© Chris-Hochberger, Pixelio.de
Punkte sammeln Cacert-Mitglieder, um in den Genuss bestätigter Zertifikate zu kommen. Damit ließen sich Server per SSL/TLS prima absichern, wäre nur das Rootzertifikat den Browsern bekannt. Doch statt sich mit Nachdruck darum zu kümmern, jagt mancher im Projekt vornehmlich seinen Punkten nach.
Sicherheit scheint eine teure Angelegenheit zu sein. Wer etwa seine Webserver mit SSL oder TLS absichern möchte, benötigt dazu Zertifikate, die einige Dienstleister gegen gutes Geld verkaufen (siehe Kasten "Aufbau und Nutzen digitaler Zertifikate"). Da diese meist für einen einzigen DNS-Namen ausgestellt sind, kostet jede neue URL abermals Geld. Außerdem haben diese Bestätigungen eine begrenzte Lebensdauer und sind regelmäßig zu aktualisieren.
Zertifikate an sich lassen sich jedoch günstig herstellen: Bereits wenige Open-SSL-Kommandos erzeugen sie. Aufwändig ist hingegen die Infrastruktur, diese Arbeiten transparent und sicher auszuführen. Im Jahr 2002 war eine Gruppe Freiwilliger der Ansicht, dass ein Projekt diese Arbeiten erbringen könnte, und gründete 2003 in Australien die ehrenamtlich arbeitende Körperschaft "Cacert Incorporated". Unter ihrem Dach stellt seitdem das Projekt über seine Website interessierten Anwendern die für eine asymmetrische Kryptographie notwendigen Schlüsselpaare ebenso wie die für eine Verifizierung der Schlüssel nutzbaren Public-Key-Zertifikate kostenlos zur Verfügung.
Das Cacert-Projekt unterscheidet Teilnehmer hierarchisch zwischen einfachen Community-Mitgliedern, Assurern, Super-Assurern, Associated Members und dem Cacert-Board. Einfache Mitglieder treten Cacert auf der Website bei, indem sie ein Formular ausfüllen und ihre E-Mail-Adresse übermitteln [1]. Anschließend verschickt Cacert eine Verifizierungsnachricht an diese Adresse, die der Nutzer seinerseits durch Aufruf eines in der E-Mail enthaltenen Links bestätigt. Fortan darf sich das neuen Mitglied ein einfaches Zertifikat (unassured) ausstellen lassen.
Da die Authentifikation über E-Mail gemeinhin als nur mäßig vertrauenswürdig gilt, haben die auf eine E-Mail-Adresse ausgestellten Zertifikate nur eine Gültigkeit von sechs Monaten, um Missbrauch einzuschränken. Weist sich der Antragsteller jedoch gegenüber Cacert persönlich aus, enthält das Zertifikat den Personennamen und die Gültigkeit beträgt 24 Monate.
Die Gültigkeitsdauern von sowohl Server- als auch Clientzertifikaten hängen daher von der Identitätsprüfung ab, bei der sich das Mitglied und spätere Inhaber gegenüber dem Projekt mit einem offiziellen Dokument ausweist. Das ist die Kernaufgabe, der sich Cacert stellt.
Die verlässliche Verifikation von Individuen ist die aufwändigste Leistung einer Certificate Authority. Cacert löst das Problem dadurch, dass es seine Mitglieder dazu einlädt, das Projekt aktiv durch Teilnahme am Assurance-Programm zu unterstützen. Ist die Identität eines Mitglieds persönlich verifiziert und hat es eine Prüfung abgelegt und bestanden, erhält es den Status eines Assurers. Die nehmen als offizielle Vertreter an Veranstaltungen teil und bestätigen die Identität weiterer Mitglieder. Damit bilden sie das Web of Trust des Cacert-Projekts.
Neben den Assurern benennt die Cacert-Website auch Super-Assurer. Ihr Alleinstellungsmerkmal gegenüber Assurern bleibt jedoch unklar. In der Theorie zeichnen sich Super-Assurer durch mehr Erfahrung sowie Einsatz für das Projekt aus und übernehmen aufgrund ihrer Qualitäten besondere Aufgaben. Mitglieder mit Super-Assurer-Status treten bei Veranstaltungen in der Praxis jedoch nicht in allen Ländern auf.
Um als Associated Member beizutreten, stellen User einen Antrag auf Mitgliedschaft bei Cacert Inc. und zahlen einen Jahresbeitrag von 10 US-Dollar. Dafür können sie auch in den Vorstand (Board) gewählt werden. Der zeichnet für die Ausrichtung der Organisation verantwortlich. Die auf der Website veröffentlichte Statistik wies Mitte September 2010 insgesamt 181764 erfolgreich registrierte Nutzer sowie 3860 Assurer aus [3].
Die nach der einfachen E-Mail-Verifikation vergebenen Clientzertifikate weisen den Antragsteller selbst aus oder genauer gesagt seine E-Mail-Adresse. Ein Webserver lässt sich damit noch nicht schützen. Cacert unterscheidet nämlich Client-, Server- und Codezertifikate. Ein Clientzertifikat verifiziert E-Mail-Absender und ermöglicht es, Nachrichten mit dem asymmetrischen Schlüsselpaar und zum Beispiel Open PGP oder Kgpg verschlüsselt zu übertragen oder zu signieren.
Alle Rezensionen aus dem Linux-Magazin
Im Insecurity Bulletin widmet sich Mark Vogelsberger aktuellen Sicherheitslücken sowie Hintergründen und Security-Grundlagen. mehr...
