Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

12.2. Zertifikate und Browser 167
12.2.2 Import in den Browser
Um ein Zertifikat in ein vom Browser importierbares Format zu wandeln:
pkcs12 -export -name Listbox-Name -in cert.pem -inkey key.pem
-out file.p12
Listbox-Name ist der Bezeichner, unter dem das importierte Zertifikat später in einer der Security-
Rubriken des Browsers geführt werden soll. Nach dem die Datei file.p12 erzeugt wurde, kann sie
über die Import-Funktion der Browser importiert werden.
Zusammen mit einem Benutzer-Zertifikat können auch CA-Zertifikate in einen Browser importiert
werden. Dazu werden Benutzer-Zertifikat und die CA-Zertifikate durch das pkcs12-Kommando in
eine Datei geschrieben. Das folgende Kommando funktioniert allerdings nur, wenn das Verzeichnis
ssl/certs unterhalb des Pfades, der bei der Konfiguration des Paketes (siehe 7.2.3) angegeben
wurde, vorliegt. Der Pfad ist in die Bibliothek libcrypto.a einkompiliert und kann nicht geändert
werden. Es müssen alle CA-Zertifikate der Kette (auch das Root-Zertifikat) im Verzeichnis
ssl/certs vorliegen und über ihre Hash-Werte (siehe oben (10.3)) verlinkt sein.
Um eine Zertifikat-Kette in ein vom Browser importierbares Format zu wandeln:
pkcs12 -chain -export -name Listbox-Name -in cert.pem -inkey
key.pem -out file.p12
Sollen die CAs der Zertifikatkette ebenfalls eine Bezeichnung bekommen, kann dazu die Option
-caname "CA Name", auch mehrfach, verwendet werden. Damit die Zuordnung der Bezeichner
zu den CAs stimmt, müssen als erstes der Bezeichner für die Root-CA und die nächsten Bezeichner
entsprechend der Kette aufgeführt werden. Dieser sogenannte „Friendly Name“ für CA-Zertifikate
wird von Microsoft-Produkten unterstützt.
Statt mit der Option -chain kann ein CA-Zertifikat über die Option -certfile cacerts.pem
angegeben werden. Sollen es mehrere sein, werden sie mit in die Datei geschrieben, z.B. durch
folgendes Kommando:
cat ca1.pem ca2.pem ca3.pem
cacerts.pem
Nachdem die .p12-Datei erzeugt wurde, kann das Benutzer-Zertifikat in den Browser importiert
werden (und damit zugleich auch die CA-Zertifikate). Das Benutzer-Zertifikat kommt in die Rubrik
„Security/Yours“ und die CA-Zertifikate nach „Security/Signers“. Für die CA-Zertifikate muß dann
mittels des „Edit“-Buttons im NSC noch mitgeteilt werden, wofür sie jeweils gültig sein sollen. Es
gibt drei Alternativen zur Auswahl: Zertifizierung von SSL-Servern, von E-Mail-Benutzern oder
von Software-Entwicklern. Diese Auswahl gilt auch für Wurzel-Zertifikate, die nur untergeordnete
CAs signieren, wobei dann die Auswahl inhaltlich wenig Sinn macht. Wenn das Wurzel-Zertifikat
für einen Verwendungszweck als gültig akzeptiert wurde, muß eine Auswahl für untergeordnete
CAs nicht mehr getroffen werden, auch wenn es hier u.U. Sinn machen würde. Erst nach Auswahl
des Verwendungszwecks verläuft eine Überprüfung des Benutzer-Zertifikats erfolgreich.