Teil I Aufbau und Betrieb einer Zertifizierungsinstanz - DFN-CERT

14 Kapitel 2. Theoretische Grundlagen
Die Zertifikat-Sperrlisten werden ganz analog zu den genannten Beispielen aus dem Geschäftsleben
verwendet: Jemand, der sich auf ein Zertifikat zur Authentifizierung eines öffentlichen Schlüssels
verläßt, sollte zuvor unbedingt auch die entsprechende Widerrufsliste des betreffenden Zertifikatausstellers
konsultieren und sich vergewissern, daß das fragliche Zertifikat dort nicht aufgeführt,
also gesperrt wurde.
Sperrlisten haben unter anderem den Nachteil, daß sie immer eine gewisse zeitliche „Unschärfe“
aufweisen: Ein Dritter, der sich auf ein Zertifikat verlassen will, muß u.U. das Erscheinen der nächsten
Ausgabe der betreffenden Sperrliste abwarten, um ganz sicher gehen zu können, daß das Zertifikat
nicht in der Zeit seit dem Erscheinen der vorigen Widerrufsliste gesperrt wurde. Als eine
Ergänzung bzw. eine Alternative zu Sperrlisten, die diesen Nachteil vermeidet, wurde daher das
Verfahren erdacht, den Widerrufsstatus eines Zertifikates online genau in dem Moment abzufragen,
in dem der Schlüssel aus dem Zertifikat verwendet werden soll. Für diese Anfrage wird die
Seriennummer des fraglichen Zertifikates an die Anfrage-Schnittstelle der Zertifizierungsinstanz
übermittelt, die daraufhin als Antwort „gültig“ oder „ungültig“ liefert. Die IETF hat ein entsprechendes
Verfahren für derartige Status-Abfragen in ihrem RFC 2560 X.509 Internet Public Key
Infrastructure, Online Certificate Status Protocol – OCSP [AAG 99] beschrieben.
2.6 Zertifizierungsrichtlinien („Policy“)
„Das Problem der Zertifizierung öffentlicher Schlüssel läßt sich in folgenden Fragen zusam-
menfassen: Wer zertifiziert? Wer zertifiziert den Zertifizierer? Nach welchen Regeln und Richt-
linien wird zertifiziert? Was wird zertifiziert? – Auf jeden Fall die Bindung zwischen Person,
Name und Schlüssel. Aber auch die Qualität der Schlüssel, die zugehörige Zertifizierungskette,
die Zertifizierungsregeln? Der soziale Bezug, Rollen und Zugriffsrechte? Welche Dienste ge-
hören zu einer Zertifizierung? Auch die Schlüsselgeneration? [Die] Rekonstruktion verlorener
Schlüssel (und wie das)? Widerruf mißbrauchter oder verlorener Schlüssel? Speicherung von
Schlüsseln? Ausgabe von Chipkarten mit geheimen Schlüsseln? Welche Garantien gibt eine
Zertifizierung? Welche Haftung?“ [Gri95, S. 121]
Antworten auf alle oder wenigstens die meisten dieser Fragen sollten für eine bestimmte Zertifizierungsstelle
deren Zertifizierungsrichtlinien (die sogenannte Policy, international oft auch Certification
Practice Statement, CPS) geben.
2.6.1 Zweck einer Policy
Eine nachvollziehbare und nach festgelegten Regeln erfolgende Zertifizierung ist es ja gerade, die
eine CA von einem beliebigen, unbekannten Zertifizierer unterscheidet. Das Arbeiten nach selbstgesetzten
(oder von außen – z.B. durch Gesetze oder Selbstverpflichtungen einer Branche – vorgegebenen),
offengelegten Regeln ermöglicht es einem Dritten, der ein Zertifikat nutzen will, erst,
die Glaubwürdigkeit und Verläßlichkeit des Zertifizierers einzuschätzen und sich zu entscheiden,
inwieweit er dessen Aussage vertrauen will bzw. kann.