Open Source im professionellen Einsatz
Linux-Magazin 12/2010
© Chris-Hochberger, Pixelio.de

© Chris-Hochberger, Pixelio.de

Cacert gibt kostenlose digitale Zertifikate aus

Jäger und Sammler

,

Punkte sammeln Cacert-Mitglieder, um in den Genuss bestätigter Zertifikate zu kommen. Damit ließen sich Server per SSL/TLS prima absichern, wäre nur das Rootzertifikat den Browsern bekannt. Doch statt sich mit Nachdruck darum zu kümmern, jagt mancher im Projekt vornehmlich seinen Punkten nach.

971

Sicherheit scheint eine teure Angelegenheit zu sein. Wer etwa seine Webserver mit SSL oder TLS absichern möchte, benötigt dazu Zertifikate, die einige Dienstleister gegen gutes Geld verkaufen (siehe Kasten "Aufbau und Nutzen digitaler Zertifikate"). Da diese meist für einen einzigen DNS-Namen ausgestellt sind, kostet jede neue URL abermals Geld. Außerdem haben diese Bestätigungen eine begrenzte Lebensdauer und sind regelmäßig zu aktualisieren.

Aufbau und Nutzen digitaler
Zertifikate

Die Protokollschichten SSL oder TLS sichern - oft vom Benutzer unbemerkt - Onlineverbindungen wie zwischen Browser und Bankinstitut ab. Für die meisten ist allenfalls die URL-Dienstekennung »https« oder das Schlüsselsymbol in der Browser-Adresszeile ein Indiz für die Sicherung. Damit alles klappt, sind zwei Voraussetzungen nötig: starke Verschlüsselungstechnik und abgesicherter Austausch von Schlüsseln.

Erstere findet sich heute in fast jedem Browser. Die meisten heute verwendeten Cipher sind so stark, dass sie durchaus auch in sensiblen Bereichen zum Einsatz kommen. SSL und der Nachfolger TLS enthalten außerdem Mechanismen, die neue Verfahren nahtlos und vom Anwender weitgehend unbemerkt integrieren, sollte sich ein älterer Cipher als zu schwach erweisen. Bleibt die Frage, wie zwei Partner in einem nicht vertrauenswürdigen Netz vertrauliche Nachrichten austauschen, insbesondere den Sitzungsschlüssel, der den Datenverkehr wirksam schützt.

Hier kommen die Zertifikate ins Spiel, die meist dem X.509v3-Standard entsprechen [2]. Das sind Datenstrukturen, die zwei wesentliche Inhalte besitzen: Den öffentlichen Teil eines asymmetrischen Schlüsselpaars und Angaben dazu, zu welchem Inhaber er gehört, Identität genannt. Im Fall eines Webservers könnte das sein DNS-Name, im Fall einer Person könnten das ihre E-Mail-Adresse oder ihr Name sein.

Klare Abläufe sind Grundlage für Vertrauen

Essenziell ist die zweifelsfreie und nicht fälschbare Verbindung aus beiden genannten Angaben. Das bestätigt eine digitale Signatur unter dem Zertifikat. Die Güte einer solchen Public Key Infrastruktur, oft PKI genannt, ergibt sich daher nicht nur aus der eingesetzten Technik, sondern auch daraus, wie vertrauenwürdig die Beteiligten handeln. Insbesondere der Aussteller der digitalen Signaturen, die so genannte Certificate Authority (CA), sollte eine hinreichende Seriosität ausstrahlen.

Unternehmen wie Verisign oder Thawte zum Beispiel betreiben kommerziell ausgerichtete CAs und verlangen Geld dafür, dass sie Zertifikate nur dann signieren, wenn der angegebene Inhaber authentisch ist. Zusätzlich sorgen alle CAs dafür, wirksame Maßnahmen vorzuhalten, um solche Antragsteller zurückzuweisen, die sich mit einer fremden Identität melden. Eine Bezahlung fällt somit nicht in erster Linie für das faktische Erzeugen der Signatur und damit für das Zertifikat an sich an, sondern vielmehr für das Vorhalten der dafür notwendigen Prozesse und Abläufe.

Zertifikate an sich lassen sich jedoch günstig herstellen: Bereits wenige Open-SSL-Kommandos erzeugen sie. Aufwändig ist hingegen die Infrastruktur, diese Arbeiten transparent und sicher auszuführen. Im Jahr 2002 war eine Gruppe Freiwilliger der Ansicht, dass ein Projekt diese Arbeiten erbringen könnte, und gründete 2003 in Australien die ehrenamtlich arbeitende Körperschaft "Cacert Incorporated". Unter ihrem Dach stellt seitdem das Projekt über seine Website interessierten Anwendern die für eine asymmetrische Kryptographie notwendigen Schlüsselpaare ebenso wie die für eine Verifizierung der Schlüssel nutzbaren Public-Key-Zertifikate kostenlos zur Verfügung.

Hierarchische Community

Das Cacert-Projekt unterscheidet Teilnehmer hierarchisch zwischen einfachen Community-Mitgliedern, Assurern, Super-Assurern, Associated Members und dem Cacert-Board. Einfache Mitglieder treten Cacert auf der Website bei, indem sie ein Formular ausfüllen und ihre E-Mail-Adresse übermitteln [1]. Anschließend verschickt Cacert eine Verifizierungsnachricht an diese Adresse, die der Nutzer seinerseits durch Aufruf eines in der E-Mail enthaltenen Links bestätigt. Fortan darf sich das neuen Mitglied ein einfaches Zertifikat (unassured) ausstellen lassen.

Da die Authentifikation über E-Mail gemeinhin als nur mäßig vertrauenswürdig gilt, haben die auf eine E-Mail-Adresse ausgestellten Zertifikate nur eine Gültigkeit von sechs Monaten, um Missbrauch einzuschränken. Weist sich der Antragsteller jedoch gegenüber Cacert persönlich aus, enthält das Zertifikat den Personennamen und die Gültigkeit beträgt 24 Monate.

Die Gültigkeitsdauern von sowohl Server- als auch Clientzertifikaten hängen daher von der Identitätsprüfung ab, bei der sich das Mitglied und spätere Inhaber gegenüber dem Projekt mit einem offiziellen Dokument ausweist. Das ist die Kernaufgabe, der sich Cacert stellt.

Mitmachen erwünscht

Die verlässliche Verifikation von Individuen ist die aufwändigste Leistung einer Certificate Authority. Cacert löst das Problem dadurch, dass es seine Mitglieder dazu einlädt, das Projekt aktiv durch Teilnahme am Assurance-Programm zu unterstützen. Ist die Identität eines Mitglieds persönlich verifiziert und hat es eine Prüfung abgelegt und bestanden, erhält es den Status eines Assurers. Die nehmen als offizielle Vertreter an Veranstaltungen teil und bestätigen die Identität weiterer Mitglieder. Damit bilden sie das Web of Trust des Cacert-Projekts.

Neben den Assurern benennt die Cacert-Website auch Super-Assurer. Ihr Alleinstellungsmerkmal gegenüber Assurern bleibt jedoch unklar. In der Theorie zeichnen sich Super-Assurer durch mehr Erfahrung sowie Einsatz für das Projekt aus und übernehmen aufgrund ihrer Qualitäten besondere Aufgaben. Mitglieder mit Super-Assurer-Status treten bei Veranstaltungen in der Praxis jedoch nicht in allen Ländern auf.

Um als Associated Member beizutreten, stellen User einen Antrag auf Mitgliedschaft bei Cacert Inc. und zahlen einen Jahresbeitrag von 10 US-Dollar. Dafür können sie auch in den Vorstand (Board) gewählt werden. Der zeichnet für die Ausrichtung der Organisation verantwortlich. Die auf der Website veröffentlichte Statistik wies Mitte September 2010 insgesamt 181764 erfolgreich registrierte Nutzer sowie 3860 Assurer aus [3].

Die nach der einfachen E-Mail-Verifikation vergebenen Clientzertifikate weisen den Antragsteller selbst aus oder genauer gesagt seine E-Mail-Adresse. Ein Webserver lässt sich damit noch nicht schützen. Cacert unterscheidet nämlich Client-, Server- und Codezertifikate. Ein Clientzertifikat verifiziert E-Mail-Absender und ermöglicht es, Nachrichten mit dem asymmetrischen Schlüsselpaar und zum Beispiel Open PGP oder Kgpg verschlüsselt zu übertragen oder zu signieren.

Linux-Magazin kaufen

Einzelne Ausgabe
 
Abonnements
 
TABLET & SMARTPHONE APPS
Bald erhältlich
Get it on Google Play

Deutschland

Ähnliche Artikel

  • Cebit Open Source 2010 - Projektpräsentation CAcert

    15 Projekte aus dem Open-Source-Bereich bekommen bei der Cebit Gelegenheit sich zu präsentieren, so auch die Zertifzierungsspezialisten von CAcert.

  • Cebit 2012: Cacert stellt Zertifikate aus

    Die freie Zertifizierungsorganisation Cacert stellt während der Cebit kostenlose digitale Zertifikate aus. Am Freitag, 9. März halten Projektmitglieder zudem Vorträge.

  • Cacert erneuert Zertifikat

    Das Cacert-Projekt signiert sein 3-Subroot-Zertifikat neu, da der Hashing-Algorithmus von MD5 auf SHA-256 umgestellt wird.

  • Schlüsseldienste

    Modern und sicher: Leicht handhabbare PKCS-Zertifikate auf Cryptocards und Tokens schützen VPNs mit IPsec oder Open VPN. Selbst Hardware kann frei sein, zeigt ein USB-Token. Die Rootzone führt endlich DNSSEC ein, und das ambitionierte Cacert-Projekt steckt seit fünf Jahren in der Aufbruchphase fest.

  • Let's Encrypt: 100 000 000 Zertifikate verteilt

    Neuer Meilenstein geschafft: Die CA Let's Encrypt feiert das 100-millionste Zertifikat und sieht sich auf einem guten Weg zu einem komplett per HTTPS gesicherten Web.

comments powered by Disqus

Stellenmarkt

Artikelserien und interessante Workshops aus dem Magazin können Sie hier als Bundle erwerben.