Eine Zertifizierungsstelle (CA) stellt digitale Zertifikate aus, die einen öffentlichen Schlüssel mit einer Identität verknüpfen. Beim Besuch einer Website über HTTPS prüft Ihr Browser das Zertifikat der Website anhand einer Liste vertrauenswürdiger CAs. Stimmt die Domain mit der Signatur einer vertrauenswürdigen CA überein, zeigt der Browser ein Schlosssymbol an. Andernfalls erhalten Sie eine Warnung. Die CA ist der Anker der Vertrauenswürdigkeit. Wird diese gebrochen, ist das gesamte System gefährdet.

Zertifizierungsstellen (CAs) überprüfen die Identität vor der Zertifikatsausstellung. Die Domainvalidierung bestätigt die Kontrolle über eine Domain. Die Organisationsvalidierung prüft die Existenz des Unternehmens. Die erweiterte Validierung führt eine gründlichere Prüfung durch, obwohl Browser deren visuelle Hervorhebung reduziert haben. Die Verifizierung ist nicht perfekt. DigiNotar wurde 2011 gehackt und stellte gefälschte Zertifikate für Google-Domains aus. Das Unternehmen ging in Konkurs. Symantec stellte jahrelang fehlerhafte Zertifikate aus, bevor Browser dem Unternehmen nicht mehr vertrauten. Das System hat überlebt, weil es mehrere CAs gibt und Browser das Vertrauen widerrufen können. Zertifikatstransparenzprotokolle protokollieren nun jedes ausgestellte Zertifikat öffentlich, sodass Fehlausstellungen schneller aufgedeckt werden. Das Vertrauensmodell ist zentralisiert und anfällig, hat sich aber besser bewährt als die meisten Alternativen.

Zertifikatsvalidierungsstufen

• Domänenvalidierung – beweist die Kontrolle über die Domäne
• Organisationsvalidierung – bestätigt die Existenz des Unternehmens
• Erweiterte Validierung – gründliche Identitätsprüfung
• Zertifikatstransparenz – öffentliche Verzeichnisse ausgestellter Zertifikate

Wenn ein Browser eine Zertifikatswarnung ausgibt, sollten Sie aufmerksam sein. Das bedeutet in der Regel, dass etwas nicht stimmt.