Was ist ein CSR?

Eine Zertifikatssignierungsanforderung (Certificate Signing Request, CSR) ist eine Datei, die ein Client oder ein Gerät erstellt und die den öffentlichen Schlüssel sowie Identifizierungsdaten wie den allgemeinen Namen und alternative Namen des Zertifikatsinhabers enthält. Diese Datei wird bei einer Zertifizierungsstelle eingereicht. Die Zertifizierungsstelle prüft die Anforderung und gibt ein signiertes digitales Zertifikat zurück, das der Antragsteller installieren kann.

Die wichtigsten Erkenntnisse

• Ein CSR enthält den öffentlichen Schlüssel und die Identitätsfelder eines Geräts, jedoch niemals dessen privaten Schlüssel.
• Das Gerät signiert die CSR mit seinem privaten Schlüssel, um nachzuweisen, dass es im Besitz des Schlüsselpaars ist.
• Die Zertifizierungsstelle prüft die Anfrage und gibt ein signiertes digitales Zertifikat zurück.
• CSRs können manuell oder automatisiert über SCEP, CMP oder ACME generiert werden.
• Versa Director, Concerto und VMS erstellen alle CSR-Dateien und übermitteln diese an eine Zertifizierungsstelle.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · CSR & Versa · Häufig gestellte Fragen

Warum ist CSR wichtig?

Eine CSR ist der Ausgangspunkt fast jeder Vertrauensbeziehung, die auf einer Public-Key-Infrastruktur (PKI) basiert. Bevor sich zwei Systeme über TLS, Mutual TLS oder IPsec mit zertifikatsbasierter Authentifizierung gegenseitig authentifizieren können, benötigt eine Seite ein Zertifikat, das von einer vertrauenswürdigen Zertifizierungsstelle signiert wurde – und eine CSR ist der Beginn dieses Prozesses. Die Erstellung der CSR auf dem anfragenden Gerät – anstatt das Schlüsselpaar von der Zertifizierungsstelle generieren zu lassen – bedeutet, dass der private Schlüssel das Gerät, das ihn verwenden wird, niemals verlässt, wodurch der sensible Teil des Schlüsselpaars vollständig vor der Übertragung geschützt bleibt.

CSRs spielen auch in betrieblicher Hinsicht eine wichtige Rolle, da die Zertifikatsausstellung auf Tausende von Geräten, Servern und Diensten skaliert werden muss, ohne dass dabei manuelle Engpässe entstehen. Automatisierte Registrierungsprotokolle bauen direkt auf dem CSR-Format auf, sodass ein Gerät Zertifikate nach einem festgelegten Zeitplan anfordern, erneuern und ersetzen kann, anstatt auf einen manuellen Export- und Importzyklus warten zu müssen. Die korrekte Angabe der Identitätsfelder – Common Name, Subject Alternative Names, Gültigkeitsdauer – entscheidet zudem darüber, ob TLS-Clients dem resultierenden Zertifikat tatsächlich vertrauen, da bei modernen Validierungen nicht nur der Common Name, sondern auch die SAN-Liste überprüft wird.

Was ist ein CSR?

Ein CSR ist eine im PKCS#10-Format erstellte Datei, die in drei Schritten erstellt wird. Zunächst generiert der anfragende Client oder das anfragende Gerät lokal ein öffentliches/privates Schlüsselpaar. Zweitens stellt es den Anfragetext zusammen: den öffentlichen Schlüssel, einen Distinguished Name, der den Anfragenden identifiziert (Land, Bundesland, Ort, Organisation, Organisationseinheit und – am wichtigsten – einen Common Name), sowie in der Regel einen oder mehrere Subject Alternative Names, die alle Hostnamen oder IP-Adressen abdecken, für die das Zertifikat gültig sein muss. Drittens signiert das Gerät die gesamte Anfrage mit seinem eigenen privaten Schlüssel, wodurch gegenüber der Zertifizierungsstelle nachgewiesen wird, dass der Anfragende tatsächlich über den privaten Schlüssel verfügt, der zum öffentlichen Schlüssel in der Anfrage passt, ohne diesen privaten Schlüssel jemals an irgendeinen Ort zu senden.

Die signierte CSR wird anschließend bei einer Zertifizierungsstelle eingereicht – entweder direkt im manuellen Verfahren oder automatisch über ein Registrierungsprotokoll wie SCEP, CMP oder ACME. Die Zertifizierungsstelle überprüft die Identität des Antragstellers anhand ihrer eigenen Richtlinien und stellt anschließend ein signiertes Zertifikat aus, das den öffentlichen Schlüssel an die angeforderte Identität bindet. Der Antragsteller installiert dieses Zertifikat zusammen mit dem privaten Schlüssel, über den er bereits verfügt, und die CSR selbst wird verworfen.

Arten von CSR

Wie ein CSR generiert und übermittelt wird, hängt von der jeweiligen Bereitstellung ab. Manuelle/CLI-Generierung verwendet ein Befehlszeilentool – OpenSSL oder ein Hersteller-Skript wie das von VMS vsh generate-server-csr – um das Schlüsselpaar und die CSR interaktiv zu erstellen, wobei ein Administrator die Identitätsfelder eingibt und die resultierende Datei zur Signierung an eine Zertifizierungsstelle weiterleitet. Orchestrator-gesteuerte Generierung Dies erfolgt über eine Verwaltungsoberfläche: Ein Administrator füllt in einem Workflow die CSR-Felder (Common Name, E-Mail-Adresse, Land, Gültigkeitsdauer, Schlüsselgröße) aus, und die Plattform generiert die Anfrage und sendet sie im Rahmen der Einbindung eines Geräts oder Mandanten ab. Protokollgesteuerte Registrierung eliminiert den manuellen Schritt vollständig – SCEP-, CMP- oder ACME-Clients generieren die CSR, übermitteln sie automatisch an einen CA-Server und kümmern sich um die Verlängerung, bevor das Zertifikat abläuft. Dieses Modell wird von den meisten großen Fuhrparks genutzt, um Ausfälle aufgrund ablaufender Zertifikate zu vermeiden.

Eine CSR kann auch auf eine selbstsignierte Zertifizierungsstelle abzielen – was für Labore und interne Tests nützlich ist – oder auf eine von einer Zertifizierungsstelle (Drittanbieter) signierte Zertifizierungsstelle für alles, was allgemein als vertrauenswürdig gelten muss. Die Felder innerhalb der CSR bleiben in beiden Fällen gleich; lediglich die Vertrauenswurzel unterscheidet sich.

CSR & Versa

Versa setzt CSRs in zwei Ebenen der Plattform ein. Auf Versa Nachrichtendienst, der vsh generate-server-csr Der Befehl erstellt eine CSR auf dem primären Knoten und fordert zur Eingabe von fünf bis sieben alternativen Subjektnamen auf, die die Schnittstellen „management“, „elastic“ und „southbound“ sowie die Organisation und den allgemeinen Namen abdecken – das Ergebnis ist server-csr.pem wird zur Signatur an eine vertrauenswürdige Zertifizierungsstelle weitergeleitet und kommt dann über vsh import-ca-certs. HA-VMS-Implementierungen Erstellen Sie stattdessen lokal eine selbstsignierte Stamm-CA und eine CSR-Kette mit dem vms_cert_gen.sh Skript, das Root-, Server- und Client-Zertifikate für den Cluster erstellt.

Auf der Seite von „ Secure SD-WAN “ erfolgt die Tenant-Konfiguration in Concerto vollständig über Workflow-Felder – ein Administrator wählt einen CA-Servertyp (ACME, CMP oder SCEP) aus und gibt anschließend pro Controller CSR-Optionen wie den Common Name, den gemeinsamen Schlüssel, die Gültigkeitsdauer und die Größe des privaten Schlüssels ein. Concerto wandelt diese Einträge in CSR-Bind-Daten um, die die Appliances bei der Veröffentlichung automatisch übermitteln, sodass für die zertifikatsbasierte Tenant-Authentifizierung keinerlei Eingriffe in die Geräteshell erforderlich sind.

Häufig gestellte Fragen

Welche Informationen enthält ein CSR?

Ein CSR enthält den öffentlichen Schlüssel des Antragstellers sowie einen Distinguished Name: den Common Name und in der Regel die Organisation, den Ort, das Bundesland, das Land sowie einen oder mehrere alternative Namen des Subjekts. Er wird mit dem privaten Schlüssel des Antragstellers signiert, um den Besitz nachzuweisen, doch der private Schlüssel selbst ist niemals in der Datei enthalten.

Enthält ein CSR einen privaten Schlüssel?

Nein. Ein CSR enthält nur den öffentlichen Schlüssel des Schlüsselpaars; der private Schlüssel verbleibt auf dem anfragenden Gerät und wird ausschließlich zum Signieren der Anfrage verwendet, um nachzuweisen, dass das Gerät im Besitz des Schlüssels ist, ohne dass dieser jemals an die Zertifizierungsstelle oder an einen anderen Ort übertragen wird.

Was ist der Unterschied zwischen „Common Name“ und „Subject Alternative Name“ in einer CSR?

„Common Name“ ist das traditionelle Feld für die eindeutige Identität, bei dem es sich historisch gesehen um einen Hostnamen handelte. „Subject Alternative Name“ (SAN) ist eine neuere Erweiterung, in der alle Hostnamen, IP-Adressen oder Identitäten aufgeführt sind, die das Zertifikat abdecken soll. Moderne TLS-Clients führen eine Validierung anhand der SAN-Liste durch, daher werden in den meisten aktuellen CSRs beide Felder ausgefüllt.

In welchem Zusammenhang steht ein CSR mit SCEP, CMP und ACME?

SCEP, CMP und ACME sind Registrierungsprotokolle, die die Schritte eines manuellen CSR-Workflows automatisieren: die Erstellung der CSR, deren Übermittlung an eine Zertifizierungsstelle und den Abruf des signierten Zertifikats. Geräte mit „ Versa “ können anstelle einer manuell kopierten CSR-Datei jeden dieser Servertypen verwenden.

Kann ein CSR für mehrere Zertifikate wiederverwendet werden?

Eine CSR wird in der Regel nur einmal eingereicht und von der Zertifizierungsstelle, die sie signiert, verarbeitet. Um ein erneuertes oder neu ausgestelltes Zertifikat zu beantragen – oder um Identitätsfelder wie SAN-Einträge zu ändern –, erstellt der Antragsteller eine neue CSR, anstatt die ursprüngliche erneut einzureichen.

Mehr zum Thema CSR

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit CSR beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.