss eine Zertifizierungsstelle die Identität des Zertifikatseigentümers bestätigen, bevor sie das Zertifikat signiert. Vor allem muss die Zertifizierungsstelle überprüfen, ob die Identitätsfelder im Zertifikat den Zertifikatseigentümer korrekt beschreiben und der Zertifikatseigentümer über den entsprechenden privaten Schlüssel verfügt.

Kommunikationspartner, die über dieses Zertifikat mit dem Zertifikatseigentümer kommunizieren möchten, müssen sich auf folgende Punkte verlassen können:

Bevor das Zertifikat signiert wird, hat sich die Zertifizierungsstelle vergewissert, dass die Identitätsinformationen im Zertifikat korrekt sind.
Jeder private Schlüssel ist nur dem Eigentümer bekannt.
Der Benutzer verfügt über eine zuverlässige Kopie des öffentlichen Schlüssels der Zertifizierungsstelle.

Um diese Bedingungen zu erfüllen, muss der Benutzer nicht nur der Integrität der Zertifizierungsstelle vertrauen, sondern auch den entsprechenden öffentlichen Schlüssel direkt von der Zertifizierungsstelle erhalten haben.

Um gültige Kopien eines öffentlichen Schlüssels zu erhalten, bekommen Benutzer dieses Systems normalerweise die Kopie eines selbstsignierten Zertifikats, dessen Eigentümer die Zertifizierungsstelle ist. Um Eindringlinge abzuwehren, muss das Zertifikat auf sicherem Weg zugestellt werden.

Außerdem muss jeder Client die Kopie des Zertifikats der Zertifizierungsstelle sicher speichern. Wenn ein Unbefugter Zugriff auf den Rechner des Benutzers hat, kann das Zertifikat der Zertifizierungsstelle durch eine Fälschung ersetzt werden.