Zum Hauptinhalt springen

Zertifikate

Einleitung​

Die Sicherheit der Kommunikation im Internet ist von entscheidender Bedeutung, insbesondere bei webbasierten Anwendungen wie iSign. Um sicherzustellen, dass Datenübertragungen verschlüsselt und vor unbefugtem Zugriff geschützt sind, wird SSL/TLS-Verschlüsselung eingesetzt. Dazu werden SSL-Zertifikate benötigt, die die Identität des Servers bestätigen und die verschlüsselte Kommunikation ermöglichen.

iSign Server verwendet Zertifikate für HTTPS, während iSign MQTT-Player Zertifikate für MQTTS nutzt. Beide können unabhängig voneinander konfiguriert werden.

iSign unterstützt drei verschiedene Arten von SSL-Zertifikaten:

  • Kundenzertifikate (z. B. Unternehmens-CA)
  • Let's Encrypt-Zertifikate
  • Selbst signierte Zertifikate

Es ist auch möglich, SSL zu deaktivieren. Allerdings kann das System in diesem Fall nicht in vollem Umfang genutzt werden, da die Authentifizierung ohne SSL nicht sicher ist und weitere sicherheitskritische Funktionen beeinträchtigt sein können.

Im Folgenden werden die Unterschiede zwischen diesen Methoden erläutert und deren Vor- und Nachteile beschrieben.

1. Kundenzertifikate (z.B. Unternehmens-CA)​

Beschreibung​

Ein Kundenzertifikat wird von einer unternehmenseigenen Zertifizierungsstelle (CA, Certificate Authority) ausgestellt. Dies ermöglicht es Unternehmen, ihre eigenen Zertifikate zu verwalten und eine zentrale Sicherheitsinfrastruktur zu betreiben.

Vorteile​

  • Hohe Vertrauenswürdigkeit innerhalb des Unternehmensnetzwerks
  • Kontrolle über die eigene Zertifikatsvergabe und -verwaltung
  • Möglichkeit zur Anpassung der Zertifikatsrichtlinien an unternehmensspezifische Anforderungen

Nachteile​

  • Nicht automatisch von externen Clients und Browsern als vertrauenswürdig anerkannt
  • Die CA für HTTPS muss auf allen Playern als vertrauenswürdig eingestuft werden
  • Die CA für MQTTS muss auf allen EPDs als vertrauenswürdig eingestuft werden
  • Pflege und Verteilung der Zertifikate erfolgt manuell

2. Let's Encrypt-Zertifikate​

Beschreibung​

Let's Encrypt ist eine kostenlose, automatisierte und offene Zertifizierungsstelle. Sie ermöglicht es, SSL-Zertifikate einfach zu beantragen und zu erneuern, ohne manuelle Eingriffe.

Vorteile​

  • Automatische Ausstellung und Erneuerung durch ACME-Protokoll
  • Von allen gängigen Browsern und Systemen als vertrauenswürdig anerkannt
  • Keine Kosten für die Zertifikatsausstellung
  • Vollautomatische Verlängerung wird von iSign verwaltet

Nachteile​

  • Erfordert eine öffentliche Erreichbarkeit des Servers für die Validierung

3. Selbst signierte Zertifikate​

Beschreibung​

Ein selbst signiertes Zertifikat wird nicht von einer offiziellen Zertifizierungsstelle ausgestellt, sondern direkt vom Serverbetreiber generiert.

Vorteile​

  • Keine Abhängigkeit von einer externen CA
  • Sofortige Erstellung ohne externe Validierung
  • Nützlich für Entwicklungs- und Testumgebungen

Nachteile​

  • Nicht von Browsern und Systemen als vertrauenswürdig eingestuft, erfordert manuelle Ausnahmegenehmigungen
  • Das Zertifikat für HTTPS muss auf allen Playern als vertrauenswürdig eingestuft werden
  • Das Zertifikat für MQTTS muss auf allen EPDs als vertrauenswürdig eingestuft werden
  • Keine zentrale Überprüfung der Identität, potenzielles Sicherheitsrisiko