Aufbau der Certificate Chain:<\/strong><\/p>\n a) Sammeln der Zertifikate f\u00fcr die Kette<\/span><\/p>\n F\u00fcr eine erfolgreiche Zertifikatvalidierung muss sich jedes CA-Zertifikat der zugeh\u00f6rigen Zertifikatkette (von der ausstellenden CA bis zur Root CA) im Zertifikats-Store oder Cache des Clients befinden.<\/p>\n Um die Zertifikate im Cache aufzufinden und in die richtige Ordnung zu bringen, nutzt der Client den Umstand, dass jedes ausgestellte X.509 Zertifikat immer einen Verweis auf die \u00fcbergeordnete Zertifizierungsstelle hat.<\/p>\n Der Client beginnt dann beim zu validierenden Endanwender-Zertifikat und verwendet – je nachdem welche Extensions<\/em> im Zertifikat bef\u00fcllt sind \u2013 nacheinander verschiedene Abgleichverfahren, die in ihrer Exaktheit differieren, um jeweils das n\u00e4chste \u00fcbergeordnete Zertifikat zu ermitteln<\/p>\n Falls alle Abgleichmethoden fehlschlagen, um das entsprechende Zertifikat am Client zu finden, wird versucht, \u00fcber die URL (FTP, http, LDAP etc.), die in der Authority Information Access (AIA) Extension <\/em>hinterlegt ist, online die fehlenden Zertifikate in den Cache herunterzuladen. Wenn auch auf diesem Weg keine entsprechenden Zertifikate gefunden werden, schl\u00e4gt die Validierung fehl und das Zertifikat wird als unsicher eingestuft.<\/p>\n Siehe auch Zertifikatverkettung und Validierung im Detail<\/a><\/p>\n b) Finden der vertrauensw\u00fcrdigen CA<\/span><\/p>\n Andernfalls geht der Certificate Chaining Prozess nun \u00fcber die erstellte Zertifikatkette immer solange eine CA Ebene nach oben, bis ein Root- oder Intermediate CA Zertifikat in der Kette gefunden wird, das sich in der Liste der vertrauensw\u00fcrdigen Zertifizierungsstellen der Anwendung befindet.<\/p>\n Wurde ein solcher Trust Anchor <\/em>gefunden \u2013 so wird der Chain Validation Process gestartet. Ist dies dagegen nicht der Fall, so wird das Zertifikat als nicht vertrauensw\u00fcrdig eingestuft.<\/p>\n Chain Validation:<\/strong><\/p>\n Nun wird vom gefundenen Trust Anchor aus die Zertifikatskette in \u00a0entgegengesetzter Richtung durchlaufen, wobei f\u00fcr jedes Zertifikat folgende Punkte gepr\u00fcft werden:<\/p>\n Anm.: Alle seit dem letzten Reboot durchgef\u00fchrten Verkettungsprozesse werden im Cache hinterlegt und m\u00fcssen nicht jedes Mal neu durchgef\u00fchrt werden.<\/p>\n Vgl. De Clercq, Jan et al.: \u201eA Guide to Windows Certification & Public Keys\u201c, S.27-30. Eine Anwendung muss zun\u00e4chst die G\u00fcltigkeit eines Zertifikats (meist mit Hilfe der Crypto-API des Betriebssystems) genau pr\u00fcfen, bevor sie es sicher verwenden kann. Der Prozess der Zertifikatsverkettungspr\u00fcfung wird \u00a0dabei in zwei Teilen- durchgef\u00fchrt Aufbau der Certificate Chain und Validierung der … Weiterlesen \n
![\"AufbauDerCertificateChain\"](\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/AufbauDerCertificateChain1.jpg\" "\\"AufbauDerCertificateChain\\"")
<\/a><\/p>\n![\"FindenTrustAnchorChainValidation\"](\"http:\/\/lkl-it.de\/blog\/wp-content\/uploads\/FindenTrustAnchorChainValidation.jpg\" "\\"FindenTrustAnchorChainValidation\\"")
Achtung f\u00fcr viele Chaining Implementierungen kann der Trust Anchor nur eine Root CA sein, daher ein Trust Anchor wie in der Grafik auf der Intermediate CA w\u00e4re dann nicht m\u00f6glich – dem Endzertifikat w\u00fcrde nicht vertraut!<\/span><\/p>\n\n
\n Guide to Windows Certification & Public Keys<\/a>
\nVgl. Microsoft Corporation: \u201eImplementieren und Verwalten der Sicherheit in einem Microsoft Windows 2003 Netzwerk (MOC 2238)\u201c, S.2-34\/2-35.<\/p>\n","protected":false},"excerpt":{"rendered":"