Selbstsignierte Zertifikate: Was sind sie und warum sollten Sie sie verwenden?

In Zeiten, in denen die Sicherheit von Daten und Nutzern im Internet von größter Bedeutung ist, werden digitale Zertifikate für vielfältige Zwecke eingesetzt. Sie dienen der Authentifizierung, der Sicherung von Internetverbindungen, der Codesignierung und vielem mehr. Dadurch werden Daten während der Übertragung und gespeicherte Daten vor externen Angreifern geschützt. Es gibt verschiedene Zertifikatstypen; heute beschäftigen wir uns mit selbstsignierten Zertifikaten . Die erste Frage, die wir beantworten müssen, lautet: Was genau ist ein selbstsigniertes Zertifikat?

Was ist ein selbstsigniertes Zertifikat?

Je nach Verwendungszweck des Zertifikats handelt es sich bei einem selbstsignierten Zertifikat um ein Zertifikat, das vom selben Benutzer oder Gerät signiert wurde, das das Zertifikat verwendet. Dies funktioniert für Code, der für den internen Gebrauch signiert wird, oder für eine Anwendung, die vom Ersteller verwendet wird, nicht jedoch für Software, die von externen Benutzern verwendet wird. Wenn eine Anwendung oder Software an externe Kunden gesendet wird, muss ein anderer Zertifikatstyp verwendet werden. Der Grund dafür ist, dass ein selbstsigniertes Zertifikat nicht verifiziert werden kann, wenn ein externer Benutzer versucht, die mit diesem Zertifikat verknüpfte Software zu verwenden.

Wenn ein Benutzer eine Anwendung oder Software ausführt, wird das Zertifikat, das den Code signiert hat, vom Betriebssystem authentifiziert. Sie haben wahrscheinlich schon bemerkt, dass beim Herunterladen und Ausführen einer neuen Software oder Anwendung auf Ihrem Computer ein Popup-Fenster angezeigt wird. Dieses Popup überprüft die Identität des Herausgebers des mit der Software verknüpften Zertifikats. Zusätzlich wird der Zertifizierungspfad im Zertifikat überprüft. All diese Details werden überprüft, um den Herausgeber der Software zu authentifizieren. Kann die Identität des Herausgebers nicht ordnungsgemäß überprüft werden, wird die Software wahrscheinlich als unsicher für den Benutzer eingestuft.

Bei der Verwendung eines selbstsignierten Zertifikats zum Signieren von Software und Anwendungen kann dieses nur von dem Gerät authentifiziert werden, das das Zertifikat signiert hat. Daher werden selbstsignierte Zertifikate in der Regel nicht für externe Software oder Anwendungen verwendet. Softwarehersteller nutzen stattdessen eine Public-Key-Infrastruktur (PKI) mit einer externen, anerkannten Stammzertifizierungsstelle (Root Certification Authority, CA ), die CA-generierte Zertifikate erstellt. Dies ermöglicht es dem Hersteller, Codesignaturzertifikate zu generieren, die von jedem Betriebssystem erkannt werden. Dadurch wird die an den Kunden gesendete Software authentifiziert und der Kunde kann der Software oder Anwendung so weit vertrauen, dass er sie herunterladen und auf seinem Gerät verwenden kann.

Vor-und Nachteile

Beim Umgang mit selbstsignierten Zertifikaten gibt es viele Vor- und Nachteile, die vor der Erstellung dieser Art von Zertifikaten berücksichtigt werden sollten. Einige davon haben wir bereits angesprochen, andere werden wir uns jetzt genauer ansehen.

Vorteile

• Selbstsignierte Zertifikate sind im Vergleich zu anderen Methoden der Zertifikatserstellung sehr einfach zu erstellen. Es gibt keinen aufwendigen Prozess, sondern lediglich die Erstellung eines Schlüsselpaars und anschließend des Zertifikats selbst. Andere Prozesse erfordern möglicherweise mehrere Schritte und Zugriff auf eine Public Key Infrastructure (PKI) zur Zertifikatserstellung.
• Selbstsignierte Zertifikate eignen sich am besten für Testumgebungen oder für Anwendungen, die nur privat erkannt werden müssen. Anwendungen, die ausschließlich innerhalb der Organisation verwendet werden, in der sie erstellt wurden, verwenden hauptsächlich selbstsignierte Zertifikate.
• Ein weiterer Grund für die Verwendung selbstsignierter Zertifikate besteht darin, dass die Zertifikate nicht von einer anderen Organisation ausgestellt oder Schlüssel geschützt werden müssen. Die Erstellung öffentlich verifizierbarer Zertifikate mit einer bekannten PKI kann viel Zeit in Anspruch nehmen und so zu Verzögerungen bei der Veröffentlichung und Verteilung von Software führen.

Nachteile

• Das offensichtlichste Problem bei der Verwendung eines selbstsignierten Zertifikats für Code-Signatur-Anwendungen und -Software besteht darin, dass das Zertifikat außerhalb der Organisation nicht anerkannt wird. Eine selbstsignierte Signatur wird nur von dem Gerät erkannt, auf dem sie signiert wurde, oder innerhalb der Organisation, in der sie generiert wurde.
• Selbstsignierte Zertifikate lassen sich innerhalb einer Organisation nur schwer nachverfolgen. Dies führt zu zahlreichen Problemen, insbesondere im Falle der Kompromittierung eines selbstsignierten Zertifikats. Da selbstsignierte Zertifikate jederzeit von jedem Gerät aus erstellt werden können, ist die Kompromittierung des Zertifikats möglicherweise lange Zeit unbekannt, sodass Angreifer das Zertifikat für ihre Zwecke missbrauchen können.
• Selbstsignierte Zertifikate können nicht widerrufen werden. Bei von einer Zertifizierungsstelle generierten Zertifikaten ist es einfach, das zugehörige private Schlüsselpaar nachzuschlagen. Bei selbstsignierten Zertifikaten ist dies jedoch nicht möglich.

Fazit

Es gibt verschiedene Zertifikatstypen für unterschiedliche Zwecke, von Authentifizierung und Kommunikation bis hin zur Codesignierung. Diese Zertifikate lassen sich in zwei Kategorien einteilen: selbstsignierte und von Zertifizierungsstellen (CA) generierte Zertifikate. Wie bereits erwähnt, werden selbstsignierte Zertifikate hauptsächlich in Testumgebungen oder für Software und Anwendungen verwendet, die ausschließlich innerhalb einer Organisation zum Einsatz kommen. Daher empfiehlt Encryption Consulting Organisationen, die Zertifikate zur Codesignierung nutzen möchten, eine eigene Public-Key-Infrastruktur (PKI) einzurichten oder mit einer öffentlichen PKI für Codesignierungszertifikate zusammenzuarbeiten. Um zu erfahren, wie Encryption Consulting Ihre Organisation beim Aufbau einer starken und sicheren PKI unterstützen kann, besuchen Sie unsere Website unter www.encryptionconsulting.com.