Signaturprüfung: Welche Schritte sind notwendig um ein Zertifikat zu validieren / zu prüfen?

1. August 2015

Übersicht

X.509 Zertifikate sind digitale Daten, was bedeutet, dass jedermann die Möglichkeit hat, ein X.509 Zertifikat mit beliebigem Inhalt zu erstellen. Aufgrund dieser Tatsache wurden mehrere Mechanismen eingeführt, um zu überprüfen, ob ein Zertifikat gültig und vertrauenswürdig ist.

Vertrauen

Ein zentraler Begriff bei der Überprüfung von X.509 Zertifikaten ist das Vertrauen (engl. Trust). Das Vertrauen in ein Zertifikat ist eine notwendige Bedingung für die Gültigkeit eines Zertifikats. Meistens wird Software, die X.509 Zertifikate verwendet, mit einem oder mehreren Stamm-Zertifikaten ausgeliefert, die die Software (z. B. Microsoft Zertifikatsverwaltung) a priori als „trusted“ bewertet. Daneben unterhalten die EU-Mitgliedstaaten ihre nationalen Vertrauenslisten, die in der europäischen Vertrauensliste (EU Trust List EUTL) zusammengefasst sind. In ihr werden qualifizierte Vertrauensdienste gemäß eIDAS-VO geführt.

Zertifikatsüberprüfung

Folgende Schritte werden (nicht notwendigerweise in dieser Reihenfolge) durchlaufen, um die Gültigkeit eines Zertifikats zu überprüfen:

  • Überprüfung der Signatur
  • Überprüfung der Gültigkeitsdauer
  • Überprüfung des Widerrufsstatus
  • Überprüfung des Vertrauens (Zertifikatspfad)

Schlägt einer dieser Schritte fehl, ist das Zertifikat ungültig und je nach Software wird eine mehr oder weniger exakte Fehlermeldung oder Warnung ausgegeben.

Bestellen Sie jetzt TRUST2GO®

Bestellen Sie jetzt

Überprüfung der Signatur

Jedes X.509 Zertifikat wird mit dem privaten Schlüssel (eng. private key) des Ausstellers des Zertifikats signiert. Mittels des dazugehörigen öffentlichen Schlüssels (eng. public key) kann die Signatur überprüft werden. Wenn die Signaturprüfung fehlschlägt, wurde das Dokument a) nie unterschrieben oder b) das Dokument seit der Signatur verändert.

Überprüfung der Gültigkeitsdauer

In jedem X.509 Zertifikat ist eine Gültigkeitsdauer mittels eines Start-Datums und eines Ende-Datums angegeben. Wenn die momentane Systemzeit vor dem Start-Datum oder nach dem Ende-Datum liegt, ist diese Überprüfung negativ. Je nach Zertifikatstyp sind unterschiedliche Obergrenzen der Gültigkeitsdauer festgelegt. Bei SSL-Zertifkaten etwa derzeit 1 Jahr.
Abgelaufene Zertifikate können auch keine gültigen Signaturen mehr produzieren – vor Ablauf gesetzte Signaturen behalten jedoch später Ihre Gültigkeit. Software, die hier einen Fehler ausgibt, arbeitet nicht standardkonform.

Überprüfung des Widerrufsstatus

Jedes X.509 Zertifikat kann vom Aussteller widerrufen werden. Im Zertifikat werden Informationen hinterlegt, wie der Widerrufsstatus des Zertifikats überprüft werden kann. Die Überprüfung kann einen Verbindungsaufbau von der überprüfenden Software zu einem Server des Ausstellers auslösen, der dazu dient, die Widerrufsinformationen abzufragen. GLOBALTRUST bietet die Methoden CRL und OCSP an, um den Widerrufsstatus zu überprüfen. Die Überprüfung des Widerrufsstatus scheitert, wenn a) der Verbindungsaufbau zum Widerrufsinformationsserver scheitert oder b) die überprüfende Software die Information erhält, dass das Zertifikat widerrufen wurde.

Insbesondere bei OCSP ist es notwendig tatsächlich Online zu sein. Es reicht, wenn der Port 80 für diese Überprüfung freigeschaltet ist. Kann die Direktverbindung nicht gesichert werden, sollte die Onlineüberprüfung deaktiviert werden. Manche Software bringt dann eine Meldung, in der Form, dass eine “Überprüfung des aktuellen Gültigkeitsstatus eines Zertifikats nicht vorgenommen werden konnte”. Dies hat jedoch keinen Einfluss auf die tatsächliche Gültigkeit eines signierten Dokuments.

Sollten berechtigte Zweifel an der Gültigkeit eines Dokuments bestehen, dann besteht immer auch die Möglichkeit direkt bei GLOBALTRUST nachzufragen. Dann wird die Gültigkeit manuell geprüft. Bei Nachfrage benötigt GLOBALTRUST jedenfalls die Seriennummer des Zertifikats, den Namen des Zertifikats und das Signierdatum des Dokuments.

Überprüfung des Vertrauens (Zertifikatspfad)

Bei dieser Überprüfung sucht die prüfende Software das Ausstellerzertifikat des zu prüfenden Zertifikats und nimmt eine komplette Zertifikatsprüfung dieses Zertifikats vor. Dies löst natürlich wieder eine Überprüfung des Ausstellerzertifikats dieses Zertifikats aus und so weiter, bis ein Zertifikat überprüft wird, bei dem Aussteller und Subjekt dasselbe sind (self-signed certificate – Stammzertifikat). Diese Überprüfung endet erfolgreich, wenn im Zuge der Überprüfung dieses Zertifikatspfades auf ein Zertifikat gestoßen wird, dem die Software vertraut (siehe Absatz „Vertrauen“). Sie scheitert, wenn a) ein Ausstellerzertifikat nicht gefunden werden kann oder b) die Überprüfung am Ende der Zertifikatskette angekommen ist (self-signed Zertifikat) und diesem Zertifikat nicht vertraut wird.

Nützliche Werkzeuge zur Zertifikats- und Signaturprüfung

Das könnte Sie auch interessieren…
Was kostet es, nicht papierlos zu arbeiten?

Was kostet es, nicht papierlos zu arbeiten?

02. August 2023

Obwohl die Digitalisierung nahezu jeden Aspekt des Arbeitsalltags erreicht hat, spielt die Unterschrift und mit ihr das Druckpapier in B2B-Umgebungen eine entscheidende Rolle - und verursacht leicht vermeidbare Kosten. Durch die Einführung elektronischer Signaturen können Unternehmen diese überflüssigen Ausgaben...

mehr lesen