Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
| Nächste Überarbeitung | Vorhergehende Überarbeitung | ||
| modul:m183:learningunits:lu07:03 [2025/09/02 13:41] – angelegt vdemir | modul:m183:learningunits:lu07:03 [2025/09/02 14:56] (aktuell) – [Beispiel eines X.509 Zertifikates] vdemir | ||
|---|---|---|---|
| Zeile 3: | Zeile 3: | ||
| ===== Lernziele ===== | ===== Lernziele ===== | ||
| - | *... | + | * Den Standard für den Aufbau eines digitalen Zertifikates nennen können. |
| + | * Wichtigsten Teile des digitalen Zertifikates nennen und erläutern können. | ||
| + | ===== Einleitung ===== | ||
| + | Digitale Zertifikate bilden das Rückgrat sicherer Kommunikation im Internet. Sie dienen dazu, einen öffentlichen Schlüssel eindeutig an eine Identität – etwa eine Person, einen Server oder eine Organisation – zu binden. Damit können Kommunikationspartner prüfen, ob ein Schlüssel tatsächlich zu dem angegebenen Inhaber gehört. | ||
| - | ===== Konzepte der Schlüsselverteilung ===== | + | Der Aufbau eines Zertifikats folgt festgelegten Standards |
| - | Unabhängig von der gewählten Verschlüsselungsart | + | |
| - | * PKI = **P**ublic **K**ey **I**nfrastructure | + | {{: |
| - | * WoT = **W**eb **o**f **T**trust | + | |
| - | ==== PKI = Public Key Infrastructur ==== | ||
| - | Mit Public-Key-Infrastruktur (PKI) bezeichnet man in der Kryptologie ein System, das digitale Zertifikate ausstellen, verteilen und prüfen | ||
| - | kann. Die innerhalb einer PKI ausgestellten Zertifikate werden zur Absicherung rechnergestützter Kommunikation verwendet | ||
| - | rechnergestützter Kommunikation verwendet. | ||
| - | {{: | + | ===== Bestandteile ==== |
| + | ^ Feld / Bestandteil | ||
| + | | Version | ||
| + | | Seriennummer | ||
| + | | Signaturalgorithmus | ||
| + | | Issuer (Aussteller) | ||
| + | | Subject (Inhaber) | ||
| + | | Public Key | Öffentlicher Schlüssel des Inhabers. | ||
| + | | Validity | ||
| + | | Extensions | ||
| + | | Signature | ||
| - | ==== WoT = Web of Trust ==== | + | ===== Zusatzinformationen ===== |
| - | ** Problemstellung** | + | ==== Attributzertifikate |
| + | Die Eigenschaften des im Public-Key-Zertifikat enthaltenen Schlüssels – und damit der Geltungsbereich des Public-Key-Zertifikates – können durch Attributzertifikate genauer festgelegt werden. Attributzertifikate enthalten selbst keinen öffentlichen Schlüssel, | ||
| - | Die Verschlüsselung mit öffentlichen Schlüsseln bietet (gegenüber der symmetrischen Verschlüsselung) den Vorteil, dass der auszutauschende Schlüssel nicht über einen sicheren Kanal übertragen werden muss, sondern öffentlich ist. Zur Übertragung des Schlüssels kann man sich daher eines Verbunds | + | ==== Zertifizierungsinstanzen ==== |
| + | Der Aussteller eines Zertifikats heißt Zertifizierungsinstanz und sollte vertrauenswürdig sein. Die digitale Signatur stellt Authentizität und Integrität sicher, benötigt aber wiederum ein Zertifikat für den Signaturschlüssel | ||
| - | Daraus ergibt sich aber ein Problem: Eine Person könnte einen Schlüssel veröffentlichen, mit welchem sie sich als jemand anderes ausgibt. Es muss also eine | + | ==== Gültigkeit ===== |
| - | Möglichkeit zur Verfügung stehen, die Authentizität eines Schlüssels zu prüfen. | + | Zertifikate haben eine begrenzte Laufzeit. Unsichere Zertifikate müssen vorzeitig gesperrt werden, damit Vertrauen gewahrt bleibt. Sperrinformationen werden typischerweise über Sperrlisten (CRL), Webseiten oder zunehmend per Online-Abfrage veröffentlicht. |
| - | ** Lösungs(-Ansatz)** | + | ==== Der X.509 Standard ==== |
| - | Bei der PKI wird dieser Echtheitsüberprüfung durch die Zertifizierungstelle | + | Struktur und Inhalt von digitalen Zertifikaten werden durch diverse Standards vorgegeben. Aus der Vielzahl von Standards wurde der X.509 Stanard am meisten |
| + | verwendet. Ein von einer Zertifizierungsstelle ausgestelltes digitales Zertifikat | ||
| - | |{{: | + | ==== Sperren von Zertifikaten ==== |
| + | X.509 beinhaltet ausserdem einen Standard, mittels dessen Zertifikate seitens der Zertifizierungsstelle wieder ungültig gemacht werden können, wenn deren Sicherheit nicht mehr gegeben ist (z. B. nach dem öffentlichen Bekanntwerden des Private Keys für das Signieren von E-Mails). Die Zertifizierungsstelle kann hierfür ungültige Zertifikate in //Zertifikatsperrlisten// (certificate revocation list, kurz CRL) führen. Die automatische Überprüfung, | ||
| - | {{: | + | ==== Struktur des X.509-Zertifikats ==== |
| + | * Zertifikat | ||
| + | * Version | ||
| + | * Seriennummer | ||
| + | * Algorithmen-ID | ||
| + | * Aussteller | ||
| + | * Land/ | ||
| + | * Bundesland/ | ||
| + | * Ort | ||
| + | * Organisationseinheit | ||
| + | * Organisation | ||
| + | * Gemeinsamer Name | ||
| + | * Gültigkeit | ||
| + | * Von | ||
| + | * Bis | ||
| + | * Zertifikatinhaber | ||
| + | * Zertifikatinhaber-Schlüsselinformationen | ||
| + | * Public-Key-Algorithmus | ||
| + | * Public Key des Zertifikatinhabers | ||
| + | * Eindeutige ID des Ausstellers (optional) | ||
| + | * Eindeutige ID des Inhabers (optional) | ||
| + | * Erweiterungen | ||
| + | * o … | ||
| + | * Zertifikat-Signaturalgorithmus | ||
| + | * Zertifikat-Signatu | ||
| + | |||
| + | ==== Beispiel eines X.509 Zertifikates ===== | ||
| + | |||
| + | {{: | ||
| + | |||
| + | ---- | ||
| + | |||
| + | [[https:// | ||
| - | Alice signiert den Schlüssel von Bob und vertraut Bobs Schlüsselsignaturen | ||
| - | | ||
| - | Bob signiert den Schlüssel von Carl. Bobs Vertrauen in Carls Schlüssel ist weder bekannt, noch relevant. | ||
| - | | ||
| - | Somit betrachtet Alicen den Schlüssel von Carl als gültig. | ||