Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

2.5. Widerrufslisten 13
Algorithmus, der zum Signieren des Zertifikates benutzt wurde
Algorithmus und Parameter, mit denen der zertifizierte Schlüssel benutzt werden soll
Angaben, zu welchen Zwecken der zertifizierte Schlüssel eingesetzt werden darf
Gültigkeitsdauer bzw. frühestes Gültigkeitsdatum sowie Verfallsdatum des Zertifikates
zusätzliche Angaben über den Zertifikatnehmer, z.B. zu dessen Beruf, Qualifikation, Zulassungen
usw.
Haftungsbeschränkungen oder -obergrenzen
Alternative Namen oder Kommunikationsadressen des Zertifikatausstellers
Alternative Namen oder Kommunikationsadressen des Zertifikatnehmers
Verweise auf Zertifikate für den Unterschriftenschlüssel des Ausstellers
Verweise auf Sperrlisten (siehe 2.5), auf denen dieses Zertifikat gegebenenfalls geführt wird
Verweise auf Möglichkeiten zur Online-Abfrage des Zertifikatstatus’
Konkrete Beispiele verbreiteter Zertifikat-Formate werden im nächsten Kapitel in Abschnitt 3.1
vorgestellt.
2.5 Widerrufslisten
Es sind Situationen denkbar, in denen ein Zertifikataussteller noch während der Gültigkeitsdauer eines
von ihm ausgestellten Zertifikates die darin gegebene Bestätigung für ungültig erklären möchte,
beispielsweise weil im Nachhinein bekannt wurde, daß das Zertifikat vom Zertifikatnehmer unter
Angabe falscher Daten (Name usw.) erschlichen wurde oder weil der zum zertifizierten öffentlichen
Schlüssel gehörende geheime Schlüssel einem Angreifer in die Hände gefallen („kompromittiert“)
ist. Zu diesem Zweck werden Zertifikat-Widerrufslisten verwendet (certificate revocation
lists, CRLs), auch ‘Sperrlisten’ genannt. Auf ihnen werden üblicherweise die Seriennummern derjenigen
Zertifikate einer Zertifizierungsinstanz aufgeführt, die für ungültig erklärt werden und deren
regulärer, im Zertifikat angegebener Gültigkeitszeitraum noch nicht abgelaufen ist. (Nach Ablauf
dieses Zeitraumes besitzt das Zertifikat in jedem Fall keine Gültigkeit mehr und muß daher auch
nicht weiter auf der Sperrliste geführt werden.)
Diese Sperrlisten werden, genau wie die Zertifikate, von der ausgebenden Stelle digital signiert, um
Verfälschungen erkennen zu können. In der Regel enthalten sie zusätzlich einen Zeitstempel und
eine Angabe, wann die nächste Aktualisierung dieser Sperrliste stattfindet. (Anhand dieser Daten
läßt sich gegebenenfalls erkennen, ob eine veraltete Version der Liste vorliegt.)
Vergleichen lassen sich solche Sperrlisten am ehesten mit den Listen mit Seriennummern gestohlener
oder in Lösegeldzahlungen verwendeter Geldscheine oder mit Listen der Nummern gestohlener
und deshalb gesperrter Sparbücher, Schecks oder Kreditkarten.