Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

2.3. Zertifizierungsstellen 11
“The introduction of a CA reduces the problem of authentic user public key distribution to the
problem of authentic distribution of the CA’s public key, at the expense of a trusted center (the
CA).” [ISO]
Eine Zertifizierungsstelle – synonym wird auch der Begriff ‘Zertifizierungsinstanz’ verwendet –
stellt digitale Bestätigungen (Zertifikate, siehe 2.4) aus. In ihnen bestätigt sie mit ihrer digitalen
Signatur die Bindung eines bestimmten Public-Keys (und damit implizit auch des zugehörigen
Private-Keys) an eine Person, Institution oder Instanz (die beispielsweise auch ein Rechner sein
kann), die in dem Zertifikat namentlich benannt wird. Die Zertifizierungsstelle bietet damit also
einen Dienst ganz ähnlich einer notariellen Beglaubigung dafür, daß ein bestimmter Public-Key
und eine bestimmte Person zusammengehören.
Es wird dadurch eine Komplexitätsreduktion möglich: statt vieler individueller Public-Keys muß
nur noch der öffentliche Schlüssel der Zertifizierungsstelle authentisch verteilt werden. Liegt er
einer Person vor, kann diese mit seiner Hilfe die digitalen Unterschriften der Zertifizierungsstelle
unter jedem der von ihr ausgestellten Zertifikate überprüfen und sich damit der Echtheit und Unverfälschtheit
aller von ihr ausgestellten Zertifikate vergewissern. Stimmt die Unterschrift, dann kann
aus dem betreffenden Zertifikat der öffentliche Schlüssel der darin genannten Person abgelesen
werden. Allerdings muß man dafür dem Aussteller des Zertifikates, also der betreffenden CA, dahingehend
vertrauen, daß sie immer korrekt zertifiziert und keine falschen Bestätigungen ausstellt.
Hat man dieses Vertrauen in die Arbeit der CA nicht, so bringt die Verschiebung des Schlüsselverteilproblems
auf den CA-Schlüssel keinen wirklichen Vorteil.
Sehr wichtig, ja geradezu essentiell für die Arbeit einer Zertifizierungsstelle ist also ihre Glaubwürdigkeit
bei möglichst vielen Nutzern. Nur wenn die Anwender bereit sind, sich auf die Bestätigung
eines fremden öffentlichen Schlüssels durch die betreffende CA zu verlassen, hat diese eine Arbeitsgrundlage.
Also muß es im Interesse der Zertifizierungsstelle sein, alles zu tun, um sich ihre
entsprechende Reputation zu erhalten – oder eine solche gegebenenfalls auch erst zu erarbeiten
(siehe dazu auch 4.16.2).
Im einzelnen läßt sich der Vorgang der Public-Key-Zertifizierung durch eine Zertifizierungsstelle in
die folgenden Teilschritte gliedern:
Erzeugung eines Schlüsselpaares (beim Zertifikatnehmer selbst oder in der Zertifizierungsstelle)
Registrierung und Identifizierung des Zertifikatnehmers direkt bei der CA oder in einer Außenstelle
von ihr (im letzteren Fall spricht man auch von einer Registrierungsstelle, registration
authority, RA), ggf. erfolgt dort auch die Übergabe einer Kopie des öffentlichen Schlüssels
vom Zertifikatnehmer an die CA/RA
gegebenenfalls: Übermittlung der Daten aus dem Zertifizierungsantrag von der RA an die
Zertifizierungsstelle
Zertifizierung des Schlüssels (sofern alle Voraussetzungen dafür wie Schlüssellänge, eindeutiger
Name des Schlüsselinhabers usw., erfüllt sind)
Aushändigung oder Übermittlung des Zertifikates an den Schlüsselinhaber