Was ist eine CA-Kette?

Eine CA-Kette ist eine geordnete Liste von Zertifikaten von Zertifizierungsstellen (CA) – also aller Zwischen-CAs zwischen einem ausgestellten Zertifikat und der vertrauenswürdigen Stammzertifizierungsstelle –, die es einem Empfänger ermöglicht, ein Geräte-, Gateway- oder Serverzertifikat Schritt für Schritt bis hin zu einem Stammzertifikat zu überprüfen, dem er bereits vertraut.

Die wichtigsten Erkenntnisse

• Eine Zertifizierungsstellenkette verknüpft ein Zertifikat über Zwischenzertifizierungsstellen mit einer vertrauenswürdigen Stammzertifizierungsstelle.
• Fehlende Zwischenzertifikate führen bei gültigen Stammzertifikaten zu Fehlern wegen „nicht vertrauenswürdiger Zertifikate“.
• In der PKI-Terminologie auch als Zertifikatskette oder Vertrauenskette bezeichnet.
• Bei VOS-Geräten und im „ Titan “-Portal muss die Zertifikatskette hochgeladen werden, nicht nur das Zertifikat.
• Jedes Zertifikat wird von dem ihm übergeordneten Zertifikat signiert, bis hin zu einer vertrauenswürdigen Stammzertifizierungsstelle.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · CA-Kette & Versa · Häufig gestellte Fragen

Warum sind CA-Ketten wichtig?

Die Zertifikatsvalidierung funktioniert nur, wenn die prüfende Partei ein signiertes Zertifikat bis zu einer Stammzertifizierungsstelle zurückverfolgen kann, der sie bereits vertraut. Geräte werden mit einer kleinen Auswahl vertrauenswürdiger Stammzertifikate ausgeliefert, doch fast kein Zertifikat wird direkt von einer dieser Stammzertifizierungsstellen signiert – stattdessen delegiert die Stammzertifizierungsstelle die Signierung an eine oder mehrere Zwischenzertifizierungsstellen. Ein Prüfer, der nur über das Endzertifikat verfügt, kann die Signaturen nicht bis zu einem ihm bekannten Vertrauensanker zurückverfolgen.

Aus diesem Grund handelt es sich bei Fehlern wie „nicht vertrauenswürdiges Zertifikat“ und „unbekannte Zertifizierungsstelle“ in der Regel um ein Problem einer fehlenden Zertifikatskette und nicht um ein Problem mit einem ungültigen Zertifikat. Eine fehlerhafte Zertifikatskette untergräbt genau das, was sie eigentlich sichern soll: Browser blockieren die Website, IPsec-Tunnel schlagen fehl, Verzeichnisbindungen schlagen fehl. Zwischenzertifikate sorgen zudem dafür, dass der private Schlüssel der Stammzertifizierungsstelle offline bleibt – die Zertifikatskette ist es, die diesen Schutz erst ermöglicht.

Was ist eine CA-Kette?

Strukturell gesehen ist eine CA-Kette ein Signaturpfad: Das vertrauenswürdige Stamm-CA-Zertifikat (selbstsigniert, in einem Vertrauensspeicher) steht ganz oben, dazwischen befinden sich ein oder mehrere Zwischen-CA-Zertifikate – jedes von dem darüber liegenden signiert – und ganz unten das Endentitätszertifikat (das Geräte-, Server- oder Gateway-Zertifikat), das von der letzten Zwischen-CA signiert wurde. Ein Prüfer überprüft jede Signatur, bis eine mit seinem Vertrauensspeicher übereinstimmt.

Eine CA-Kette besteht in der Regel aus einer einzigen Datei – üblicherweise .crt, .cer, oder .pem – enthält die in der richtigen Reihenfolge aneinandergereihten Zwischenzertifikate, manchmal einschließlich des Stammzertifikats. Software, die das Endentitätszertifikat validiert, liest diese Datei, um Lücken zu schließen, die ihr eigener Vertrauensspeicher nicht abdecken kann.

Arten von CA-Ketten

Ketten unterscheiden sich hauptsächlich hinsichtlich ihrer Tiefe und der Art und Weise, wie die Hierarchie aufgebaut ist. Eine Kette mit einer einzigen Zwischenzertifizierungsstelle – Stammzertifikat, eine Zwischenzertifizierungsstelle, Blattzertifikat – ist die häufigste Form in Unternehmens-PKI. Eine Kette mit mehreren Zwischenzertifizierungsstellen verschachtelt mehrere Zwischenzertifizierungsstellen, wodurch eine große Zertifizierungsstelle das Signieren nach Richtlinien, Regionen oder Geschäftsbereichen delegieren kann, ohne das Stammzertifikat übermäßig zu exponieren. Bei einer einstufigen Kette signiert die Stammzertifizierungsstelle das Endentitätszertifikat direkt – dies ist einfacher, erfordert jedoch eine häufigere Nutzung des Stammschlüssels, weshalb diese Form eher bei selbstsignierten Laborzertifikaten als in Produktions-PKI-Umgebungen anzutreffen ist. Kreuzsignierte Ketten verbinden separate Hierarchien, indem eine Zertifizierungsstelle das Zertifikat einer anderen signiert, was bei einer Stammzertifizierungsstellen-Migration nützlich ist.

CA Chain & Versa

Auf einem VOS-Gerät, das über den „ Versa Director“ verwaltet wird, werden ein CA-Zertifikat, dessen privater Schlüssel und dessen CA-Kette als separate benutzerdefinierte Objekte – unter „Objekte & Konnektoren“ > „Benutzerdefinierte Objekte“ > „CA-Zertifikat, Schlüssel und CA-Ketten“ – zunächst auf den Director-Knoten und anschließend auf die Appliance hochgeladen; Kettendateien müssen .crt, .cer, oder .pem. Die CA-Zertifikate, Schlüsseldatei und CA-Ketten konfigurieren Leitfaden (und dessen NGFW-Äquivalent) decken beide Schritte ab. Nach dem Hochladen wird die Kette in einem IPsec-VPN-Profil sowohl für die lokale als auch für die Peer-Zertifikatsauthentifizierung ausgewählt.

Im „Titan “-Portal befolgen MSPs und Mandantenadministratoren bei der Installation von Zertifikaten für die VSA-Dienste des „ SASE “-Gateways dieselbe Reihenfolge („zuerst Schlüssel, dann Zertifikat, dann Zertifikatskette“) und können bei der Absicherung von LDAPS für Active Directory zwischen einer Standard- und einer benutzerdefinierten CA-Kette wählen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem CA-Zertifikat und einer CA-Kette?

Ein CA-Zertifikat ist ein einzelnes Zertifikat, das von einer Zertifizierungsstelle ausgestellt wurde. Eine CA-Kette ist die vollständige, geordnete Abfolge dieser Zertifikate – aller Zwischen-CAs zwischen einem ausgestellten Zertifikat und der vertrauenswürdigen Stammzertifizierungsstelle –, die erforderlich ist, um das Zertifikat bis zu einer Stammzertifizierungsstelle zurückzuverfolgen, der der Prüfer bereits vertraut.

Warum erhalte ich die Fehlermeldung „Nicht vertrauenswürdiges Zertifikat“, obwohl das Zertifikat gültig ist?

In der Regel sendet der Server oder das Gerät nur sein Endentitätszertifikat ohne die Zwischenzertifikate der Zertifizierungsstelle. Da der Vertrauensspeicher des Clients nur das Stammzertifikat enthält, kann er die Lücke zwischen den beiden nicht schließen; das Hochladen oder Bereitstellen der vollständigen Zertifizierungsstellenkette behebt den Fehler.

Welche Dateiformate verwendet eine CA-Kette?

CA-Ketten werden in der Regel wie folgt verteilt: .crt, .cer, oder .pem Dateien, die PEM-kodierte Zertifikate enthalten, die der Reihe nach aneinandergereiht sind – vom ersten Zwischenzertifikat bis zum letzten –, sodass die Validierungssoftware den gesamten Vertrauenspfad aus einer einzigen Datei auslesen kann.

Benötigt jedes Zertifikat eine eigene CA-Kette?

Nein. Zertifikate, die aus derselben CA-Hierarchie stammen, verwenden dieselben Zwischenzertifikate und dasselbe Stammzertifikat. Ein hochgeladenes CA-Kettenobjekt validiert jedes Geräte- oder Gateway-Zertifikat, das aus dieser Hierarchie stammt. Daher laden Administratoren es nur einmal hoch, anstatt jedem Zertifikat eine separate Kette beizufügen.

Wo wird eine Zertifikatskette außer beim HTTPS-Datenverkehr noch verwendet?

Über den Web-Datenverkehr hinaus authentifizieren CA-Ketten IPsec-VPN-Peers während der zertifikatsbasierten IKE-Verhandlung, sichern LDAPS-Verbindungen zu Verzeichnisservern und validieren Geräte- oder Gateway-Identitätszertifikate – überall dort, wo eine Seite das Zertifikat der anderen Seite bis zu einer vertrauenswürdigen Stammzertifizierungsstelle zurückverifizieren muss.

Mehr über CA-Ketten

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über CA-Ketten informieren, sollten Sie sich als Nächstes diese hier ansehen.