Allg. Info zu Zertifikaten
Allgemeines
Allgemeines zu Zertifikaten
Zertifikate werden bei public-key-Verfahren eingesetzt, um Personen und Server zu identifizieren. Sie garantieren nicht die Unbedenklichkeit der damit versehenen Informationen (beispielsweise kann eine digital signierte oder verschlüsselte Mail Malware enthalten). Sie helfen aber, den Ursprung der Informationen festzustellen.
Public-key-Verfahren unterstellen, dass die Zuordnung eines public-key zu seinem private-key bekannt ist. Zertifikate garantieren nun gerade diese Zuordnung. Sie sollen verhindern, dass Dritte unberechtigt an einer Kommunikation teilnehmen, in dem z.B. ein public-key verteilt wird, der nur vorgibt, zu einem bestimmten private-key (beispielsweise eines Servers) zu gehören.
PKI - Public-Key-Infrastruktur
Eine PKI (Public Key Infrastruktur) ermöglicht eine automatisierte Überprüfung von public-keys. Mit ihrer Hilfe gelangt man verlässlich an die jeweiligen public-keys, ohne die Inhaber der private-keys persönlich zu kennen, key- signing-Parties zu besuchen o.ä.
Eine PKI besteht in der Regel aus mehreren Zertifizierungsstellen (CA). Ihre Kooperation wird durch Policies geregelt. Die CA bilden meist Hierarchien. Ihre Zertifikate können durch den Import eines sogenannten Wurzelzertifikats akzeptiert werden.
CA stellen Zertifikate aus. Ein Zertifikat enthält die Unterschrift der CA zusammen mit einem öffentlichen Schlüssel (public-key). Die CA beglaubigt damit die Identität des Zertifikatinhabers; d.h. sie bestätigt die Zuordnung public-key zu Person bzw. Server, welche(r) den private-key besitzt. Der Zertifikatinhaber seinerseits muss die Policies akzeptieren, um ein Zertifikat zu bekommen. In der Regel ist es nicht Aufgabe der CA, das Schlüsselpaar aus public-key und private-key zu erzeugen.
In unserer Umgebung veranlasst das Rechenzentrum, dass ein Schlüsselpaar mit einer vom DFN-Verein betriebenen Software erzeugt und und zertifiiziert wird. Nur nachdem das RZ die Daten des Antragstellers geprüft hat, wird dieses Zertifikat dem Nutzer übergeben. Das Rechenzentrum betreibt damit den sogenannten Teilnehmerservice der UniBwM CA.
Hinweise
Wer ein Wurzelzertifikat akzeptiert, vertraut allen Zertifikaten in der darunterliegenden Hierarchie.
Das Zertifikat der UniBwM CA "UniBwm CA-G01" basiert auf dem Zertifikat von "DFN-Verein PCA Global - G01" und dieses wiederum auf dem von "Deutsche Telekom Root CA 2". Darum genügt es in der Regel, diesem Wurzelzertifikat ("Deutsche Telekom Root CA 2") zu vertrauen.
Browser-Hersteller statten ihre Produkte mit einem Satz von Wurzelzertifikaten aus, wodurch Nutzer nur in seltenen Fällen zusätzliche Wurzelzertifikate integrieren müssen. Sie akzeptieren dadurch meist unbewusst eine Vielzahl von Zertifikaten.
Einsatz von Server-Zertifikaten
Bei Servern werden Zertifikate benutzt, um Nutzern die Sicherheit zu geben, den richtigen Server zu benutzen (Schutz vor Phishing) und um die Datenübertragung mit SSL/TLS zu verschlüsseln (Schutz vor Abhören).
Typische Anwendungen sind Web-Server mit https: Beispielsweise möchte man bei der Nutzerverwaltung des RZ unter https://nutzer.unibw.de sicher sein, mit dem einschlägigen Server des RZ verbunden zu sein, ohne abgehört zu werden.
Einsatz von persönlichen Zertifikaten
Digitale Unterschrift (signature)
Der Inhaber eines persönlichen (SmartCard Sign and Logon-) Zertifikats kann mit seinem private- key Nachrichten digital unterschreiben. Der Empfänger kann mit dem Zertifikat feststellen, ob die digital unterschriebene Nachricht wirklich von dem Inhaber des Zertifikats stammt und ob der Inhalt der Nachricht unverändert ist.
Verschlüsselung (encryption)
Bei Kenntnis eines (SmartCard Encrypt-)Zertifikats kann man Nachrichten mit dem darin enthaltenen public-key verschlüsseln und an den Zertifikatinhaber senden, ohne dass Aussenstehende den Inhalt lesen können.
Hinweise
Verschlüsselte Nachrichten sind bei Verlust des geheimen Schlüssels verloren. Daher fordert die Universität die Hinterlegung dieser private-keys. Als Folge gibt es bei der "UniBwM CA" getrennte Zertifikate für digitale Unterschriften und Verschlüsselung, denn die private-keys digitaler Unterschriften sollen nicht kopiert werden, auch nicht als Backup.
Bei Versenden verschlüsselter Nachrichten wird in der Regel auch der eigene private-key benötigt, weil die Mailprogramme eine verschlüsselte Kopie im sogenannten Sent-Ordner ablegen.
Sicherheit ist abhängig von der Geheimhaltung des private-key
Die Sicherheit von public-key-Verfahren beruht auf der Geheimhaltung des private-key. Dafür ist grundsätzlich der Zertifikatnehmer verantwortlich.
Gültigkeit von Zertifikaten
Zertifikate sind nur einen beschränkten und im Zertifikat genannten Zeitraum lang gültig. Bei Bedarf, beispielsweise wenn der geheime Schlüssel bekannt wird, kann (und muss) die CA ein Zertifikat, das sie ausgestellt hat, vorzeitg widerrufen. In Form einer Sperrliste veröffentlicht eine CA die Zertifikate, denen sie das Vertrauen entzogen hat.
