Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

8.4. Extended Key Usage 145
� £����������������������
��¡��¤¡�������� ¢¡¤£¦¥¨§�©
��� �������������������¦����� � ¡¤£¦��¡���� � ������¡¤��� ����� ������¡¤���
�
�����¨��������������¥�¡����¦�������
¢¡ � ��¡¤£���¡¤£ � � ¥���¡���¥����¦��¡�£ � ���������� ¢¡ � ����¡¤£���¡�£��
�¨����
� ¥���¡���¥�������¥������ ������������������� � � £����� �¡ � ��� � ��¡���¥��
�
¢¡ � � � ��¡¤��¥ � � ¥���¡���¥����¦��¡�£ � ���������� ¢¡ � ��� � ��¡���¥��
�¨����
� ¥���¡���¥�������¥������ ������������������� � � £����� �¡ � ����¡¤£���¡¤£
�
��������������������� ��¡¤��� � £�����������¡¤£ � ������������£�����£���������������¡
������¡��������������
� ��£���¥�¡¤�¤¥������ ����������������������������� ��¡¤��� � £ � ¡¤£¦��¡���� � ��������¥�������������������§�¥��¨��£�¡
�������
� ����������� ��� ¡���¥¦�������¦����¡�£¦¥�¡�� � ���
������¡���¥������������ ���¤������������������� ����������¡�£
� ��¡�� © ��£�����¡�����¡¤£¦¥¦£�� � ¡������ © � £�������¡�����¡���¥���¥�¡�����¡ � �
�
� � � ������¡�������������� �����������������
�������������
� ������¡�������������� �����������������
��������¡�£������
�����¤£����¦��§�¥¦������¥�¡����¦�������
� ��¥�������¥�������������� �����������������
��£
��������� ��¡¤£���¡�£¦����¡¤£¦¥���������¥�����¥���� � � � � � ��¡¤£���¡¤£������
��¡�£���¡¤£�����¥�¡�����£¦����¥��
¡¤£��¦��� � © � �¦�¦¡ ��� ������������������¡�¥¦£����¦����¡¤����¡¤���¨� � £
�����¤£¦����¥�¡������ � ¡�������¥�¡�� ��������� ����¥�¡����¦������¥�¡���� � ¡¤£��¦��� � © � �¦�¦¡ ��� ��� �
��¡¤¥��¦������¡¤������¥�¡����¦�������
��������� ��¡¤£���¡�£¦����¡¤£¦¥���������¥�����¥ � � � � � � � ��¡¤£���¡¤£������
��¡�£���¡¤£�����¥�¡�����£¦����¥��
In der Microsoft-Dokumentation (s.o.) steht, daß für den Einsatz von Zertifikaten im Zusammenhang
mit Microsofts „Authenticode“ nur der Wert codeSigning für Extended Key Usage angegeben
sein darf. Ebenfalls in dieser Dokumentation steht, daß die Gültigkeit von Extended Key
Usage im Anwendungszertifikat nur gegeben ist, wenn sämtliche Zertifikate der Zertifikatkette diese
Extension enthalten. Ist die Extension dagegen garnicht enthalten, sollen MS-Anwendungen das
Zertifikat für jeden durch Key Usage beschriebenen Zweck als gültig interpretieren.
Auch Netscape scheint das Setzen der Extension in allen Zertifikaten der Kette zu unterstützen. Es
scheint aber doch fraglich, wieviel Sinn es beispielsweise macht, in einen CA-Zertifikat Extended
Key Usage auf email zu setzen, damit die Extension in einem Anwendungszertifikat gültig ist. Die
Empfehlungen von Netscape für diese Extension können im Installation and Deployment Guide 7 ,
Appendix B, nachgelesen werden.
Zu Netscapes bzw. Microsofts SGC (“Server Gated Cryptography”) ist anzumerken, daß die Verwendung
dieser Werte nur im Zusammenhang mit speziellen CA-Zertifikaten sinnvoll ist. Diese
CA-Zertifikate werden durch ein Flag im Browser als für SGC geeignet gekennzeichnet. Ein eigenes
CA-Zertifikat kann nur nach Import in den Browser und anschließendem Patchen der Zertifikat-
Datenbank (Netscape) mit diesem Flag ausgestattet werden. Genaueres steht in der Datei READ-
ME.GlobalID des SSL-Apache-Pakets 8 .
Eine Empfehlung für die Werte dieser Extension ist nur schwer zu geben, gerade wegen der MS-
Forderung, daß die Extension in allen Zertifikaten der Kette enthalten sein muß. Am sinnvollsten
scheint es zu sein, ganz auf diese Extension zu verzichten.
7 http://developer.netscape.com/docs/manuals/cms/41/dep_gide/ext.htm
8 http://www.modssl.org/