Was ist eine Public-Key-Infrastruktur?
PKI, englisch Public Key Infrastructure
Eine Public-Key-Infrastruktur ist das Zusammenspiel aus Zertifizierungsstellen, Regeln und Diensten, mit dem eine Organisation digitale Zertifikate ausstellt, verteilt, prüft und wieder zurückzieht. Sie beantwortet die Frage, welcher öffentliche Schlüssel wirklich zu welchem Server, Gerät oder Konto gehört.
Ein abgelaufenes Zertifikat legt genau den Dienst lahm, den es schützen sollte, meist am Sonntagabend und ohne dass vorher jemand gewarnt wurde.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
- Beantwortet
- Welcher Schlüssel zu wem gehört
- Zwei Ebenen
- Offline-Stammstelle, ausstellende Stelle
- Prüfung über
- Sperrliste oder OCSP
- Verwechselt mit
- TLS
Schlüsselpaar, Antrag, Zertifikat
Am Anfang steht ein Schlüsselpaar: Der private Schlüssel bleibt auf dem System, das ihn erzeugt hat, der öffentliche geht zusammen mit einem Antrag an die Zertifizierungsstelle. Die Stelle prüft den Antrag, signiert ihn mit ihrem eigenen privaten Schlüssel und gibt ein Zertifikat zurück. Das Zertifikat ist damit nichts anderes als eine beglaubigte Zuordnung eines Namens zu einem öffentlichen Schlüssel, versehen mit Gültigkeitszeitraum und einer Angabe, wofür der Schlüssel benutzt werden darf.
Wichtig ist der Verwendungszweck im Zertifikat. Ein Zertifikat für Serverauthentifizierung taugt nicht automatisch für Codesignatur oder für die Anmeldung mit Smartcard. Wer Vorlagen zu großzügig konfiguriert, verteilt Schlüssel, die mehr dürfen als nötig.
Warum es zwei Ebenen braucht
In einer sauberen Hierarchie signiert eine Stamm-Zertifizierungsstelle nur eine Handvoll nachgeordneter Stellen und wird danach abgeschaltet oder vom Netz genommen. Den Alltag, also das Ausstellen von Server- und Benutzerzertifikaten, erledigt die ausstellende Stelle. Der Grund ist der Schadensfall: Fliegt der private Schlüssel der ausstellenden Stelle auf, sperrst du deren Zertifikat und baust sie neu auf. Fliegt der Stammschlüssel auf, musst du in jedem Gerät im Haus den Vertrauensanker austauschen.
Das Stammzertifikat selbst hat ebenfalls ein Ablaufdatum, und zwar meist eines, das weit außerhalb der Aufmerksamkeitsspanne eines Betriebsteams liegt. Trag es mit einer Erinnerung in dieselbe Liste ein, in der auch die Verlängerung von Domains und Serverzertifikaten steht, sonst fällt in einigen Jahren alles gleichzeitig aus.
Gültigkeit prüfen: Sperrliste und OCSP
Ein Zertifikat kann vor Ablauf ungültig werden, etwa weil der Server abgebaut wurde oder ein Schlüssel als kompromittiert gilt. Dafür veröffentlicht die Zertifizierungsstelle eine Sperrliste, die jeder Client abrufen kann, oder beantwortet Einzelanfragen über einen OCSP-Dienst. Beide Wege stehen als URL im Zertifikat selbst.
Der häufigste Ausfall in diesem Bereich hat nichts mit Kryptografie zu tun: Die Sperrliste läuft ab, weil der Veröffentlichungsweg nicht mehr erreichbar ist, und plötzlich lehnen Clients gültige Zertifikate ab. Genauso oft steht im Zertifikat eine interne Adresse, die Geräte im Homeoffice oder Partner von außen gar nicht erreichen.
Verteilung automatisieren
Zertifikate von Hand auszurollen, hält kein Betrieb lange durch. In der Windows-Welt hängen Vorlagen mit Berechtigungen an der ausstellenden Stelle, und Gruppenrichtlinien lassen Computer und Konten ihre Zertifikate selbst anfordern und rechtzeitig erneuern. Für Weboberflächen und Linux-Systeme übernehmen ACME-Clients dieselbe Aufgabe.
Wer automatisch ausrollt, braucht eine Übersicht, was ausgestellt wurde. Ein Bestand ohne Inventar wird spätestens beim ersten Wechsel des Signaturverfahrens zum Problem, weil niemand sagen kann, welche Systeme noch alte Zertifikate benutzen.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Public-Key-Infrastruktur und was oft damit gleichgesetzt wird
TLS ist das Protokoll, das Zertifikate beim Verbindungsaufbau benutzt. Die PKI ist der Apparat, der diese Zertifikate ausstellt, erneuert und sperrt.
Ein selbstsigniertes Zertifikat bürgt nur für sich selbst. Es verschlüsselt zwar genauso, aber niemand außerhalb des Systems kann prüfen, ob der Name stimmt.
Das Verzeichnis verwaltet Konten, Gruppen und Rechte. Die PKI sagt nur, wem ein Schlüssel gehört. Unter Windows arbeiten beide zusammen, sind aber getrennte Dienste.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Eine PKI fällt nicht aus, sie läuft ab
Fast jede Störung rund um Zertifikate hat dieselbe Ursache: Es gibt kein Verzeichnis, welches Zertifikat wo eingebaut ist. Der Ablauftermin steht im Kalender einer Person, und die ist im Urlaub oder nicht mehr im Haus. Solange die Ausstellung nicht automatisch läuft, brauchst du eine Liste mit Ablaufdatum, Einbauort und zuständiger Person, und kurze Laufzeiten machen die Sache besser statt schlimmer, weil sie die Automatisierung erzwingen.
Die stillste Falle ist die Sperrprüfung. Der Verteilpunkt der Sperrliste ist intern erreichbar und von außen nicht, oder die Liste selbst ist abgelaufen, weil ihre Erneuerung an der offline gehaltenen Stammstelle hängt. Dann lehnen Clients Verbindungen ab, obwohl jedes einzelne Zertifikat gültig ist, und die Fehlermeldung zeigt in die falsche Richtung. Die Erreichbarkeit des Verteilpunkts gehört deshalb in die Überwachung.
Der Schlüssel der obersten Stelle ist der Punkt, an dem alles hängt. Ist er einmal in fremden Händen, ist jedes darunter ausgestellte Zertifikat wertlos, und ein Austausch bedeutet, jedes Gerät im Haus anzufassen. Genau deshalb steht diese Stelle abgeschaltet im Tresor oder in einem Sicherheitsmodul und wird nur zum Nachsignieren der untergeordneten Stellen kurz hochgefahren.
Public-Key-Infrastruktur lernen
Wie du Zertifikatsdienste in einer Domäne einrichtest und Vorlagen sauber berechtigst, zeigen die Administrationskurse für die Serverversion 2022 am laufenden System.
Was ein kompromittierter Schlüssel für den Betrieb bedeutet, ordnen die Weiterbildungen rund um Verschlüsselung und Schlüsselverwaltung in den größeren Zusammenhang ein.
Sitzt Public-Key-Infrastruktur schon?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Kurse, die Public-Key-Infrastruktur behandeln
Häufige Fragen
Brauche ich für interne Server eine öffentliche Zertifizierungsstelle?
Wie lange sollte ein Zertifikat gültig sein?
Was passiert, wenn ein privater Schlüssel abhandenkommt?
Deine Ansprechpartner
Du willst das Thema nicht nur nachschlagen, sondern anwenden können? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Ordnet mit dir ein, welcher Kurs zu deinem Vorwissen passt.
Norbert Jansen
Beratung & Inhouse
Plant Inhouse-Trainings, die an euren eigenen Daten und Abläufen ansetzen.
Public-Key-Infrastruktur im Kurs statt im Lexikon
Nachschlagen bringt dich bis zum Verstehen. Anwenden lernst du an echten Aufgaben.