Informationen, Tipps und Anbieter rund um das Thema X.509 - Zertifikate:
Wozu benötigen wir X.509 - Zertifikate? Zertifikate kommen bei SSL-verschlüsselten Webseitenaufrufen (https), beim digitalen Unterschrieben und Verschlüsseln von Daten, APPs und Treibern sowie bei Emails nach S/MIME-Standard zum Einsatz.
Sie stellen die Identität einer Person sicher (z. B. mit Anschrift, Email und Organisation) und sind so vergleichbar mit einem Personalausweis. X.509 spezifiziert dabei einen Bestandteil der "Public-Key-Infrastruktur". In der Regel werden Zertifikate von einer vertrauenswürdigen Zertifizierungsstelle CA (Certificate Authoriy) ausgestellt und verteilt oder gesperrt. Eine Liste aller CAs wird unter anderen bei den Webbrowsern oder vom Betriebsystem gepflegt, die damit die Gültigkeit von Webseiten oder APPs basierend auf dem Zertifikat bestätigen können. Zertifikate sind i.d.R. auf eine gewissse Laufzeit gebunden (z. B. 2 Jahre).
Heutezutage werden Zertifikate sehr stark für die Signatur (digitale Unterschrift) von Dokumenten, Webseiten und APPs verwendet. Viele haben schon nach dem Download und Start von APPs den Windows-UAC-Dialog gesehen, indem unter anderen der Hersteller genannt oder als unbekannt bezeichnet wird. Unbekannt bedeutet dabei, dass das Programm NICHT digital signiert wurde und somit der Hersteller nicht sicher festgestellt werden kann. APPs ohne digitale Signatur können somit Schadcode enthalten, ohne dass der Verursacher ausfindig gemacht werden kann. Anders sieht es bei digital signierten APPs aus, bei denen der Anwender i.d.R. den Hersteller eindeutig identifizieren und im Fall von Schadcode auch haftbar machen kann. Im Onlinezeitalter können auf diese Art und Weise auch Dokumente elektronisch unterschrieben werden. Im Rahmen der digitalen signatur wird über das Dokument oder APP ein Hashwert ermittelt, der das Dokument oder APP eindeutig kennzeichnet. und mittels eines Hashverfahrens auch gegen Veränderung geschützt werden. Das heißt, dass ein Dokument oder APP nach der Signatur nicht mehr geändert werden kann ohne die signatur ungültig zu machen. Ferner wird während der Signatur i.d.R. noch ein Zeitstempel eingebracht, der gleichfalls unveränderlich ist.
Die gesammte Sicherheit dabei liegt jedoch auf den Bestriebsysteminternen oder Browserinternen Zertifikatsaussteller, die für die Verifikation und Prüfung der Gültigkeit notwendig sind. Hier liegt auch der Gefahrenpunkt, dass sogenannte selbstsignierte Zertifikate über Webseiten oder APPs eingebracht und später von Windows als gültig ausgegegen werden. Alleine diese Gefahr setzt den grundsätzlich guten Sicherheitsgedanken von Zertifikate ausser Kraft. Dem Windowsnutzer wird aber nach wie vor vorgeaukelt, dass das System sicher ist und er als gültig signierte APPs bedenkenlos ausführen kann. Anbieter und Entwickler von Software müssen dafür den CAs für eine öffentlich gültige Signatur jährlich viel Geld bezahlen, damit Windows diese als gültig verifiziert anzeigt. Andere Hersteller und Entwickler umgehen das sinnlos kostspielige System und nutzen direkt kostenlos selbstsignierte Zertifikate. Sicherheit mit kostspieligen Zertifikaten bereichern nur die CAs und bringen dem Nutzer keinen Mehrwert. Zusammenfassend kann man über X.509 - Zertifikate sagen:
Zerifikate finden sich heute schon oft auf diversen Prozessor-Chipkarten, Personalausweis und werden von der Steuerbehörde zum Unterzeichnen der Steuererklärung (meist als kleine Datei) ausgegeben. Zertifikate können offiziell meist kostenpflichtig bei Certificate Authority's (CAs) für diverse Zwecke beantragt werden. Schlussendlich kann man sich mit entsprechender Software auch ein selbstsigniertes Zertifikat erstellen.
Selbstsignierte Zertifikate zum privaten Verschlüsseln und Signieren kann man beispielsweise mit der Freeware abylon SELFCERT erstellen. Für die meisten privaten Einsatzgebiete reichen kostenlose selbstsignierte Zertifikate aus. Alle anderen Modelle sind mit ihrem Einsatz auf einen engen Bereich beschränkt und / oder mit einer jährlichen Gebühr belegt.
Zertifikate unter Windows werden in der Zertifikatsdatenbank abgelegt. Dabei sind diese in unterschiedliche Speicher unterteil:
Vorliegende Zertifikate (z. B. von einer CA oder mit abylon SELFCERT erstellt) können manuell in der Windows Zertifikatsdatenbank installiert werden. Eine Anleitung ist in den Tutorials von abylonsoft zu finden.
Hier sollen kurz die Vor- und Nachteile von selbstsignierten Zertifikaten gegenüber öffentlichen und meist kostenpflichtigen Zertifikaten gezeigt werden.
Der Ansatz mit Hilfe von X.509 - Zertifikaten die Sicherheit für die Anwender zu erhöhen war gut. Leider wurde bei dem ganzen nie der Ansatz der Sicherheit wirklich schlüssig durchgezogen. Viel mehr stehen heute rein kommerzielle Intressen der Anbieter im Vordergrund, die auf gut Deutsch die Lizenz zum Geld drucken erhalten haben. Die Kosten / Gebühr für ein X.509 - Zertifikat stehen nicht mal ansatzweise zum Aufwand der Erstellung.
Darauf wurde bereits schon weiter oben kurz eingegangen. Im Internet kommen verschiedene Protokollformen für die sichere Übertragung zum Einsatz. Im Grunde dient das X.509 - Zertifikat nur der digitalen Identifikation und damit der Möglichkeit digital Dokumente oder APPs zu unterschreiben (signieren) und / oder Datenübertragungen zu verschlüsseln. Hier ein paar Einsatzgebiete:
Der Grundgedanke und auch stellenweise der Einsatz von Zertifikaten ist gut. Leider wird das ganze nur noch kommerziell ausgeschlachtet und dem Verbraucher als "sicher" verkauft. Die Sicherheit für einen Windows-PC wird damit nicht erhöht. Nicht zu letzt liegt es daran, dass viele Nutzer mit den Zertifikats-Bestätigungs-Dialogen unter Windows nichts anfangen können und im Normalfall einfach OK klicken. Es gibt Webseiten, die ihr selbstsigniertes Zertifikat beim Nutzer eintragen wollen und solange der Anwender "ABBRUCH" wählt, der Zertifikatsdialog immer und immer wieder erscheint, bis der Nutzer aufgibt und "OK" klickt.
Die verschlüsselte Übertragung von Webseiten ist in den letzten Jahren fast zur Pflicht geworden. Die Browser zeigen die Homepage als "nicht sicher" (Chrome) oder mit einem durchgestrichenen Schloss (Firefox) an. Über solche Seiten sollen unter keinen Umständen kritische persönliche Daten in ein Formular eingegeben oder gar in einem Webshop Waren gekauft werden. Mithilfe der Zertifikate lässt sich eine verschlüsselte Übertragung von Dateien zwischen dem Homepage-Anbieter und dem Interessenten realisieren.
Das Secure Sockets Layer wird mit SSL abgekürzt und wurde von Netscape entwickelt. Durch gravierende Sicherheitslücken wie Poodle wird SSL von den Browser nicht mehr unterstützt. Die Weiterentwicklung wird als Transport Layer Security bezeichnet und mit TLS abgekürzt. Auch TLS wird in den Versionen 1.0 und 1.1 seit März 2021 nicht mehr unterstützt und von den Browsern abgelehnt. Die aktuelle Version 1.3 von TLS wurde im Jahr 2018 veröffentlicht. Ein kurzer Überblick über die Funktionsweise von TLS-Zertifikaten ist hier zu finden.
Als Homepage Anbieter stellt sich nun die Frage, welche unterschiedlichen Zertifikate gibt es und wie komme ich daran.
Je aufwendiger die entsprechende Authentifizierung ist, desto höher liegen die monatlichen Kosten und umso vertrauenswürdiger sind die entsprechenden Homepages einzuschätzen. Dies lassen sich die Anbieter aber auch entsprechend bezahlen, wobei die jährlichen Preise bei bis zu 300 Euro liegen können (Stand 03.2021).
In der Regel bieten die Webhosting-Anbieter die unterschiedlich vertrauenswürdigen Zertifikate direkt in Ihrer Oberfläche an. Alternativ können diese auch bei den entsprechenden Zertifizierungsstellen bestellt und im Anschluss eingeladen werden. Einfache Domain-Zertifikate werden recht häufig von den Webhosting-Anbietern kostenlos angeboten und können durch einen Klick aktiviert werden. Dabei handelt es sich in der Regel um Let's Encrypt Zertifikate. Die kostenlosen Let's Encrypt Zertifikate vom gemeinnützigen Anbieter "Internet Security Research Group" sind jedoch nur 90 Tage gültig.
Es gibt jedoch Anbieter, die nur ein kostenloses SSL-Zertifikat anbieten oder es ganz unterbinden. In diesen Fällen besteht jedoch oft die Möglichkeit, die kostenlosen Let's Encrypt Zertifikate manuell zu Erstellen und Einzubinden. Manche Anbieter machen ohne technisches Verständnis die kostenlose Nutzung fast unmöglich, wie beispielsweise Hosteurope. Im Computerhilfe-Blog wird in einem Artikel beschrieben, welche Möglichkeiten es dennoch bei Hosteurope im Fall eines Webhosting-Vertrag gibt (Stand 03.2021).