Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

310 6 Netzwerkprogrammierung mit SSL
graphischen Mitteln nachbilden. Eine sogenannte Zertifizierungsstelle (Certification
Authority, kurz: CA) übernimmt hier die Aufgabe des vertrauenswürdigen
Dritten und signiert ein elektronisches Dokument, das digitale Zertifikat,
in dem sie zusichert, daß ein bestimmter öffentlicher Schlüssel zu einer bestimmten
Person (Firma, Institution, Maschine) gehört. Ein Zertifikat enthält
u. a. Informationen über den Namen des Zertifikatnehmers, dessen öffentlichen
Schlüssel, einen Gültigkeitszeitraum und den Namen der Zertifizierungsstelle.
Diese Daten sind in der Regel mit dem privaten Schlüssel der Zertifizierungsstelle
signiert, die Echtheit des Zertifikats kann folglich mit dem öffentlichen
Schlüssel der Zertifizierungsstelle überprüft werden.
Vertraut ein Kommunikationsteilnehmer der ausstellenden Zertifizierungsstelle
eines Zertifikats, so steht für ihn fest, daß der im Zertifikat enthaltene öffentliche
Schlüssel tatsächlich zum gewünschten Kommunikationspartner gehört.
Das ursprüngliche Problem wird also darauf reduziert, daß nurmehr einigen
wenigen Zertifizierungsstellen vertraut werden muß, deren Zertifikate wiederum
für die Zusammengehörigkeit einer Person (Firma, Institution, Maschine)
und ihrem öffentlichen Schlüssel bürgen.
Auch Zertifizierungsstellen können ihrerseits wieder von anderen Zertifizierungsstellen
beglaubigt sein, so daß sich vom zu überprüfenden Zertifikat eines
Servers bis zu einer vertrauenswürdigen Zertifizierungsstelle eine ganze
Zertifikatskette bilden kann. Man spricht diesbezüglich auch von einer Zertifikatshierarchie.
Um die Gültigkeit eines Zertifikats zu überprüfen, bildet die
Verifikationssoftware zunächst die Zertifikatskette vom fraglichen Zertifikat
über die ausstellende CA bis hin zu einer vertrauten Zertifizierungsstelle und
prüft dann über festgelegte Regeln die Gültigkeit dieser Kette. Meist handelt
es sich bei der obersten Zertifizierungsstelle einer solchen Zertifikatskette um
eine sogenannte Wurzel-CA, also eine Zertifizierungsstelle, die nicht von einer
übergeordneten CA zertifiziert wurde. Eine Wurzel-CA zeichnet sich demnach
durch ein selbst ausgestelltes und unterschriebenes Zertifikat aus.
Im Zusammenspiel mit den zuvor vorgestellten kryptographischen Verfahren
können unter Zuhilfenahme digitaler Zertifikate also auf praktikablem Weg
sowohl die Authentizität, die Vertraulichkeit als auch die Integrität der über
ein unsicheres Netzwerk übertragenen Daten sichergestellt werden.
6.1.5 Praktische Absicherung des Datenverkehrs
Zur Absicherung des Datenverkehrs in IP-basierten Netzen sind gleich auf
mehreren Ebenen des OSI-Schichtenmodells Anpassungen und Erweiterungen
denkbar, die auf den zuvor vorgestellten kryptographischen Verfahren
aufbauen. Bereits in der Sicherungsschicht (OSI-Schicht 2) können Erweiterungen
eingebracht werden, welche z. B. das Point to Point Protocol (PPP)
beim Verbindungsaufbau um Authentifizierung und Autorisierung ergänzen
und damit den Zugang zum Datennetz kontrollieren, etwa