Was ist die Zertifikatsvalidierung bei „ SSL “? Die Validierungsstufen von „ SSL “ im Überblick

Jahrelang galt die grüne Adressleiste mit dem Firmennamen neben dem Vorhängeschloss als Erkennungsmerkmal für ein Zertifikat mit „hohem Vertrauensgrad“. Dann verschwand dieses Merkmal still und leise. Chrome entfernte die „Extended Validation“-Anzeige in Version 77, Firefox verzichtete in Version 70 darauf, und Safari hatte bereits zuvor aufgehört, sie anzuzeigen. Der sichtbare Anreiz für den Kauf des teuersten Zertifikats im Angebot verschwand genau dort, wo die Nutzer ihn sehen konnten.

Das wirft eine naheliegende Frage auf: Wenn das Abzeichen weg ist, was hat Ihnen die höhere Validierungsstufe dann eigentlich gebracht? Die Antwort hat nichts mit Kryptografie zu tun, sondern hängt ganz davon ab, was eine Zertifizierungsstelle vor der Signierung überprüft hat.

Die Validierungsstufe ist eine prozedurale Achse, keine kryptografische.

Hier ist der Punkt, den die meisten Erklärer unter den Teppich kehren: Jedes öffentlich anerkannte „ TLS “-Zertifikat bietet im kryptografischen Sinne dieselbe Familie von Verschlüsselungsverfahren und dieselben Sicherheitsstufen. Was sich tatsächlich unterscheidet, ist der Validierungsprozess, den die Zertifizierungsstelle durchführt. Die Schlüsseltypen sind dieselben. Die Kettenberechnung ist dieselbe. Der Handshake „ TLS “ ist Byte für Byte identisch, unabhängig davon, ob es sich um ein DV-, OV- oder EV-Zertifikat handelt.

Was sich je nach Stufe unterscheidet, sind die Nachweise, die die Zertifizierungsstelle (CA) gesammelt hat, bevor sie der Signierung zugestimmt hat. Die Validierungsstufe ist eine Eigenschaft, die neben allen anderen Merkmalen eines Zertifikats steht und unabhängig von den kryptografischen Protokollen ist. Betrachten Sie es als einen verfahrenstechnischen Unterschied: Es geht darum, in welchem Umfang die Identitätsprüfung bei der Ausstellung stattgefunden hat, und nicht darum, wie stark die Sicherung danach ist. Sobald man diesen Blickwinkel einnimmt, fügt sich der Rest des Bildes schnell zusammen.

Wenn Sie wissen möchten, wie der Handshake und die anschließende Verschlüsselung technisch genau funktionieren, lesen Sie unseren Artikel zumSSL- bzw.TLS -Protokoll.

Die drei Ebenen, je nachdem, was die CA überprüft

Am einfachsten lassen sich DV, OV und EV verstehen, wenn man sie jeweils als Paar betrachtet: die im Zertifikat gemachte Angabe und die Art und Weise, wie die Zertifizierungsstelle diese Angabe vor der Signierung überprüft hat.

Domain-validiert (DV)

Die Behauptung:Wer diese Bescheinigung beantragt hat, hat die Kontrolle über den Domainnamen.

So erfolgt die Überprüfung:Die Zertifizierungsstelle (CA) bestätigt die Kontrolle über den Namen, in der Regel durch eine einfache automatisierte Überprüfung, beispielsweise einen „ DNS “-Eintrag, eine auf dem Server abgelegte Datei oder eine E-Mail an eine Adresse innerhalb der Domain. Somit ist die Domain-Validierung (DV) die einfachste und schnellste Validierungsart, die in der Regel innerhalb weniger Minuten ausgestellt wird. Es werden keine Unternehmensdaten überprüft oder angezeigt. DV eignet sich gut für persönliche Websites, interne Tools und alle Endpunkte, bei denen Sie kryptografische Sicherheit für den Client benötigen, ohne einen öffentlichen Identitätsanspruch geltend zu machen. Erfahren Sie mehr über die Domain-Validierung.

Von der Organisation validiert (OV)

Die Behauptung:Kontrolle über die Domain sowie eine echte, verifizierte juristische Person, die dahinter steht.

So erfolgt die Überprüfung:Die Zertifizierungsstelle führt alle Schritte durch, die auch bei der DV-Validierung erforderlich sind, und bestätigt anschließend die rechtliche Existenz der Organisation. Bei der OV-Ausstellung überprüft die Zertifizierungsstelle die Identität der Organisation anhand behördlicher Unterlagen und fordert entsprechende Nachweise an. Die verifizierten Angaben zur Organisation werden direkt in das Zertifikat selbst eingetragen. OV wird allgemein für kommerzielle Websites und alle Anwendungen empfohlen, die Nutzerdaten erfassen. Erfahren Sie mehr über die Organisationsvalidierung in unserem ausführlichen Leitfaden.

Erweiterte Validierung (EV)

Die Behauptung:Alles, was OV geltend macht, unterliegt strengeren, standardisierten Maßstäben.

So wird dies überprüft:EV ist die strengste Stufe. Die Zertifizierungsstelle führt eine eingehende Überprüfung der Organisation durch, um deren rechtliche, physische und operative Existenz zu bestätigen, und der Antrag muss von der Organisation selbst gestellt werden. EV unterliegt den 2007 erstmals festgelegten EV-Richtlinien des CA/Browser Forums (CABF), die die Prüfungen standardisieren: Bestätigung der Gründungsbehörde, Überprüfung einer physischen Adresse und Telefonnummer, Bestätigung, dass der Antragsteller befugt ist, im Namen der Organisation zu handeln, sowie die Anforderung, dass zwei Personen die Ausstellung genehmigen müssen. Dies bedeutet mehr Verwaltungsaufwand und strengere Kontrollen, die darauf abzielen, eindeutig nachzuweisen, dass die Organisation tatsächlich die ist, für die sie sich ausgibt. Erfahren Sie mehr über Extended Validation auf unserer entsprechenden Seite.

Beachten Sie, was bei allen drei Fällen gleich geblieben ist. Die Kryptografie selbst wurde mit steigender Stufe nicht sicherer. Nur der Identitätsnachweis wurde sicherer.

Wo wird die Validierungsstufe im Zertifikat angezeigt?

Falls der Browser Ihnen den Unterschied nicht mehr anzeigt, können Sie ihn dennoch direkt aus dem Zertifikat ablesen. Der Identitätsnachweis verschwindet nicht, wenn die Adressleiste leer bleibt. Er ist in den Feldern des Zertifikats enthalten.

Bei OV- und EV-Zertifikaten sind die verifizierten Organisationsdaten im Distinguished Name des Subjekts enthalten. EV-Zertifikate enthalten zusätzlich strukturierte Felder wie „businessCategory“, „jurisdictionOfIncorporation“ und eine Registrierungsnummer, die im Feld „serialNumber“ angegeben ist. Die Zertifikatsstufe selbst wird durch eine Richtlinienkennung (eine OID) in der Erweiterung „certificatePolicies“ gekennzeichnet.

Eine Feinheit sollte klar herausgestellt werden: Ein Zertifikat gibt nicht im Klartext an: „Ich bin EV“. Die EV-Erkennung ist eine Zuordnung, die die vertrauende Partei bereitstellt und bei der eine bestimmte Root- und Policy-OID mit dem EV-Status verknüpft wird. Das Zertifikat enthält die OID; die „ software “ entscheidet, was diese OID bedeutet. Genau dieses Design ist der Grund, warum der Indikator überhaupt entfernt werden konnte – ein Punkt, auf den wir noch zurückkommen werden.

Sie können all dies selbst überprüfen und herausfinden, welcher Stufe das Zertifikat genau angehört. Wenn Sie OpenSSL auf einen Online-Host verweisen, werden die Betrefffelder und die Richtlinien-Identifikatoren ausgegeben:

openssl s_client -connect keyfactor.com:443 -servername keyfactor.com </dev/null 2>/dev/null | openssl x509 -noout -subject -text

Sehen Sie sich die Betreffzeile für Organisationsfelder an und suchen Sie im Abschnitt „Zertifikatsrichtlinien“ nach der OID, die die Validierungsstufe angibt. In diesem Beispiel weist „Betreff: CN=Keyfactor.com“ darauf hin, dass der Common Name (CN) der Organisation„http://Keyfactor.com“lautet. Die Richtlinien-OID, die in der Zeile „X509v3-Zertifikatsrichtlinien: Richtlinie: 2.23.140.1.2.1“ zu finden ist, gibt an, dass dieses Zertifikat auf der DV-Stufe validiert wurde. Woher wissen wir das? Das entnehmen wir der folgenden Tabelle, die die jeweiligen OIDs für jede Stufe enthält.

OID	Stufe
2.23.140.1.1	EV
2.23.140.1.2.1	DV
2.23.140.1.2.2	OV

Eine umfassende Übersicht darüber, wie diese Elemente zusammenhängen, finden Sie inder Beschreibung der Felder, aus denen sich ein Zertifikat zusammensetzt. Dort werden der Subject-DN, die Erweiterungen und die Kodierung ausführlich erläutert.

Warum der Indikator verschwunden ist

Die EV-Anzeige wurde nicht aus einer Laune heraus entfernt. Untersuchungen zur Benutzerfreundlichkeit der Sicherheitsoberfläche des Browsers ergaben, dass die spezielle EV-Darstellung keine messbare Veränderung im Nutzerverhalten bewirkte. Das Chrome Security UX-Team von Google, dessen Ergebnisse im Chromium-Projekt öffentlich dokumentiert sind, kam zu dem Schluss, dass die EV-Anzeige den Nutzern nicht die beabsichtigte Bedeutung vermittelte, und Mozilla gelangte zu einer ähnlichen Schlussfolgerung, bevor es die Anzeige in Firefox entfernte. Die Nutzer nahmen weder sein Vorhandensein noch sein Fehlen wahr. Ein Signal, auf das niemand reagiert, erfüllt nicht den Zweck, für den es entwickelt wurde.

Es gab noch ein zweites Problem. Der Indikator war manipulierbar. Da er einen Organisationsnamen anzeigte, konnte ein Angreifer eine verwirrend ähnliche, aber legitime juristische Person registrieren, ein gültiges EV-Zertifikat dafür erhalten und genau an der Stelle, an der die Nutzer aufgefordert wurden, Vertrauen zu setzen, einen plausibel wirkenden Namen präsentieren. Das war keine hypothetische Situation: Im Jahr 2017 erwarb der Sicherheitsforscher Ian Carroll ein gültiges EV-Zertifikat für ein rechtmäßig registriertes Unternehmen, das er „Stripe, Inc.“ nannte, um genau diese Schwachstelle zu demonstrieren. Im Anschluss an die Erörterung der OIDs wird der Grund dafür deutlich: Da der EV-Status lediglich eine OID war, die der Browser interpretierte, konnte der Browser auch einfach beschließen, diese in der Adressleiste nicht mehr zu interpretieren. Und genau das ist geschehen.

Was man mit diesem Validierungslevel noch alles bekommt

Lässt man das Logo einmal außer Acht, bleibt dennoch eine kurze, ehrliche Liste von Vorteilen, die eine höhere Stufe bietet:

• Maschinenlesbare Identität.
  Die verifizierten Organisationsdaten stehen allen Systemen zur Verfügung, die Zertifikate auswerten: Sicherheitstools, Bestandsverwaltungssysteme, Betrugsprüfungen und interne Richtlinien-Engines. Die Adressleiste war nie der einzige Nutzer dieser Daten.
• Eine geringfügig höhere Schwelle für fehlerhafte Zertifikatsausstellungen.
  Eine strengere Überprüfung bei der Ausstellung bedeutet, dass es für böswillige Akteure etwas schwieriger ist, ein Zertifikat zu erhalten, das fälschlicherweise die Identität einer Organisation angibt.
• Vertragliche oder regulatorische Konformität.
  In einigen Vereinbarungen und Compliance-Regelwerken wird eine bestimmte Stufe genannt.Wenn eine Anforderung „OV“ oder „EV“ vorsieht, entspricht die Stufe dem zu erbringenden Ergebnis – Punkt.

Das deutlichste historische Beispiel spielte sich gänzlich außerhalb der Server- TLS ab. Bei der EV-Code-Signierung war diese Ebene früher von entscheidender Bedeutung. Die Microsoft SmartScreen-Reputation, die die Warnmeldungen steuert, die Benutzer beim Ausführen heruntergeladener software sehen, baute sich früher bei mit EV-Zertifikaten signierten Binärdateien schneller auf, sodass die zusätzliche Überprüfung zu einem konkreten Ergebnis führte: weniger beunruhigende Warnmeldungen für Endbenutzer. Dieser Vorteil ist nun weggefallen. Im Rahmen von Änderungen an den Anforderungen des Microsoft Trusted Root Program hat Microsoft Anfang 2024 die Anerkennung von EV-Code-Signing-Zertifikaten eingestellt und später im selben Jahr die EV-Code-Signing-Identifikatoren aus seinen vertrauenswürdigen Stammzertifikaten entfernt, sodass EV- und OV-Code-Signing-Zertifikate nun auf dieselbe Weise eine Reputation aufbauen. Dies ist ein anschauliches Beispiel dafür, wie schnell sich der praktische Nutzen einer Stufe ändern kann. Halten Sie die Bilanz ehrlich und kurz. Abgesehen von einigen wenigen Punkten wie diesen leistet diese Stufe nicht viel mehr als die DV-Stufe.

Was angeglichen wurde: Gültigkeitsdauer von Zertifikaten

Falls Sie die Validierungsstufen zuletzt vor einigen Jahren überprüft haben, ist ein weiteres Unterscheidungsmerkmal still und leise weggefallen. Die Gültigkeitsdauer von Zertifikaten verkürzt sich durchweg. Die Branche bewegt sich auf eine maximale Gültigkeitsdauer von 47 Tagen zu – als Teil eines umfassenderen Wandels hin zu agilerem Zertifikatsmanagement als Kernkompetenz der PKI. Entscheidend ist, dass die kürzeren Gültigkeitsdauern einheitlich für DV-, OV- und EV-Zertifikate gelten. Die Validierungsstufe führt nicht mehr zu einer längeren Gültigkeitsdauer des Zertifikats. Die Gültigkeitsdauer ist schlichtweg kein Hebel mehr, der von der Validierungsstufe gesteuert wird.

So wählen Sie in der Praxis eine Validierungsstufe aus

Da die Ebenen dieselbe zugrunde liegende Kryptografie nutzen und nun auch dieselbe Lebensdauer haben, ist die Wahl einer davon weniger eine Entscheidung hinsichtlich der Sicherheitslage als vielmehr eine Frage der Anforderungen. Stellen Sie sich drei Fragen:

1. Muss die Zertifikatsausstellung automatisiert werden?
   Zertifikate mit hohem Ausstellungsvolumen und kurzer Gültigkeitsdauer eignen sich besonders für die DV-Prüfung, da diese innerhalb weniger Minuten erfolgt und sich nahtlos in automatisierte Arbeitsabläufe einbinden lässt. Eine umfassendere Identitätsprüfung lässt sich hingegen nur schwer vollständig automatisieren.
2. Werden die Identitätsfelder in nachgelagerten Prozessen genutzt?
   Wenn Tools, Partner oder interne Richtlinien die verifizierten Organisationsdaten aus dem Zertifikat auslesen, sind OV- oder EV-Zertifikate gerechtfertigt. Wenn niemand diese Daten ausliest, zahlen Sie für Daten, die niemand nutzt.
3. Wird in einer Compliance-Regelung oder einem Vertrag eine Stufe genannt?
   Wenn in einer Anforderung „OV“ oder „EV“ angegeben ist, hat diese Angabe Vorrang vor allem anderen.

Beantworten Sie diese Fragen, und die Stufe ergibt sich meist von selbst. Passen Sie das Zertifikat an den Zweck Ihrer Website, das Risikoprofil und die Vertrauensanforderungen an. Indem Sie dies anhand konkreter Anforderungen neu formulieren, bleibt die Entscheidung fundiert und nicht nur vage.

So unterstützt Sie „ Keyfactor “ bei der Verwaltung von Validierungsstufen in großem Maßstab

Der rote Faden dieses Artikels ist, dass Identitätsdaten unabhängig davon, was der Browser anzeigt, im Zertifikat gespeichert sind und dass bestimmte Sicherheitsstufen echte Auswirkungen auf die Compliance haben. Beide Tatsachen führen zu operativem Aufwand, sobald man mehr als nur eine Handvoll Zertifikate besitzt – und die meisten Teams verwalten Dutzende oder Hunderte davon in ihren Umgebungen.

Genau hier spielt das Zertifikatslebenszyklusmanagement seine Stärke aus.Durch Erfassung und Bestandsaufnahmewerden alle tatsächlich vorhandenen Zertifikate offengelegt – einschließlich der jeweiligen Stufe und der Identitätsfelder, die jedes einzelne enthält –, sodass Sie nicht raten müssen. Die automatisierte Erfassung erstellt eine genaue Bestandsaufnahme Ihrer Zertifikate, sodass Sie kostspielige und störende Ausfälle verhindern und die Transparenzlücke schließen können, die mit steigender Zertifikatsanzahl wächst. Die Automatisierung des Lebenszyklusübernimmt dann die Ausstellung und Erneuerung von DV-, OV- und EV-Zertifikaten – was heute wichtiger denn je ist, da die Gültigkeitsdauer auf 47 Tage sinkt und die manuelle Nachverfolgung zu einem Risiko geworden ist. Schließlich stelltdie Durchsetzung von Richtliniensicher, dass die richtige Stufe verwendet wird, wenn eine Vorschrift oder ein Vertrag dies vorschreibt, sodass eine Compliance-Anforderung nicht unbemerkt zu einem Prüfungsbefund wird.

Es geht nicht um mehr Funktionen. Es geht darum, zu wissen, was man hat, es auf dem neuesten Stand zu halten und sicherzustellen, dass an der richtigen Stelle das richtige Validierungsniveau vorhanden ist.