Loading ...Als Server-Administrator möchte man doch gerne einige Bereiche mit SSL absichern, da ja ohne SSL ein passwortgeschützer Bereich nicht wirklich Sinn macht, weil sonst das Passwort im Klartext über das Netz geht. Oder auch einfach um Emails zu signieren.
Bei den klassischen Zertifizierungsstellen wie z.B. Verisign oder Thawte kostet so ein Zertifikat schnell einmal um die 250 sFr. pro Jahr, ein Wildcard Zertifikat für mehrere Subdomains sogar noch mehr. Ich finde das ein recht stolzer Preis, wenn man bedenkt, dass das Signieren vollautomatisch gemacht wird. Klar muss einiges an Aufwand betrieben werden, damit die ganze PKI Infrastruktur entsprechend geschützt ist. Aber ob das diese Preise rechtfertigt?
Bei CAcert.org bekommt man ein SSL Zertifikat umsonst! Damit die Identität des Zertifikatsinhaber festgestellt werden kann, gibt es ein Punktesystem: Je mehr Punkte man hat, desto mehr ist die eigene Identität verifiziert. Zu Punkten kommt man, indem man sich offline mit einem Assurer (=Person die selbst schon viele Punkte hat) trifft und einen gültigen Ausweis mitnimmt. Je nach dem wie viele Punkte der Assurer hat, desto mehr bekommt man dann selber.
Auf der Webseite von CAcert kann man andere Leute in der Umgebung finden und diese dann für ein Treffen anschreiben. So kann man stetig seine eigenen Punkte erhöhen bis man selber ein Assurer ist und anderen Leuten helfen kann.
Der Nachteil bei CAcert ist, dass das Root Zertifikat nicht schon bei den gängigen Betriebssystemen und Webbrowsern dabei ist. Desshalb erscheint dann beim Surfen auf einer solchen Seite zuerst ein Dialog, wo dann der Benutzer zuerst bestätigen muss, dass er dem Zertifikat vertraut. Man kann natürlich das Root Zertifikat selber beim System bekannt machen, so dass man selber allen Zertifikaten von CAcert vertraut.
CAcert möchte dies natürlich gerne Ändern. Zum Beispiel bei Mozilla findet eine Diskussion über die integration in Firefox statt. Hoffentlich wird die PKI Infrastruktur bald durch einen Audit verifiziert und das Zertifikat findet seinen Weg in die gängigsten Browsern.
Cacert ist wirklich toll. Leider sitzt man in Firmen dann häufig trotzdem neben dem Stuhl, wenn die Proxies nur die Keys der Grossen kennt.
Bei den Preisen der Grossen würde ich nicht nur den Schutz der Schlüssel etc erwarten, sondern auch eine Gegenleistung in Form einer gescheiten Prüfung der Identität.
Wenn ich da an mein Zertifikat von Equifax denke… Eine Kommunikation über die Webseite, welche mit einer automatischen Telefonanfrage und der Aufnahme meiner Stimme auf Band endete… Das für 150 US $ für zwei Jahre…
Ich habe meine Punkte auf Cacert an einer Key-signing-Party der LUGBE geholt.
Sehr geehrte Damen und Herren!
Ich habe einige fragen an Sie, betreff Zertifikate.
Was für Vorteile habe ich, wann ich ein Zertifikat habe?
Für was, und wie kann ich das Zertifikat einsetzen?
Das Kostenlose Zertifikat, und die Zertifikate die was Kosten, was ist der Unterschied?
Mit freundlichen Grüssen
Sicherheitsdienst
Harry Walter Plüss
Auf Wikipeda gibt es einen guten Artikel über Zertifikate: http://de.wikipedia.org/wiki/Digitales_Zertifikat
———————————
Hier ein kleiner Auszug: Um beim Einsatz von asymmetrischen Kryptosystemen falsche (z. B. untergeschobene) von echten Schlüsseln zu unterscheiden, wird ein Nachweis benötigt, dass der verwendete öffentliche Schlüssel auch zum designierten Empfänger der verschlüsselten Nachricht bzw. zum Sender einer elektronisch signierten Nachricht gehört. Außerdem muss bei der Verschlüsselung bzw. Prüfung der digitalen Signatur sichergestellt werden, dass der Schlüssel auch mit diesem kryptographischen Verfahren und für den angedachten Anwendungsbereich verwendet werden darf. Diese Nachweise werden durch digitale Zertifikate geleistet.
Typische Anwendungen von digitalen Zertifikaten sind
* elektronische Signaturen,
* die Sicherheit in Netzwerkprotokollen (z.B. SSL, IPsec oder SSH) oder
* der Schutz von E-Mails (z.B. mit S/MIME oder PGP).
———————————
Der Unterschied zwischen einem kostenlosen und einem kostenpflichtigen Zertifikat ist meistens, dass die Root Zertifikate von kostenlosen Zertifizierungsstellen nicht in den gängigen Betriebssystemen und Browsern integriert sind. Dies hat zur Folge, dass man z.B. beim Surfen auf einer solchen Seite mit https das Zertifikat selber noch als Vertrauenswürdig akzeptieren muss - auf öffentlichen, geschäftlichen Seiten selten eine alternative. Die gratis Zertifizierungsstellen streben aber eine Integration an. StartCom hat dies z.B. bei Mozilla bereits erreicht: http://www.heise.de/newsticker/result.xhtml?url=/newsticker/meldung/73850&words=StartCom
Ich kann übrigens nun selber Punkte vergeben. Wer welche braucht kann sich bei mir melden. Treffpunkt wäre Zürich oder auch Bremgarten AG.