Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

166 Kapitel 12. Testbericht: Praxis-Erfahrungen
Zertifikatketten, greifen auf diese Pfade zu. Das erschwert die Verwaltung von mehreren unabhängigen
Zertifikatverzeichnissen oder die Änderung dieses Verzeichnisses.
Ansonsten ist die Verwaltung von Zertifikaten und der Betrieb einer CA mit OpenSSL gut möglich.
An einigen Stellen ist allerdings Handarbeit notwendig, die aber auch teilweise als Cron-Job mit
Hilfe von Skripten erledigt werden kann. Dazu zählen folgende Punkte:
Neu herausgegebene Zertifikate müssen über ihren Hash-Wert „verlinkt“ werden.
Es gibt keinen Automatismus, der die Indexdatei auf abgelaufene Zertifikate überprüft und
Einträge entsprechend markiert.
12.2 Zertifikate und Browser
Durch die OpenSSL-Applikation pkcs12 können Anwendungs- und CA-Zertifikate in die Browser
importiert werden. Das Programm arbeitet nur mit dem Navigator ab Vers. 4.04 und dem Explorer
ab Vers. 4.0 zusammen. Für ältere Browser-Versionen muß das PFX-Programm (siehe Kapitel 13.1)
verwendet werden. Außerdem ist es möglich, Benutzerzertifikate mit Schlüssellängen bis zu 2048
Bit als .p12-Datei in eine Export-Version des Navigators 4.x zu laden. Da die USA die Export-
Beschränken für Kryptosoftware gelockert haben, sollten in Kürze Browser-Versionen zur Verfügung
stehen, bei denen diese workarounds nicht mehr erforderlich sind, um mit starken Schlüssellänge
arbeiten zu können.
PKCS-12 ist ein Standard, der ein Format beschreibt, in dem Zertifikate und Schlüssel außerhalb
von Anwendungen gespeichert werden können. Zertifikate und Schlüssel, die in diesem Format vorliegen,
können dann von verschiedenen Anwendungen gelesen bzw. in diesem Format geschrieben
(exportiert) werden.
Neben dem Import von Zertifikaten besteht auch die Möglichkeit, das aus den Browser im PKCS-
12-Format exportierte Zertifikate für OpenSSL verfügbar zu machen.
12.2.1 Export aus dem Browser
Um beispielsweise ein mittels der Netscape Export-Funktion aus dem Browser exportiertes Zertifikat
cert.p12 für OpenSSL zugänglich zu machen, ist folgender Befehl notwendig:
pkcs12 -in cert.p12 -out cert.pem [-des3 -des -idea]
Es wird nach einem Import-Paßwort gefragt; es ist das Paßwort, das beim Zertifikat-Export mit Netscape
angegeben werden mußte und mit dem cert.p12 verschlüsselt wurde. Die Optionen -des3,
-des, bzw. -idea geben an, ob und wie das Zertifikat und der Schlüssel, welche sich nach Ausführung
des obigen Kommandos in cert.p12 befinden, verschlüsselt werden sollen. Es wird dazu
wieder nach einem Paßwort gefragt.