Selbstsignierte Zertifikate: Was sind sie und warum sollten Sie sie verwenden?

In einer Zeit, in der die Sicherheit von Daten und Benutzern im Internet so wichtig ist, digitale Zertifikate wurden für eine Reihe verschiedener Zwecke verwendet. Digitale Zertifikate werden zur Authentifizierung, für sichere Internetverbindungen, Codesignaturund mehr. Dadurch können Daten während der Übertragung oder im Ruhezustand vor externen Angreifern geschützt werden. Es gibt eine Reihe verschiedener Zertifikatstypen, aber wir werden uns Folgendes ansehen: selbstsignierte Zertifikate heute. Die erste Frage, die wir beantworten müssen, ist: Was genau ist ein selbstsigniertes Zertifikat?

Was ist ein selbstsigniertes Zertifikat?

Je nach Verwendungszweck des Zertifikats handelt es sich bei einem selbstsignierten Zertifikat um ein Zertifikat, das vom selben Benutzer oder Gerät signiert wurde, das das Zertifikat verwendet. Dies funktioniert für Code, der für den internen Gebrauch signiert wird, oder für eine Anwendung, die vom Ersteller verwendet wird, nicht jedoch für Software, die von externen Benutzern verwendet wird. Wenn eine Anwendung oder Software an externe Kunden gesendet wird, muss ein anderer Zertifikatstyp verwendet werden. Der Grund dafür ist, dass ein selbstsigniertes Zertifikat nicht verifiziert werden kann, wenn ein externer Benutzer versucht, die mit diesem Zertifikat verknüpfte Software zu verwenden.

Wenn ein Benutzer eine Anwendung oder Software ausführt, wird das Zertifikat, das den Code signiert hat, vom Betriebssystem authentifiziert. Sie haben wahrscheinlich schon bemerkt, dass beim Herunterladen und Ausführen einer neuen Software oder Anwendung auf Ihrem Computer ein Popup-Fenster angezeigt wird. Dieses Popup überprüft die Identität des Herausgebers des mit der Software verknüpften Zertifikats. Zusätzlich wird der Zertifizierungspfad im Zertifikat überprüft. All diese Details werden überprüft, um den Herausgeber der Software zu authentifizieren. Kann die Identität des Herausgebers nicht ordnungsgemäß überprüft werden, wird die Software wahrscheinlich als unsicher für den Benutzer eingestuft.

Wenn Sie nun ein selbstsigniertes Zertifikat zum Signieren von Software und Anwendungen verwenden, kann nur das Gerät, das das Zertifikat signiert hat, es authentifizieren. Aus diesem Grund werden selbstsignierte Zertifikate in der Regel nicht für externe Software oder Anwendungen verwendet. Stattdessen verwenden Softwarehersteller ein Infrastruktur öffentlicher Schlüssel mit einer externen und bekannten Root-Zertifizierungsstelle, die Zertifizierungsstelle generierte (CA-generierte) Zertifikate. Dadurch kann der Herausgeber Code Signing-Zertifikate generieren, die von jedem Betriebssystem erkannt werden können. Dadurch wird die an einen Kunden gesendete Software authentifiziert und der Kunde kann dieser Software oder Anwendung ausreichend vertrauen, um sie herunterzuladen und auf seinem Gerät zu verwenden.

Vor-und Nachteile

Beim Umgang mit selbstsignierten Zertifikaten gibt es viele Vor- und Nachteile, die vor der Erstellung dieser Art von Zertifikaten berücksichtigt werden sollten. Einige davon haben wir bereits angesprochen, andere werden wir uns jetzt genauer ansehen.

Vorteile

• Selbstsignierte Zertifikate sind im Vergleich zu anderen Methoden der Zertifikatserstellung sehr einfach zu erstellen. Es gibt keinen aufwendigen Prozess, sondern lediglich die Erstellung eines Schlüsselpaars und anschließend des Zertifikats selbst. Andere Prozesse erfordern möglicherweise mehrere Schritte und Zugriff auf eine Public Key Infrastructure (PKI) zur Zertifikatserstellung.
• Selbstsignierte Zertifikate eignen sich am besten für Testumgebungen oder für Anwendungen, die nur privat erkannt werden müssen. Anwendungen, die ausschließlich innerhalb der Organisation verwendet werden, in der sie erstellt wurden, verwenden hauptsächlich selbstsignierte Zertifikate.
• Ein weiterer Grund für die Verwendung selbstsignierter Zertifikate besteht darin, dass die Zertifikate nicht von einer anderen Organisation ausgestellt oder Schlüssel geschützt werden müssen. Die Erstellung öffentlich verifizierbarer Zertifikate mit einer bekannten PKI kann viel Zeit in Anspruch nehmen und so zu Verzögerungen bei der Veröffentlichung und Verteilung von Software führen.

Nachteile

• Das offensichtlichste Problem bei der Verwendung eines selbstsignierten Zertifikats für Code-Signatur-Anwendungen und -Software besteht darin, dass das Zertifikat außerhalb der Organisation nicht anerkannt wird. Eine selbstsignierte Signatur wird nur von dem Gerät erkannt, auf dem sie signiert wurde, oder innerhalb der Organisation, in der sie generiert wurde.
• Selbstsignierte Zertifikate lassen sich innerhalb einer Organisation nur schwer nachverfolgen. Dies führt zu zahlreichen Problemen, insbesondere im Falle der Kompromittierung eines selbstsignierten Zertifikats. Da selbstsignierte Zertifikate jederzeit von jedem Gerät aus erstellt werden können, ist die Kompromittierung des Zertifikats möglicherweise lange Zeit unbekannt, sodass Angreifer das Zertifikat für ihre Zwecke missbrauchen können.
• Selbstsignierte Zertifikate können nicht widerrufen werden. Bei von einer Zertifizierungsstelle generierten Zertifikaten ist es einfach, das zugehörige private Schlüsselpaar nachzuschlagen. Bei selbstsignierten Zertifikaten ist dies jedoch nicht möglich.

Fazit

Es stehen verschiedene Zertifikatstypen für verschiedene Zwecke zur Verfügung, von der Authentifizierung und Kommunikation bis hin zur Code-Signierung. Diese Zertifikatstypen lassen sich in zwei Kategorien unterteilen: selbstsignierte und CA-generierte Zertifikate. Wie bereits erwähnt, werden selbstsignierte Zertifikate hauptsächlich in Testumgebungen oder für Software und Anwendungen verwendet, die ausschließlich innerhalb einer Organisation genutzt werden. Aus diesem Grund empfehlen wir von Encryption Consulting Unternehmen, die Zertifikate für die Code-Signierung nutzen möchten, die Einrichtung eines PKI für ihre Organisation oder arbeiten Sie mit einer öffentlichen PKI für Code-Signatur-Zertifikate. Um zu erfahren, wie Encryption Consulting Ihrem Unternehmen beim Aufbau einer starken und sicheren Public Key Infrastructure für den Einsatz in Ihrem Unternehmen helfen kann, besuchen Sie unsere Website unter www.encryptionconsulting.com.