Zertifikate von Servern, Hinweise für User

Transkript

1 HS-Anhalt (FH) Fachbereich EMW Seite 1 von 11 Stand Zertifikate von Servern, Hinweise für User Diverse Struktureinheiten bzw. Fachbereiche der Hochschule Anhalt (FH) betreiben eigene WWW-Server, Mail-Server oder VPN-Zugänge, denen allen gemeinsam ist, dass auch von außerhalb des LAN s über das Internet auf diese Server zugegriffen werden kann. Dabei steigt der Sicherheitsbedarf bei der Kommunikation zwischen Client und Servern ständig an. Die unverfälschte Übertragung der Daten, Verschlüsselung der Kommunikation und die Sicherung der Identität der Server sind Erfordernisse, die bei der Nutzung des Internets als Übertragungsweg immer wichtiger werden. Das Klassische Online-Banking per Browser über das Internet ist ein gutes Beispiel für den erhöhten Sicherheitsbedarf. Dabei kommt es insbesondere darauf an, dass sich der Server gegenüber dem Client mit Hilfe eines Zertifikates ausweist, so dass der Nutzer sich sicher sein kann, dass es sich wirklich um den Server seiner Bank und nicht um einen Server zweifelhafter Herkunft handelt. Die Kommunikation zwischen Client und Server erfolgt verschlüsselt, so dass niemand den Datenverkehr abhören bzw. verfälschen oder dgl. kann. Bei der Kommunikation mit WWW- oder Mail-Servern der Hochschule kommt es in erster Linie darauf an, die Daten verschlüsselt und somit für andere unlesbar zu übertragen. Besonders bei der Übertragung von Anmeldeinformationen (Name & Passwort) bei der Nutzung personalisierter Webseiten oder beim Zugriff auf das Mailpostfach ist der Schutz der Kommunikation wichtig. Sie erkennen solche Web-Seiten mit gesicherter (verschlüsselter Kommunikation) am s hinter dem Schlüsselwort http in der Adresszeile des Browsers. Die Adresse beginnt also immer mit statt mit Beispiele sehen Sie hier. In der Regel zeigt auch die Statusleiste des Browsers (meistens unten rechts) ein kleines geschlossenes Schloss als Symbol, wie im Bild zu sehen. Ist dieses Schloss geöffnet, handelt es sich um eine offene (unverschlüsselte) Datenübertragung. Bei gesicherter (verschlüsselter) Übertragung ist das Schloss geschlossen. Beim Internet Explorer 7 ist das Schloss-Symbol gleich oben rechts neben der URL zu sehen. Zusätzlich wird die URL bei Zertifikatsproblemen farbig hinterlegt. Die Verschlüsselung der Datenübertragung ist immer an ein Zertifikat gebunden. Dieses Zertifikat wird in den hier beschriebenen Fällen auf den Server ausgestellt, den Sie kontaktieren wollen. Eine übergeordnete Zertifizierungsstelle prüft die Identität des Administrators und aller im Zertifikat gemachten Angaben, und signiert/unterschreibt das Serverzertifikat mit seinem eigenen Zertifikat. Sobald Sie im Browser auf eine gesicherte Webseite gelangen, muss sich der Server Ihnen gegenüber ausweisen und sendet automatisch sein Zertifikat an Ihren Browser. Kennt Ihr Browser dieses Zertifikat bzw. ist es durch Sie bereits als vertrauenswürdig eingestuft, läuft diese Prüfung transparent im Hintergrund ab. Sie bemerken quasi nichts davon. Die Kommunikation läuft normal weiter. Kennt Ihr Browser das Zertifikat des Servers jedoch noch nicht, ist die Gültigkeit des Zertifikats abgelaufen oder wenn das Zertifikat ungültig ist, gibt der Browser eine Sicherheitswarnung aus, die Sie darauf hinweist. Je nach Browser ist das Aussehen dieser Warnung unterschiedlich. 02-Server-Zertifikate Hinweise fuer User.doc Seite 1 von 11

2 HS-Anhalt (FH) Fachbereich EMW Seite 2 von 11 Stand Sie finden hier Beispiele für den Internet-Explorer 6 und Mozilla-Firefox. Beim Internet Explorer 7 fällt die Warnung schon sehr deutlich aus. Quasi so, dass man schon fast einen Schreck bekommt 02-Server-Zertifikate Hinweise fuer User.doc Seite 2 von 11

3 HS-Anhalt (FH) Fachbereich EMW Seite 3 von 11 Stand Sie sollten nun das Zertifikat untersuchen, indem Sie auf Zertifikat anzeigen bzw. Ansehen klicken. Wenn Sie auf Nein bzw. Abbrechen oder Schließen klicken, wird die Kommunikation nicht weiter fortgesetzt. Sollten Sie durch die Angaben im Serverzertifikat von der Identität des Servers überzeugt sein, können Sie durch Klick auf Ja bzw. OK die Datenübertragung fortsetzen. Diese Aussage gilt dann aber nur für die aktuelle Browsersitzung. Wenn Sie in Zukunft wieder zu der Seite gelangen, erfolgt erneut die Warnung. Wie Sie das verhindern können, wird später noch gezeigt. Zunächst hier die Beispiele der genannten Browser, wenn Sie die Zertifikate anzeigen lassen. Die Fingerabdrücke(Fingerprints) lassen sich auf den Webseiten der Zertifikatsaussteller kontrollieren und die Zertifikate komplett vergleichen. Das ist möglich, weil die Zertifikatsaussteller in der Regel alle durch sie signierten Zertifikate auf ihren Webservern veröffentlichen. Oben Internetexplorer, unten Firefox 02-Server-Zertifikate Hinweise fuer User.doc Seite 3 von 11

4 HS-Anhalt (FH) Fachbereich EMW Seite 4 von 11 Stand Da es bei regelmäßigen Besuchen dieser Webseiten sehr lästig sein kann, immer diese Prüfung manuell durchzuführen, sollten Sie bei diesen Webseiten die Zertifikate dauerhaft installieren. Dann erfolgt in Zukunft automatisch und transparent im Hindergrund eine Prüfung, ob es sich noch um das gleiche Zertifikat handelt und ob es noch gültig ist. Sie bekommen quasi nichts mehr davon mit. Nur bei Änderungen werden Sie wieder informiert. Von Browser zu Browser ist das wieder sehr unterschiedlich gelöst. Beim Firefox setzen Sie einfach den Haken vor Dieser CA vertrauen, um Webseiten zu identifizieren und bestätigen mit OK. In Zukunft wird Sie Firefox nicht mehr fragen. (Hinweis: Sie akzeptieren damit aber nur das einzelne Serverzertifikat selbst) Siehe folgendes Bild: Beim Internetexplorer ist das zwar nicht so einfach, aber technisch wesentlich besser gelöst. Im Windows gibt es eine eigene hierarchische Zertifikatsverwaltung in der u.u, mehrere Zertifikate installiert werden müssen. Dort wird aber das Prinzip einer gestuften Zertifikatsverwaltung sehr schön deutlich. Wir werden es am Beispiel des Internetexplorers gleich ansehen. Zunächst jedoch einige Vorbemerkungen. Alle Hochschulen sind automatisch Mitglied im DFN-Verein (Deutsches Forschungsnetz), über den sie auch den Internetzugang erhalten. Im DFN-Verein existiert eine PKI (public key infrastructure), die den strengen Richtlinien des Signaturgesetzes genügt und Zertifikate auch für Server erstellt. Diese Zertifikate sind für Hochschulen kostenlos, was einen großen finanziellen Vorteil bedeutet. Kommerzielle Firmen bezahlen für Ihre Zertifikate bei Trustcentern jährlich viele Hundert Euro. Nun kann man sich sicher gut vorstellen, dass es ein erheblicher Aufwand ist, die tausenden Server an allen Hochschulen Deutschlands zu zertifizieren. Ein Aufwand der eigentlich von niemandem zu schultern ist. Deshalb kommt eine Baumstruktur zum Einsatz mit gestuften Zwischenzertifizierungsstellen, die ihrerseits Zertifikate nur für ihren eigenen Bereich erstellen. Die Hochschule Anhalt (FH) betreibt unter dem Dach des DFN-Vereins eine eigene Zertifizierungsstelle, die es den Struktureinheiten der Hochschule ermöglicht, fortgeschrittene Serverzertifikate zu erstellen. Diese Zertifizierungsstelle ist unter der Adresse; zu erreichen. 02-Server-Zertifikate Hinweise fuer User.doc Seite 4 von 11

5 HS-Anhalt (FH) Fachbereich EMW Seite 5 von 11 Stand Durch die vielen Zwischenzertifizierungsstellen an den vielen Hochschulen entsteht eine Baumstruktur, wie Sie sie auch von anderen Dingen her kennen. Automatisch ergibt sich damit innerhalb der PKI ein Zertifizierungspfad vom Serverzertifikat, über das Zertifikat einer oder mehrerer Zwischenzertifizierungsstellen bis hin zum Root-Zertifikat der Deutschen Telekom Root CA 2. Schauen wir es uns nun am Beispiel des Internetexplorers an. Siehe nächstes Bild. Betrachten wir das Serverzertifikat im Internet-Explorer und wechseln auf die Registerkarte Zertifizierungspfad. Hier ist sehr schön der Pfad vom Server (mail.emw.hs-anhalt.de) über die Zwischenzertifizierungsstellen (HS Anhalt CA G02) und (DFN-Verein PCA Global G01) bis zur Root der PKI (Deutsche Telekom Root CA 2) zu sehen. Alle Zertifikatssymbole sind grün und enthalten kein rotes Kreuz. Das bedeutet, dass Sie gültig sind, nicht widerrufen wurden und auch nicht angelaufen sind. Das jeweils über einem Zertifikat liegenden Zertifikate wurde benutzt, um das eigentliche Zertifikat zu signieren. Damit wurde durch die Unterschrift quasi bestätigt, dass die Identität geprüft wurde und bestätigt wird. Das Zertifikat des Servers mail.emw.hs-anhalt.de ist gültig und wurde durch die Zwischenzertifizierungsstelle an der HS-Anhalt ausgestellt (geprüft und signiert). Das Zertifikat der HS Anhalt CA ist ebenfalls gültig und wurde durch DFN-Verein (ebenfalls eine Zwischenzertifizierungsstelle) geprüft und signiert. Das Zertifikat des DFN-Vereins wurde durch die Deutsche Telekom ausgestellt (geprüft und signiert) Das Root-Zertifikat der Deutschen Telekom Root CA 2 ist im Internet Explorer bereits fest integriert und immer bekannt. Somit ergibt sich eine Vertrauenskette von unten nach oben, die nur dann geschlossen ist, wenn alle Zertifikate bis hoch zur Root nicht abgelaufen und noch gültig sind. Wird nur ein Zertifikat dieser Kette widerrufen oder ungültig, kann die Identität des Servers am untersten Ende der Kette nicht bestätigt werden, und es erfolgen durch den Browser entsprechende Warnungen, wie am Anfang gezeigt. 02-Server-Zertifikate Hinweise fuer User.doc Seite 5 von 11

6 HS-Anhalt (FH) Fachbereich EMW Seite 6 von 11 Stand Ein gut konfigurierter Server sendet bei Anfrage durch einen Client neben seinem eigenen Serverzertifikat auch alle anderen Zertifikate der Zwischenzertifizierungsstellen der Zertifikatskette. Das ist Voraussetzung dafür, dass der Browser die ganze Kette prüfen kann. Da der Internet Explorer von Hause aus (bei Auslieferung durch Microsoft) das Root-Zertifikat der Deutschen Telekom Root CA 2 bereits als vertrauenswürdige Stammzertifizierungsstelle implementiert hat, liegt ihm somit implizit auch das Root-Zertifikat vor. Basierend auf dem Vertrauen, das der Internet Explorer vertrauenswürdigen Stammzertifizierungsstellen entgegenbringt, kann er nun alle Zertifikate und deren gegenseitiges Vertrauen vom Server bis hoch zur Root prüfen. Wird am Client als Browser der Internet Explorer benutzt, muss man als User also nichts installieren und keine Zertifikate prüfen. Es läuft alles transparent ab. Bei anderen Browsern, die das Zertifikat der Deutschen Telekom Root CA 2 nicht bereits als vertrauenswürdige Stammzertifizierungsstelle kennen, muss es einmalig als vertrauenswürdige Stammzertifizierungsstelle installiert werden. Bei Firefox ist das z.z. im Moment noch erforderlich. Die beschriebene gestufte Windows-Zertifikatsverwaltung ist die Voraussetzung für eine leichte Handhabung durch den Benutzer (also Sie zu Hause im Browser) Es sind nie die Zertifikate der Server selbst zu installieren, sondern nur die Zertifikate der Root-CA Die Zertifikate der Zwischenzertifizierungsstellen brauchen nicht installiert zu werden, wenn der Server sie automatisch mit sendet. Sollten Sie z.b. innerhalb der Hochschule Anhalt auf weitere von DFN zertifizierte Server stoßen, so findet die Prüfung automatisch und auch transparent im Hintergrund erfolgreich statt. Das Root-Zertifikat der Telekom Root CA 2 haben Sie ja ohnehin schon installiert. Die Gültigkeit eines DFN-Serverzertifikats von z.b. kann somit sofort erfolgreich geprüft werden. Darüber hinaus gilt das implizit für die Vertrauenswürdigkeit für alle Server innerhalb der DFN-PKI, also alle Server an allen Deutschen Hochschulen. Zusammenfassung Im Internetexplorer brauchen Sie nicht einmal das Root-Zertifikat der Deutschen Telekom Root CA 2 zu installieren. Der Browser bringt es bereits mit. Da richtig konfigurierte SSL-Webserver alle Zertifikate ihrer Zwischenzertifizierungsstellen automatisch mit an den Client senden, ist es nicht erforderlich die Zertifikate der Zwischenzertifizierungsstellen ebenfalls zu importieren. Wer dennoch die Zertifikate der HS-Anhalt-CA und des DFN-Vereins importieren möchte, oder das Root-Zertifikat im Firefox importieren möchte, kann das hier tun: Bei der Prüfung von Personenzertifikaten wird das jedoch erforderlich sein. Bei Serverzertifikaten, um die es hier geht, spielt das keine Rolle. Wechseln Sie zum Import auf die Registerkarte CA-Zertifikate. Dort finden Sie die Registerkarten Wurzelzertifikat, DFN-PCA Zertifikat und das HS Anhalt CA Zertifikat. Sie können die Zertifikate im Firefox einfach importieren. 02-Server-Zertifikate Hinweise fuer User.doc Seite 6 von 11

7 HS-Anhalt (FH) Fachbereich EMW Seite 7 von 11 Stand Zertifikatsverwaltung im Browser In den Browsern können die installierten Zertifikate eingesehen, kontrolliert und ggf. auch gelöscht und gesperrt werden. Die Zertifikatsverwaltung in Windows kann über das Zertifikats-Snap-In der Managementkonsole oder einfach über den Internetexplorer erfolgen. Hier können wir jederzeit die Zertifikate einsehen. Klicken Sie dazu im Menü des Internetexplorers auf Extras, Internetoptionen. Wechseln Sie auf die Registerkarte Inhalte, Klicken Sie auf Zertifikate. Wechseln Sie auf die Registerkarte Vertrauenswürdige Stammzertifizierungsstellen. Das sind alle Rootzertifikate die der Internet Explorer im Moment kennt. D.h. alle die er von Hause aus kennt und alle die Sie dort selbst installiert haben. Dort sollte in der Liste das Zertifikat Deutsche Telekom Root CA 2 aufgelistet sein. Durch Doppelklick auf diesen Eintrag lässt es sich öffnen und untersuchen. Das ist das Root-Zertifikat der Telekom Root CA Server-Zertifikate Hinweise fuer User.doc Seite 7 von 11

8 HS-Anhalt (FH) Fachbereich EMW Seite 8 von 11 Stand Auf der Registerkarte Zwischenzertifizierungsstellen können die Zertifikate der HS Anhalt CA G02 und das DFN-Verein PCA Global-G01 zu finden sein, sofern Sie diese importiert haben. Schauen wir sie auch per Doppelklick einmal an. Zuerst das DFN-Zertifikat. 02-Server-Zertifikate Hinweise fuer User.doc Seite 8 von 11

9 HS-Anhalt (FH) Fachbereich EMW Seite 9 von 11 Stand Und nun das HS-Anhalt-Zertifikat. An diesen Stellen lassen sich also auch im Nachhinein Zertifikate kontrollieren, importieren und bei Bedarf auch löschen. Die hier installierten Zertifikate werden im Windows-Zertifikatsspeicher benutzt. Dieser wird z.b. auch von Outlook benutzt, wenn Sie evtl. Outlook zur Mailabfrage von extern im Modus RPC over https bzw. Outlook-Anywhere benutzen. Diese Zwischenstellen- Zertifikate müssen Sie nicht installieren. Wenn Sie mit Personen-Zertifikaten signierte oder verschlüsselte Mails mit Outlook lesen, werden ebenfalls die dazu nötigen Zertifikate aus dem Windows-Zertifikatspeicher benutzt und Sie können diese im Internetexplorer wie gezeigt einsehen. Im Mozilla Firefox( ) sieht es etwas anders aus. 02-Server-Zertifikate Hinweise fuer User.doc Seite 9 von 11

10 HS-Anhalt (FH) Fachbereich EMW Seite 10 von 11 Stand Man klickt im Menü auf Extras, Einstellungen, Erweitert wählt auf der Registerkarte Verschlüsselung, Zertifikate anzeigen. Nun kann man die Registerkarte Zertifizierungsstellen auswählen. Per Doppelklick könnte man auch hier die Zertifikate einsehen. Das Zertifikat Deutsche Telekom Root CA 2 ist dort in der Regel aber nicht vorhanden. Es muss erst installiert werden. Öffnen Sie dazu im Firefox die URL Akzeptieren Sie das Zertifikat nur temporär und klicken Sie auf OK. Wechseln Sie auf die Registerkarte CA-Zertifikate und klicken Sie auf das Register Wurzelzertifikat. Setzen Sie nun den Haken vor Dieser CA vertrauen, um Websites zu identifizieren und bestätigen Sie mit OK. Danach finden Sie das Zertifikat auch im Firefox an der oben beschriebenen Stelle. 02-Server-Zertifikate Hinweise fuer User.doc Seite 10 von 11

11 HS-Anhalt (FH) Fachbereich EMW Seite 11 von 11 Stand Zum Verständnis: Wir haben gerade im Firefox das Root-Zertifikat der Telekom Root CA 2 installiert, weil er es von Hause aus noch nicht kennt. Damit haben wir das nachgeholt, was der Internet Explorer bereits mitbringt. Zwischenstellen-Zertifikate oder gar einzelne Serverzertifikate müssen in der Regel nicht installiert werden, weil die WWW-Server diese Zertifikate mit bereitstellen sollten. Das kann nur erforderlich sein, falls solche Server schlecht konfiguriert sind. Durch zusätzliche Installation können Sie sich quasi selbst helfen. Sie sollten aber besser den Server-Admin informieren, damit er es korrigiert. Soviel im Grossen und Ganzen zum Zweck der Serverzertifikate und wie Sie sie importieren und kontrollieren können. Viel Erfolg bei der Nutzung von Serverzertifikaten der HS-Anhalt-CA. 02-Server-Zertifikate Hinweise fuer User.doc Seite 11 von 11