Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

10.4. ZERTIFIZIERUNGSINSTANZEN
10.4 Zertifizierungsinstanzen
Wodurch zeichnet sich eine Zertifizierungsinstanz (oft auch als Zertifizierungsstelle bezeichnet) gegenüber
einer „normalen“ Zertifizierenden aus, wie sie beispielsweise an einer gegenseitigen Zertifizierung
zwischen PGP-Nutzern beteiligt sein könnte?
¯ Eine CA operiert nach festgelegten, veröffentlichten Regeln, einer sog. Policy.
¯ Eine CA ist – moralisch, vertraglich oder sogar gesetzlich – zur Einhaltung ihrer Policy verpflichtet.
¯ Die Glaub- und Vertrauenswürdigkeit einer CA ist die Grundvoraussetzung für ihre Akzeptanz
und daher für ihre Tätigkeit, insofern ist dies ihr wertvollstes und zugleich kritischstes Gut.
¯ Die CA übernimmt die Garantie für die Richtigkeit der Daten in den von ihr ausgestellten
Zertifikaten und ist u.U. sogar dafür haftbar.
¯ Eine CA ist in den meisten Fällen eine juristische Person, da längerfristige Stabilität und Kontinuität
angestrebt werden und sich eher in dieser Rechtsform gewährleisten lassen. 3
10.4.1 Dienstangebot
Die Kern-Dienstleistungen, die jede Zertifizierungsstelle erbringen muß, sind die Identitätsprüfung
(Registrierung) der Zertifikatnehmer (die zu diesem Zeitpunkt noch die Antragsteller sind, denn noch
sind sie nicht zertifiziert), die Zertifizierung, d.h. das digitale Signieren der Angaben im Zertifikat,
die Bereitstellung bzw. Verteilung der Zertifikate an den Inhaber und an andere Nutzer und das
Sperrmanagement für die eigenen Zertifikate.
Die Veröffentlichung der Zertifikate kann dabei über einen Verzeichnisdienst oder über Subskriptionsdienste
(„Abonnement“, z.B. per E-Mail oder auf CD-ROM per Post) erfolgen, die Bekanntgabe der
widerrufenen (gesperrten) Zertifikate ebenfalls mittels eines Verzeichnisdienstes, über den Sperrlisten
verbreitet werden, oder mittels Online-Statusabfrage (OCSP) einzelner Zertifikate. Die Bereitstellung
oder Verteilung der Zertifikate und der Sperr-Informationen kann allerdings auch durch einen Dritten
im Auftrag der CA erfolgen, z.B. durch den Anbieter eines Verzeichnisdienstes. Die auf diese Weise
verbreiteten authentisierten Informationen müssen aber nach wie vor von der Zertifizierungsstelle
selbst stammen bzw. erzeugt werden.
Meist wird eine Zertifizierungsinstanz den Einsatz der von ihr herausgegebenen Zertifikate für den
Nutzer bis zu einer Maximalhöhe für den Mißbrauchsfall absichern, d.h. sie übernimmt eine gewisse
(Zahlungs-)Garantie oder Haftung im Schadensfalle. Hierzu wird sich eine CA üblicherweise versichern,
wenn sie nicht ohnehin aufgrund gesetzlicher Vorschriften oder wegen Zulassungsbestimmungen
zum Abschluß einer entsprechenden Police verpflichtet ist.
Darüber hinaus kann eine CA weitere Dienste anbieten: Sie kann die Möglichkeit einer pseudonymen
Zertifizierung alternativ zu einer normalen Zertifizierung anbieten. Dabei wird durch das Zertifikat
nicht der Klarname des Zertifikatnehmers, sondern ein von ihm gewähltes (und von der CA gebilligtes)
Pseudonym an einen Schlüssel gebunden. Die CA wird sich dann verpflichten, den Klarnamen –
3 Das bedeutet allerdings nicht, daß nicht auch eine einzelne natürliche Person eine CA sinnvoll betreiben könnte; diese
CA steht und fällt dann aber mit dem Engagement, der Zuverlässigkeit und Erreichbarkeit dieser Person.
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 151