 |
ZertifikateAuch mit modernen Verschlüsselungsverfahren ist die Verbindlichkeit derNachricht ohne zusätzliche Massnahmen nicht kontrollierbar.Deshalb muß ein öffentlicher Schlüssel"vertrauenswürdig" eingestuft werden, wenn damit wirklichsicher kommuniziert werden soll. Am sichersten ist dieseVertrauenswürdigkeit herzustellen, indem der Empfängerdem Absender seinen Public-Key persönlich überreicht undgleichzeitig seinen Personalausweis vorzeigt. Dies ist jedoch z. B.bei Online-Shops nicht realisierbar. Deshalb gibt es "CertificateAuthorities" (CA), die eine solche "Zertifizierung" vornehmen. Sieüberprüfen die Identität des Absenders undunterschreiben als Nachweis den Public-Key des Besitzers mit ihremeigenen Private-Key und garantieren so die Identität. Zurweiteren Sicherheit sind alle Zertifizierungen zeitlich befristetund müssen regelmässig wiederholt werden. Zusätzlichwerden alle unterschriebenen Zertifikate von der CAveröffentlicht. Die Vertrauenswürdigkeit einer CA wirdanhand von gesetzlichen Grundlagen und stichprobenartigenÜberprüfungen gesichert.Besitzer einer Website können sich bei einer Zertifizierungsstelle einSite-Zertifikat ausstellen lassen, das in die Serversoftwareintegriert wird und geschützte Verbindungen zu der Siteermöglicht. Entsprechend ausgerüstete Browser könnendann diese gesicherten Seiten genauso nutzen wie normale Webseiten.Diese Technologie namens SSL ("Secure Sockets Layer") wurde vonNetscape entwickelt (siehe Kapitel 8). Darüberhinaus gibt es
im SSL-Verfahren noch eine zusätzliche Möglichkeit der
Client-seitigen Authentifizierung, zum Beispiel anwendbar für
Server, zu denen nur bestimmte Rechner einen Zugang haben sollen:
Hier muß auch der Client ein Zertifikat besitzen und dieses
mit dem Server austauschen. Der Server hat dabei die
Möglichkeit, eine sichere Verbindung zu verweigern, wenn das
Zertifikat des Clients nicht akzeptiert wird.
Der wichtigste Standard für digtale Zertifikate ist der X.509
Standard. Ein X.509 Zertifikat, das Alice an Bob schicken kann,
muß folgende Informationen enthalten:
- Den Namen des Eigentümers des Zertifikats (Bob)
- Einen seiner öffentlichen Schlüssel (public key)
- Den Namen der CA
- Eine digitale Signatur der CA
Nachdem verschiedene Algorithmen für digitale Signaturen verwendet
werden können, muß der benutzte Algorithmus ebenfalls
angegeben werden. Zudem haben Zertifikate oft eine begrenzte
Gültigkeit. Zertifikate können bei Mißbrauch von
der austellenden CA widerrufen werden. Sie veröffentlich dazu
eine sogenannte Certificate Revocation List (CRL), die periodisch
aktualisiert wird. Jeder Teilnehmer einer Kommunikation, der ein
Zertifikat erhält kann anhand dieser Liste
überprüfen, ob es noch gültig ist. Für jedes
Schlüsselpaar (private und public key) wird ein eigenes
Zertifikat ausgestellt. Wenn genügend Personen einer
bestimmten Certificate Authority vertrauen, läßt sich so
eine ganze Hierarchie von gesicherten Verbindungen realisieren.
Wichtig zu wissen ist, daß nicht der Besitz eines Zertifikats
ausschlaggebend für den Nachweis einer Identität ist
(Zertifikate sollen ja frei verteilt werden können), sondern
der Nachweis, daß man im Besitz des private keys ist, der zum im
Zertifikat genannten public key gehört.
|
|
|
DIENSTE
