Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

8.11. Netscape Certificate Extensions 149
Name (siehe 8.7) verwendet werden können, auch hier einsetzbar. OpenSSL unterstützt allerdings
bisher nur die Verwendung eines URIs. Dieser muß aus der absoluten Adresse der CRL bestehen.
(Siehe RFC 2459 [FHPS99] oder die Beispiel-Konfigurationsdatei im Anhang E.)
In der Konfigurationsdatei:
crlDistributionPoints=URI:http://www.ca.de/ca1.crl [,
URI:http://www.ca.de/ca2.crl ... ]
8.11 Netscape Certificate Extensions
Zu den Netscape Certificate Extensions 9 ist anzumerken, daß diese nicht Critical gesetzt werden
sollten. Ein SSL-Server-Zertifikat, in dem beispielsweise das Netscape-SSL-Server-Bit (nsCert-
Type=critical,server) Critical gesetzt ist, wird von einem Microsoft-Browser (der diese
Extension nicht kennt) zurückgewiesen werden. Ein solches Server-Zertifikat würde also eine SSL-
Verbindung von Microsoft-Clients zum Server ausschließen.
Folgende Netscape-Erweiterungen werden von OpenSSL-0.9.5-dev unterstützt (die Schlüsselwörter
für die OpenSSL-Konfigurationsdatei stehen in Klammern):
netscape-cert-type (nsCertType)
netscape-base-url (nsBaseUrl)
netscape-revocation-url (nsRevocationUrl)
netscape-ca-revocation-url (nsCaRevocationUrl)
netscape-cert-renewal-url (nsRenewalUrl)
netscape-ca-policy-url (nsCaPolicyUrl)
netscape-ssl-server-name (nsSslServerName)
netscape-comment (nsComment)
Wichtig ist die Erweiterung Netscape Cert Type, um für die mit OpenSSL erzeugten Zertifikate
den Verwendungszweck (zumindest für Netscape-Browser) zu beeinflussen. Der Internet-Explorer
scheint die Netscape-Extensions zu ignorieren. Für die Erweiterung Netscape Cert Type stehen die
folgenden acht Werte für das Schlüsselwort nsCertType in der Konfigurationsdatei zur Verfügung:
9 http://home.netscape.com/eng/security/certs.html