Zertifikate
Wie das funktioniert:
- Authentifizierung, nicht Verschlüsselung
- Zugehörigkeit von Schlüsselpaar und Domain wird geprüft (domain validated certificates, DV)
- Stärkere Überprüfungen möglich (Identität, Extended Validation Certificate, EV): Beispiel Paypal
- Certificate Authority (CA) ist dieser Überprüfer
- CA signiert Tupel (öffentlicher Schlüssel, Domainname, ...) mit seinem privaten Schlüssel
- (Eigentlich wird nur der Hashwert des Tupels signiert)
- Zertifikate haben Gültigkeitszeitraum
- Zertifikatskette
- Öffentliche Schlüssel von Root CAs sind im Browser oder OS bereits enthalten
Was schiefgehen kann:
- Server sendet zu wenig Zertifikate: Beispiel
- Server sendet zu viele Zertifikate: Beispiel
- Als kryptographische Hashfunktion für die Signatur wird SHA-1 verwendet (Gefahr der Übertragung der Signatur auf anderes Zertifikat!)
- Neue Signaturen sollten nur noch mit SHA256 erstellt werden.
- Übergangsphase bis Ende 2016: Zertifikat läuft vor Ende 2016 ab → A; Zertifikat läuft nach Ende 2016 ab → Browser-Warnungen (v.a. Chrome)
- Auch intermediate Zertifikate sollten SHA-1 nicht mehr verwenden: Beispiel
Index