Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

12.4. Zertifikate und CRLs mit Microsoft Browser 171
Der Browser (Vers. 4.03) lädt das CRL-Binary nicht als CRL, sondern als Text mit entsprechend
kryptischen Zeichen im Browser-Fenster.
Wurde eine CRL, die ein widerrufenes SSL-Server Zertifikat enthielt, in einen Browser der Vers.
4.05 gebracht, wird anschließend eine Verbindung zu dem entsprechenden SSL-Server verweigert.
Allerdings mit einer wenig hilfreichen Meldung der Art „Es gibt Schwierigkeiten...“
Der Browser gibt folgende Meldung aus, wenn der Gültigkeitszeitraum einer schon geladenen CRL
überschritten ist:
Abb. 12.2: Netscape-Fehlermeldung: überschrittene Gültigkeitsdauer einer CRL
Es muß dann zunächst die aktuelle CRL geladen werden, bevor erneut eine Verbindung aufgebaut
werden kann.
12.4 Zertifikate und CRLs mit Microsoft Browser
Der Internet Explorer (MSIE) unterstützt u.a. die Standard X509v3-Attribute wie Basic Constraints
und Key Usage (siehe jedoch Zertifizieren (10.3)). Um ein CA-Zertifikat für den MSIE als solches
zu kennzeichnen, muß das „CA-Bit“ in Form von Basic Constraints gesetzt werden. Außerdem kann
über Key Usage die Verwendung des Zertifikats eingeschränkt werden. Der Browser interpretiert
laut MS-Dokumentation Key Usage immer, egal ob Critical oder nicht.
Die von HENSON geschilderten Probleme mit Critical Extensions scheinen zumindest für MS Outlook
Express 5 nicht mehr zu gelten. Eine Zertifikat-Kette mit Critical gesetzten Basic Constraints
ließ sich problemlos importieren.
Die folgende Angaben beziehen sich hauptsächlich auf den MSIE 4.0 und zum Teil auf Version 5.x.
Es ist dabei zu berücksichtigen, daß sich das Verhalten der Browsers unter Windows NT in Abhängigkeit
vom installierten Servicepack ändern kann. Gleiches gilt vermutlich auch für Windows
9x.
12.4.1 Zertifikate
Root-CA-Zertifikate können über einen Web-Server als MIME-Type application/x-x509ca-cert
gesendet werden (s.o. (12.3.1)). Sie werden als CA-Zertifikate für „Netzwerk-Client-“,
„Netzwerk-Server-Authentifikation“, „Sichere-E-Mail“ und „Software-Herausgeber“ akzeptiert. Es