Was ist eine Zertifizierungsstelle?

Eine Zertifizierungsstelle (CA) ist eine vertrauenswürdige Stelle, die Zertifikate ausstellt und digital signiert, wodurch ein öffentlicher Schlüssel mit einer verifizierten Identität – einem Gerät, einem Server oder einem Benutzer – verknüpft wird. Mit von einer Zertifizierungsstelle ausgestellten Zertifikaten können zwei Parteien verschlüsselte, authentifizierte Verbindungen herstellen, ohne zuvor ein Geheimnis austauschen zu müssen. Dies bildet die Grundlage für TLS, IPsec und die PKI-basierte Geräteauthentifizierung.

Die wichtigsten Erkenntnisse

• Eine Zertifizierungsstelle (CA) stellt Zertifikate aus und versieht diese mit einer digitalen Signatur, um die Identität zu bestätigen.
• Zertifikate verknüpfen einen öffentlichen Schlüssel mit einem Gerät, einem Server oder einem Benutzer.
• Stamm- und Zwischenzertifizierungsstellen bilden eine hierarchische Vertrauenskette.
• Öffentliche Zertifizierungsstellen genießen allgemeines Vertrauen; private Zertifizierungsstellen sind auf eine Organisation beschränkt.
• VOS-Geräte verwenden von einer Zertifizierungsstelle ausgestellte oder selbstsignierte Zertifikate für die PKI-Authentifizierung.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · CA & Versa · Häufig gestellte Fragen

Warum ist ein Wirtschaftsprüfer wichtig?

Ohne eine vertrauenswürdige dritte Partei, die für die Identität bürgt, beweist ein öffentlicher Schlüssel allein nichts – jeder kann ein Schlüsselpaar generieren und behaupten, eine beliebige Person zu sein. Eine Zertifizierungsstelle (CA) löst dieses Problem, indem sie den Antragsteller vor der Signierung überprüft, sodass eine vertrauende Partei lediglich dem Stammzertifikat der CA vertrauen muss und nicht jedem Endpunkt, mit dem sie sich verbindet. Dieser Vertrauensanker macht verschlüsselte Kommunikation im Internetmaßstab erst praktikabel: Browser und Betriebssysteme werden mit einer kuratierten Liste vertrauenswürdiger Stamm-CAs ausgeliefert, und jedes in der Kette enthaltene Zertifikat wird automatisch akzeptiert.

Bei der zertifikatsbasierten Authentifizierung wird ein gemeinsamer Geheimschlüssel durch eine überprüfbare, widerrufbare Berechtigung ersetzt – bei einem kompromittierten Gerät wird dessen Zertifikat widerrufen, anstatt dass jeder Peer ein neues Passwort benötigt. Bei der IPsec- und VPN-Authentifizierung entfällt durch die PKI die Notwendigkeit, einen vorab vereinbarten Schlüssel an alle Endpunkte zu verteilen und regelmäßig zu wechseln.

Was ist ein CA?

Eine Zertifizierungsstelle (CA) ist Teil einer Public-Key-Infrastruktur (PKI) und erfüllt drei Aufgaben: Identitätsprüfung, Signierung von Zertifikaten und Verwaltung von Sperrungen. Ein Gerät generiert ein Schlüsselpaar und übermittelt eine Zertifikatssignierungsanforderung (CSR) mit seinem öffentlichen Schlüssel und identifizierenden Angaben. Die Zertifizierungsstelle prüft die Anforderung – wobei der Umfang von der Bestätigung der Domain-Kontrolle bis hin zu einer umfassenden Überprüfung der Organisation reicht – und signiert anschließend ein X.509-Zertifikat, das den Schlüssel an die Identität bindet.

Zertifizierungsstellen (CAs) sind in der Regel hierarchisch angeordnet: An der Spitze steht eine Stamm-CA, die in der Regel offline ist und Zwischen-CAs signiert, die für die Ausstellung zuständig sind. Zertifikate verfallen zudem oder können vorzeitig widerrufen werden; dies lässt sich über eine Zertifikatswiderrufsliste (CRL) oder das Online Certificate Status Protocol (OCSP) überprüfen.

Arten von Zertifizierungsstellen

Öffentliche (kommerzielle) Zertifizierungsstellen (CAs) genießen standardmäßig Vertrauen in den Vertrauensspeichern von Betriebssystemen und Browsern, was sie zur richtigen Wahl für alle internetbasierten Anwendungen macht – öffentliche Websites, SaaS-APIs oder Dienste, auf die Geräte zugreifen, die Sie nicht kontrollieren. Private (interne) CAs werden von einer Organisation für den eigenen Gebrauch betrieben – interne Dienste, VPN-Endpunkte, Geräteauthentifizierung – und genießen anderswo kein Vertrauen, es sei denn, die Stammzertifizierungsstelle wird dem Vertrauensspeicher jedes Endpunkts hinzugefügt. In beiden Kategorien ist eine Stamm-Zertifizierungsstelle selbstsigniert und bildet den Anker der Zertifikatskette, während eine Zwischen-Zertifizierungsstelle von der Stamm-Zertifizierungsstelle zertifiziert wird und die tägliche Zertifikatsausstellung übernimmt, wodurch im Falle einer Kompromittierung der Schadensumfang begrenzt wird. Ein selbstsigniertes Zertifikat umgeht die Hierarchie vollständig – das ist für Testzwecke in Ordnung, muss jedoch auf jedem Gerät manuell als vertrauenswürdig markiert werden.

CA & Versa

VOS-Geräte unterstützen die zertifikatsbasierte (PKI) Authentifizierung als Alternative zu vorab vereinbarten Schlüsseln für IKE und IPsec. Administratoren konfigurieren eine gemeinsame Zertifizierungsstelle (CA) – ein globales Profil, das nicht an eine bestimmte Organisation gebunden ist – und legen dabei den Servertyp (ACME, CMP, CRL, GCP, KMIP oder SCEP) sowie optional OCSP für Sperrprüfungen fest. Anbieter- und Kundenorganisationen sowie Controller-Knoten greifen für die CPE-Authentifizierung auf dieses Profil zurück; im grundlegenden Einrichtungsablauf wird PKI als IKE-Modus ausgewählt und CA-Agenten werden einer Vorlage zugeordnet.

Bei der Zero-Touch-Bereitstellung sendet „CA in Data Center“ die CSR der Zweigstelle über den IPsec-Tunnel, damit diese ein von der Zertifizierungsstelle signiertes Zertifikat für spätere Tunnel erhält. Auf der Endpunktseite benötigt der „SASE “-Client das CA-Zertifikat des Gateways in seinem vertrauenswürdigen Stammzertifikatsspeicher, um die VPN-Registrierung und die SSL-Entschlüsselung abzuschließen – „ Versa “ liefert hierfür eine Standard-Stammzertifizierungsstelle, die Kunden ersetzen können.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem CA und einem CSR?

Eine CSR (Certificate Signing Request, Zertifikatssignierungsanforderung) wird von einem Gerät generiert und übermittelt – sie enthält den öffentlichen Schlüssel sowie Identitätsdaten wie den allgemeinen Namen. Die Zertifizierungsstelle (CA) überprüft diese Angaben und signiert, sofern alles in Ordnung ist, ein Zertifikat. Die CSR ist die Anfrage; die CA ist der Aussteller.

Was ist ein selbstsigniertes Zertifikat?

Ein selbstsigniertes Zertifikat wird nicht von einer Zertifizierungsstelle, sondern mit seinem eigenen privaten Schlüssel signiert, sodass es von keinem System automatisch als vertrauenswürdig eingestuft wird. Es eignet sich für Testzwecke oder interne Konfigurationen, doch jedes Gerät, das darauf zurückgreift, muss es manuell in seinen Vertrauensspeicher aufnehmen; andernfalls werden die Verbindungen als nicht vertrauenswürdig angezeigt.

Wie überprüft eine Zertifizierungsstelle die Identität, bevor sie ein Zertifikat ausstellt?

Der Umfang der Validierung hängt von der Art des Zertifikats ab: Bei domänenvalidierten Zertifizierungsstellen wird die Kontrolle über die Domäne bestätigt, bei organisationsvalidierten Zertifizierungsstellen werden Unternehmensdaten überprüft und bei Zertifizierungsstellen mit erweiterter Validierung wird eine gründlichere rechtliche Überprüfung durchgeführt. Interne oder gerätebasierte Zertifizierungsstellen stützen sich häufig auf ein gemeinsames Registrierungsgeheimnis oder ein automatisiertes Protokoll wie ACME.

Was passiert, wenn ein Zertifikat widerrufen wird?

Die ausstellende Zertifizierungsstelle veröffentlicht die Seriennummer des Zertifikats in einer Zertifikatssperrliste (CRL) oder beantwortet Echtzeitabfragen über OCSP. Vertrauende Parteien überprüfen dies, bevor sie einem Zertifikat vertrauen, sodass ein gesperrtes Zertifikat sofort nicht mehr akzeptiert wird, noch bevor es abläuft.

Was ist der Unterschied zwischen einer Stamm-Zertifizierungsstelle und einer Zwischen-Zertifizierungsstelle?

Eine Stamm-Zertifizierungsstelle ist selbstsigniert und steht an der Spitze der Vertrauenskette; aus Sicherheitsgründen wird sie in der Regel offline gehalten. Zwischen-Zertifizierungsstellen werden von der Stamm-Zertifizierungsstelle zertifiziert und übernehmen die routinemäßige Ausstellung von Zertifikaten, sodass eine kompromittierte Zwischen-Zertifizierungsstelle widerrufen werden kann, ohne dass dadurch die Stamm-Zertifizierungsstelle oder deren andere Zertifikate ungültig werden.

Mehr zu CA

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über CA informieren, sollten Sie sich als Nächstes diese Artikel ansehen.