Eine Zertifizierungsstelle (Certificate Authority, CA) ist eine vertrauenswürdige Instanz, die digitale Zertifikate ausstellt, signiert und widerruft. Sie ist das Herzstück einer PKI: Sie prüft die Identität des Antragstellers, bindet seinen öffentlichen Schlüssel daran und beglaubigt den Zusammenhang mit der eigenen Signatur.
Validierungsstufen
- DV (Domain Validation): nur die Kontrolle über die Domain wird nachgewiesen — automatisiert, in Minuten
- OV (Organization Validation): zusätzliche Prüfung der Organisation
- EV (Extended Validation): umfangreiche Prüfung, früher mit grüner Adresszeile im Browser
Let's Encrypt
Let's Encrypt ist eine gemeinnützige Zertifizierungsstelle der Internet Security Research Group (ISRG). Sie stellt kostenlose DV-Zertifikate über das automatisierte ACME-Protokoll (RFC 8555) aus, mit einer Laufzeit von 90 Tagen und automatischer Erneuerung. Dadurch ist verschlüsseltes HTTPS heute für nahezu jede Webseite zum Standard geworden.
Vertrauensanker und Kette
Root-Zertifikate großer Zertifizierungsstellen sind fest in den Trust-Stores der Browser und Betriebssysteme verankert. Ausstellung und Validierung laufen über die Kette Root → Intermediate → Endzertifikat, wie es der X.509-Standard beschreibt.
Widerruf
Wird ein Schlüssel kompromittiert oder ein Zertifikat falsch ausgestellt, widerruft die Zertifizierungsstelle es. Clients erfahren das über die Certificate Revocation List (CRL) oder das Online Certificate Status Protocol (OCSP). Certificate Transparency macht die Ausstellung zusätzlich öffentlich nachvollziehbar und erschwert betrügerische Zertifikate.
Verwandte Grundlagen: PKI, X.509, Zertifikat, TLS-Handshake, HSTS, Certificate Transparency, ECDSA.