SSL-Zertifikate

Der Einsatz von SSL-Zertitifikaten für InterNet-Päsenzen hat primär 2 Gründe:

• Die verschlüsselte Übertragung von Seiteninhalten
• Den Nachweis der Authenzität über den Seitenbetreiber

Insbesondere seit dem es Phishing-eMails gibt, sollte man sich die Frage stellen, ob der Versender der eMail auch der ist, für den man ihn hält.
Das geschulte Auge wird Phishing-eMails wie auch virenbehaftete eMails schon an der Art und Weise erkennen. Doch nicht jedes Auge ist entsprechend sensibel, was den Erfolg der Phishing-eMails belegt.
Im eMail-Bereich gibt es derzeit keinen wirklichen praxistauglichen Mechanismus, um zu erfahren, ob der angegebene Abender der eMail wirklich der ist, für den man ihn hält.

Im Bereich der SSL-Zertifikate gibt es diese zweifelsfreie Information, auch wenn leider zu wenige hiervon wissen.
Greifen Sie z.B. mit dem MS InterNet-Explorer auf eine SSL-Seite zu (z.B. https://payment.ambos-is.net), erscheint rechts unten in der Statusleiste ein "gelbes Schloss". Fahren Sie mit der Maus über dieses Symbol, erscheint der Hinweis auf die Verschlüsselung.
Was nun leider nicht jeder weiss, ist, dass man dieses Symbol auch anklicken kann.

Bereits auf der ersten Seite erfahren Sie, für welche WebSite das Zertifikat ausgestellt ist. Ferner erfahren Sie, von wem es ausgestellt wurde.
Aber ob die WebSite, die Sie angesurft haben, wirklich demjenigen gehört, von dem Sie glauben dass sie ihm gehört, wissen Sie nicht.
Klicken Sie einmal auf den Reiter "Details", erfahren Sie auf der recht unübersichtlichen Informationsseite unter "Antrangsteller", auf wen das Zertifikat registriert wurde.


Die hiermit gewonnenen Informationen dürften für Sie ausreichend sein, um zu entscheiden, ob man PINs, TANs oder Kreditkartennummern auf der Seite eingibt, oder es doch besser sein lässt.


Bei vielen Innovationen bleiben häufig Detailfeatures im Alltag auf der Strecke - so wie auch dieses Feature, dass man in Erfahrung bringen kann, wem die WebSite denn eigentlich gehört.



So sind die traditionellen SSL-Zertifikate primär deshalb so teuer, da ganz besonderer Wert auf die Authentität gelegt wird. D.h. der Überprüfung der Adressdaten des Antragsstellers wird besondere Aufmerksamkeit geschenkt.
Auch bei der Übergabe des signierten "SSL-Keys" gilt häufig das Prinzip des persönlichen und direkten Kontaktes. "Private-Keys" sollten keinesfalls per eMail übertragen werden.


Die Vertrauenswürdigkeit von Zertifikaten hängt von den Verfahren ab, nach denen sie ausgestellt werden. Diese Verfahren werden in Richtlinien definiert. Alle angebotenen Zertifikate werden in eine Klasse eingeordnet, die die grundsätzliche Art der Überprüfung der Inhalte des Zertifikats und der Identitätsfeststellung des Zertifikatsinhabers festlegt. Je höher die Zertifikatsklasse, desto umfangreichere Identitätsprüfungen liegen der Ausstellung eines Zertifikates zu Grunde.

• Class 0 - keinerlei Prüfung, Testzertifikate
• Class 1 - geprüfte E-Mailadresse
• Class 2 - schriftliche Bestätigung, das die Angaben korrekt sind
• Class 3 - amtliche Dokumente erforderlich
• Class 4 - erweiterte Identitätszertifikate (zusätzlich: Face-to-Face-Identifizierung)