Public Key Infrastruktur (einfach erklärt)! PKI einfach erklärt! | #CEH

Summary

In diesem Video wird die Funktionsweise der Public Key Infrastruktur (PKI) erklärt, die notwendig ist, um digitale Zertifikate auszustellen, zu verteilen und zu überprüfen. Anhand eines Beispiels wird die Zusammenarbeit von Zertifizierungsstellen (CA), Registrierungsstellen (RA) und Benutzern verdeutlicht. Das Video geht auf die Bedeutung von X.509-Zertifikaten ein und erklärt, wie Vertrauensbeziehungen zwischen den Parteien aufgebaut werden. Zudem wird gezeigt, wie digitale Signaturen und die Überprüfung der Zertifikatsgültigkeit durch CRLs und das OCSP-Protokoll zur Sicherheit beitragen. Am Ende wird auf das Web of Trust als alternative PKI-Struktur eingegangen.

Takeaways

• 😀 Ein digitales Zertifikat ist ein elektronischer Echtheitsnachweis, der von einer Zertifizierungsstelle (CA) ausgestellt wird.
• 😀 Digitale Zertifikate spielen eine wichtige Rolle bei der sicheren Kommunikation, z. B. bei HTTPS-Verbindungen, E-Mail-Verschlüsselung und VPNs.
• 😀 X.509 ist der internationale Standard für digitale Zertifikate und legt fest, welche Informationen diese enthalten müssen, wie z. B. die Seriennummer, der Ausstellername und der öffentliche Schlüssel des Inhabers.
• 😀 Die Public Key Infrastruktur (PKI) ermöglicht es, digitale Zertifikate auszustellen, zu verteilen und zu prüfen, und nutzt asymmetrische Verschlüsselung mit einem öffentlichen und einem privaten Schlüssel.
• 😀 Kommunikationspartner müssen ein Vertrauensverhältnis aufbauen, um Zertifikate sicher austauschen zu können, z. B. durch das Vergleichen von Fingerabdrücken per E-Mail und Telefon.
• 😀 Eine Zertifizierungsstelle (CA) stellt Zertifikate aus, nachdem sie die Identität des Antragsstellers überprüft hat, was oft durch eine Registration Authority (RA) geschieht.
• 😀 Bei der Validierung eines Zertifikats muss der öffentliche Schlüssel der CA genutzt werden, um die digitale Signatur des Zertifikats zu überprüfen.
• 😀 Die Root Certificate Authority (Root CA) stellt die Basis des Vertrauensmodells in der PKI dar und gibt selbstsignierte Stammzertifikate aus, denen Softwarehersteller vertrauen.
• 😀 Wenn ein Zertifikat kompromittiert wird, wird es auf eine Certificate Revocation List (CRL) gesetzt, um zu verhindern, dass es weiterhin verwendet wird.
• 😀 Das Online Certificate Status Protocol (OCSP) ermöglicht eine Echtzeitprüfung der Gültigkeit von Zertifikaten, ohne die gesamte CRL herunterzuladen, was effizienter ist.

Q & A

Was ist ein digitales Zertifikat und wozu wird es verwendet?

Ein digitales Zertifikat ist ein elektronischer Echtheitsnachweis, der von einer Zertifizierungsstelle (CA) ausgestellt wird. Es wird verwendet, um einen öffentlichen Schlüssel sicher einem Benutzer zuzuordnen und die Identität des Kommunikationspartners zu bestätigen. Digitale Zertifikate kommen unter anderem beim Aufbau von verschlüsselten Verbindungen (wie HTTPS), beim Signieren von E-Mails und Dokumenten sowie bei VPN-Verbindungen zum Einsatz.

Was regelt der X.509 Standard für digitale Zertifikate?

Der X.509 Standard definiert, welche Informationen in einem digitalen Zertifikat enthalten sein müssen, wie zum Beispiel die Versionsnummer, Seriennummer, Name des Ausstellers, Name des Inhabers, Gültigkeitsdauer, Verwendungszweck und der öffentliche Schlüssel des Inhabers.

Was ist eine Public Key Infrastruktur (PKI) und warum ist sie wichtig?

Eine Public Key Infrastruktur (PKI) stellt Dienste für alle Kommunikationsteilnehmer bereit, die den sicheren Austausch von Daten ermöglichen. Sie dient der Ausstellung, Verteilung und Prüfung digitaler Zertifikate und basiert auf asymmetrischer Verschlüsselung. PKI ist wichtig, um sichere und vertrauenswürdige Verbindungen zwischen Kommunikationspartnern zu gewährleisten.

Wie funktioniert die asymmetrische Verschlüsselung in der PKI?

Asymmetrische Verschlüsselung nutzt ein Schlüsselpaar: einen öffentlichen Schlüssel für die Verschlüsselung und einen privaten Schlüssel für die Entschlüsselung. Mit dem privaten Schlüssel können digitale Signaturen erstellt werden, die mit dem öffentlichen Schlüssel überprüft werden können. Dies stellt sicher, dass die Daten authentisch sind und nicht verändert wurden.

Wie wird die Echtheit eines digitalen Zertifikats überprüft?

Die Echtheit eines digitalen Zertifikats wird durch die digitale Signatur der Zertifizierungsstelle (CA) überprüft. Der öffentliche Schlüssel der CA wird verwendet, um die Signatur des Zertifikats zu validieren und sicherzustellen, dass es authentisch und von der richtigen CA ausgestellt wurde.

Was ist eine Root Certificate Authority (Root CA) und welche Rolle spielt sie?

Die Root Certificate Authority (Root CA) ist die höchste Instanz in einer PKI und stellt Stammzertifikate aus. Diese Root-Zertifikate sind selbst signiert und bilden die Basis des Vertrauensbaums in der PKI. Die meisten Softwarehersteller integrieren diese Root-Zertifikate direkt in ihre Produkte, sodass sie auf Geräten bereits vorinstalliert sind.

Was passiert, wenn der private Schlüssel eines Servers kompromittiert wird?

Wenn der private Schlüssel eines Servers kompromittiert wird, kann ein Angreifer Zertifikate im Namen des Servers ausstellen und Daten abgreifen. Um dies zu verhindern, kann der Server bei der Zertifizierungsstelle (CA) ein neues Zertifikat anfordern und das kompromittierte Zertifikat auf eine Certificate Revocation List (CRL) setzen. Diese Liste wird von der CA zur Verfügung gestellt und ermöglicht es, ungültige Zertifikate zu überprüfen.

Was ist der Unterschied zwischen einer Certificate Revocation List (CRL) und dem Online Certificate Status Protocol (OCSP)?

Die Certificate Revocation List (CRL) ist eine Liste aller ungültigen Zertifikate, die von einer CA herausgegeben wurden. Die CRL kann jedoch sehr groß werden. Das Online Certificate Status Protocol (OCSP) ist eine effizientere Methode, da es in Echtzeit die Gültigkeit von Zertifikaten prüft, ohne dass die gesamte CRL heruntergeladen werden muss.

Warum kann die Root CA offline gehen und was bedeutet das für die Sicherheit?

Die Root CA kann offline gehen, weil die Stammzertifikate bereits auf den Geräten der Benutzer vorinstalliert sind. Dadurch ist die Root CA nicht ständig online erreichbar, was die Sicherheit erhöht. Nur wenn eine neue Zertifikatsüberprüfung erforderlich ist, muss die Root CA kontaktiert werden.

Was ist das Web of Trust und wie unterscheidet es sich von der hierarchischen PKI?

Das Web of Trust ist ein alternatives Modell zur PKI, bei dem Vertrauen zwischen Teilnehmern direkt aufgebaut wird, ohne dass eine zentrale Zertifizierungsstelle (CA) erforderlich ist. Es basiert auf gegenseitigem Vertrauen und wird in der Praxis weniger verwendet als die hierarchische PKI, die auf einer Root CA basiert.