Public-Key-Infrastrukturen - Kryptografie - page 507

■ Jedes Schlüsselpaar soll spätestens nach zwei Jahren durch ein neues ersetzt

werden.

■ Wenn ein Mitarbeiter das Unternehmen verlässt, dann soll dessen öffentlicher

Schlüssel gesperrt werden.

All diese Probleme können von Krypt & Co. nur dann gelöst werden, wenn es eine
Möglichkeit gibt, bestimmte Vorgehensweisen durchzusetzen. Diese Vorgehens-
weisen fasst man unter dem Begriff Policy zusammen. Das Problem hierbei ist, dass
man einem öffentlichen Schlüssel nicht ansieht, welche Policy für ihn gültig ist.

26.2 Digitale Zertifikate

Die vier genannten Probleme haben alle damit zu tun, dass Bobs öffentlicher
Schlüssel nur eine Bit-Folge ist, die keine zusätzlichen Informationen enthält. Um
diesem Mangel abzuhelfen, kann man eine Datenstruktur einführen, die Bobs
Schlüssel sowie Bobs Name beinhaltet und die außerdem digital signiert ist. Einen
signierten Datensatz mit diesen Eigenschaften wird digitales Zertifikat (oder auch
nur Zertifikat ) genannt. Das Signieren eines Zertifikats wird als Zertifizieren
bezeichnet. Neben Name und Schlüssel kann ein Zertifikat noch weitere Infor-
mationen enthalten: etwa eine Gültigkeitsdauer, eine Seriennummer und Anga-
ben über den Verwendungszweck des öffentlichen Schlüssels. Die Signatur in
einem digitalen Zertifikat bezieht sich immer auf alle darin enthaltenen Angaben.
Eine wichtige Frage bei einem digitalen Zertifikat lautet, wer ein solches
signiert (wer also die Zertifizierung durchführt). Die naheliegendste Möglichkeit
besteht darin, dass eine unabhängige Instanz eingerichtet wird, die diese Aufgabe
übernimmt. Eine solche Instanz wird Zertifizierungsstelle oder Certification
Authority (CA) genannt. Wenn in einem Unternehmen Public-Key-Verfahren ein-
gesetzt werden sollen, dann bietet es sich an, die CA durch die IT-Abteilung betrei-
ben zu lassen. Es ist jedoch auch möglich, dass etwa eine Behörde als CA-Betreiber
auftritt oder dass ein Unternehmen die Dienste einer CA am Markt anbietet.
Einen Sinn hat eine CA nur dann, wenn Alice und Bob in der Lage sind, deren
Signaturen zu verifizieren (auf jedem Zertifikat befindet sich schließlich eine sol-
che). Zu diesem Zweck müssen Alice und Bob den öffentlichen Schlüssel der CA
kennen. Nun stellen sich jedoch genau dieselben Fragen, die wir eingangs schon
behandelt haben: Woher wissen Alice und Bob, ob es der richtige CA-Schlüssel
ist? Woher wissen sie, ob er nicht gesperrt wurde? Ist die Gültigkeitsdauer des
CA-Schlüssels schon abgelaufen? Diese Fragen lassen sich beantworten, wenn
auch der öffentliche Schlüssel der CA in ein digitales Zertifikat gefasst wird. Dies
ist auch eine durchaus übliche Vorgehensweise, wie wir noch sehen werden (man
spricht dann von einem CA-Zertifikat ). Allerdings verschieben sich die genannten
Probleme dadurch nur auf diejenige CA, die das CA-Zertifikat signiert hat.
Es bleibt daher nichts anderes übrig, als den öffentlichen Schlüssel einer CA
Alice und Bob persönlich oder mit geeigneten Sicherheitsmaßnahmen über das