← Zurück zur Übersicht
Sicherheit

PKI

Public Key Infrastructure

PKIZertifikatCAX.509SignaturRSAVertrauen

Die Public Key Infrastructure (PKI) ist das System aus Richtlinien, Verfahren, Hardware und Software, das digitale Zertifikate verwaltet. Sie ermöglicht verschlüsselte Kommunikation und digitale Signaturen im Internet.

Root CASelbst-signiert · OfflineIntermediate CAvon Root signiertIntermediate CAvon Root signiertEnd-Zertifikatexample.comEnd-Zertifikatmail.example.comEnd-Zertifikatapi.example.comCode-Sign.software.exeVertrauenskette: Root → Intermediate → End-Zertifikat

Entstehung und Beteiligte

Public-Key-Kryptografie wurde 1976 durch Whitfield Diffie und Martin Hellman öffentlich beschrieben; RSA folgte 1977 durch Rivest, Shamir und Adleman. Zertifikate und X.509 entstanden in der CCITT/ITU-Verzeichnisstandardisierung und wurden später für das Internetprofil angepasst.

Welches Problem sollte gelöst werden?

Kommunikationspartner benötigen öffentliche Schlüssel, müssen aber wissen, wem ein Schlüssel gehört. Eine PKI verbindet Identitäten mit Schlüsseln und ermöglicht überprüfbare Vertrauensketten.

Technische Hürden und Lösungen

Zertifizierungsstellen müssen Identitäten prüfen, private Schlüssel schützen und Widerruf veröffentlichen. Kompromittierte CAs, abgelaufene Zertifikate, unvollständige Ketten und unterschiedliche Namensregeln führen zu Fehlern. Automatisierung reduziert Betriebsrisiken.

Standardisierung und Einordnung

IT-Sicherheit ist kein einzelnes Produkt, sondern ein Zusammenspiel aus Kryptografie, Identitäten, Protokollen, Segmentierung, Überwachung und menschlichem Verhalten. Viele Verfahren entstanden als Reaktion auf konkrete Missbräuche. Jede Schutztechnik besitzt Grenzen: Sie kann falsch konfiguriert, umgangen oder durch gestohlene Zugangsdaten entwertet werden. Historische Entwicklung erklärt deshalb, warum heutige Systeme mehrere Schutzschichten kombinieren.

Technik im praktischen Betrieb

Eine Schutztechnik ist erst wirksam, wenn Ereignisse ausgewertet, Ausnahmen begrenzt und Wiederherstellungswege getestet werden. Sicherheitsprodukte erzeugen sonst lediglich weitere Konfiguration. Besonders wichtig sind eindeutige Verantwortlichkeiten, ein aktuelles Inventar und Protokolle mit korrekter Zeit. Regeln sollten auf einem dokumentierten Datenfluss beruhen und regelmäßig auf veraltete Freigaben geprüft werden. Bei einem Vorfall müssen Zugangsdaten, Schlüssel, Sitzungen und betroffene Systeme als zusammenhängende Vertrauenskette betrachtet werden.

Warum das Thema heute noch relevant ist

Angriffe verändern sich, die Grundmuster bleiben: Identitäten werden getäuscht, Eingaben missbraucht, Vertrauen falsch vergeben und knappe Ressourcen überlastet. Historische Vorfälle sind deshalb mehr als Anekdoten; sie zeigen, welche Annahmen gescheitert sind. Gute Sicherheitsarchitektur baut nicht auf einem perfekten Filter auf, sondern auf begrenzten Rechten, überprüfbaren Protokollen, schneller Erkennung und der Fähigkeit, Systeme und Schlüssel nach einem Vorfall kontrolliert zu erneuern.

Daten und Meilensteine

  • 1976: Diffie und Hellman veröffentlichen Public-Key-Kryptografie.
  • X.509 definiert Zertifikatsstrukturen und Vertrauensketten.
  • CRL und OCSP dienen der Widerrufsprüfung.
  • Root-Zertifikate werden über Betriebssysteme und Browser verteilt.

Was ist eine PKI?

Eine Public Key Infrastructure ist das gesamte System aus Technik, Richtlinien und Verfahren, das digitale Zertifikate ausstellt, verwaltet, verteilt, verwendet, speichert und widerruft. Sie ist die Grundlage für verschlüsselte Kommunikation und digitale Signaturen.

Das Herzstück ist die Certificate Authority (CA): eine vertrauenswürdige Instanz, die Zertifikate ausstellt und deren Authentizität mit ihrer Signatur bestätigt. Browser vertrauen ~150 Root-CAs weltweit.

Zertifikatshierarchie

PKI-Zertifikate sind in einer Hierarchie (Chain of Trust) organisiert:

  • Root CA: Selbst-signiertes Zertifikat, höchste Vertrauensebene. Offline gehalten, nur für Intermediate-Signaturen genutzt. Im Browser/OS-Root-Store verankert.
  • Intermediate CA: Von der Root CA signiert. Stellt End-Entitäts-Zertifikate aus. Online, aber gut gesichert.
  • End-Entity-Zertifikat: Das Zertifikat für Domain, Server oder Person. Gültigkeitsdauer: typisch 90 Tage bis 2 Jahre.

X.509-Zertifikate und Felder

Digitale Zertifikate folgen dem X.509-Standard und enthalten: Subject (Identität des Zertifikat-Inhabers), Issuer (ausstellende CA), Public Key, Gültigkeitszeitraum, Seriennummer und Signatur der CA.

Zertifikate können widerrufen werden: CRL (Certificate Revocation List) oder OCSP (Online Certificate Status Protocol) ermöglichen die Prüfung, ob ein Zertifikat noch gültig ist. Certificate Transparency (CT Logs) macht alle ausgestellten Zertifikate öffentlich prüfbar.