Definition CA (Certification Authority)

Was ist eine CA?

| Autor / Redakteur: Tutanch / Peter Schmitz

Eine CA ist eine vertrauenswürdige Instanz zur Bestätigung von digitalen Identitäten und Herausgeber digitaler Zertifikate.
Eine CA ist eine vertrauenswürdige Instanz zur Bestätigung von digitalen Identitäten und Herausgeber digitaler Zertifikate. (Bild: Pixabay / CC0)

Eine CA (Certificate Authority oder Certification Authority) ist eine vertrauenswürdige Instanz, eine Zertifizierungsstelle, die digitale Zertifikate herausgibt. Mit Hilfe der Zertifikate wird die elektronische Identität von Kommunikationspartnern bescheinigt. CAs bilden den Kern der Public-Key-Infrastruktur und übernehmen die Rolle von Trust Centern.

Die Abkürzung CA steht für Certificate Authority bzw. Certification Authority. Sie stellt in der elektronischen Kommunikation eine vertrauenswürdige dritte Instanz dar. Oft werden CAs daher auch als Trust Center bezeichnet. Mit Hilfe der von der CA ausgestellten digitalen Zertifikate können Identitäten im Internet überprüft werden.

CAs und digitale Zertifikate bilden im Netz die wesentlichen Komponenten der so genannten Public-Key-Infrastruktur (PKI). Das Zertifikat ordnet einen öffentlichen Schlüssel gesichert einer bestimmten Organisation oder einer Person zu. Bestätigt wird diese Zuordnung durch die Certification Authority, indem sie ihre eigene digitale Signatur hinzufügt. Informationen, die in einem Zertifikat enthalten sind, sind zum Beispiel der Name des Besitzers, die Gültigkeitsdauer des Zertifikats und weitere Informationen des Zertifikatinhabers.

In Betriebssystemen und Browsern sind in der Regel Listen mit vertrauenswürdigen CAs hinterlegt. Mit Hilfe dieser Listen lassen sich die Zertifikate prüfen. Ist in einem Zertifikat die Signatur einer dieser CAs enthalten, kann ihm vertraut werden. Als Zertifizierungsstelle können Unternehmen, öffentliche Organisationen oder staatliche Institutionen auftreten.

Die Aufgaben einer CA

Im Folgenden eine Auflistung der wichtigsten Aufgaben einer CA

  • Prüfung der Identität und der Angaben des Anforderers eines Zertifikats
  • Ausstellen von Zertifikaten
  • Publizieren von Zertifikaten
  • Verwalten und Publizieren von Zertifikatssperrlisten
  • Aufzeichnung sämtlicher Zertifizierungsaktivitäten der CA

Missbrauch bei Zertifizierungsstellen

In der Vergangenheit ist es wiederholt gelungen, Zertifizierungsstellen zu hacken und zu missbrauchen. Angreifer konnten gefälschte Zertifikate für bestimmte Domains oder Unternehmen erstellen, die von der CA offiziell signiert waren. Betriebssysteme und Browser erkannten die gefälschten Zertifikate wegen der Signierung durch eine vertrauenswürdige CA nicht und ließen sich auf fremde Server leiten. Nach der Aufdeckung des Missbrauchs mussten die Zertifikate nachträglich gesperrt werden.

Die CA und der Webbrowser

Damit Browser oder Betriebssysteme einer CA vertrauen, muss sie in einer Liste zugelassener Zertifizierungsstellen geführt sein. Ist dies nicht der Fall, kann der User eine CA oder ein Zertifikat manuell als vertrauenswürdig einstufen. In der Regel sind die Listen mit den vertrauenswürdigen CAs in einem Browser oder auf einem Rechner vorinstalliert. Hat ein Browser ein Zertifikat eines Servers akzeptiert, kann er eine verschlüsselte Verbindung zu ihm aufbauen. Zu erkennen sind solche verschlüsselten Verbindungen in der Adresszeile des Browsers durch das vorangestellte "https://...".

Spezielle Regelungen für Zertifikate und Signaturen in Deutschland

In Deutschland existieren gesetzliche Regelungen für das Ausstellen von elektronischen Zertifikaten und Signaturen. Aufgeführt sind die Rahmenbedingungen im Signaturgesetz (SigG) das mittlerweile durch die Verordnung über elektronische Identifizierung und Vertrauensdienste (eIDAS) abgelöst wurde. Aussteller von Zertifikaten unterliegen der Aufsicht der deutschen Bundesnetzagentur. Sie soll die Integrität und Zuverlässigkeit von Zertifikaten und Signaturen im Rechtsverkehr sicherstellen. Es bestehen für die Rechenzentren der Zertifizierungsstellen besondere Sicherheitsvorgaben.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

IT-Risikomanagement skalieren und automatisieren

Large Scale Cyber Risk Management

IT-Risikomanagement skalieren und automatisieren

Es ist noch nicht allzu lange her, da wurde die Zuverlässigkeit eines Geschäftspartners allein über eine Bonitätsauskunft beurteilt – das reicht heute nicht mehr! Durch die stetig steigende Vernetzung sehen sich Unternehmen neuen, größeren Risiken gegenüber, die auch neue Ansätze für das Risikomanagement erfordert. Risk Management ist nicht mehr länger nur ein Thema für die ganz großen Unternehmen. lesen

WPA3 für Access Points und Router von Lancom

Betriebssystem-Release LCOS 10.20

WPA3 für Access Points und Router von Lancom

Mit dem Betriebssystem-Release LCOS 10.20 unterstützen alle aktuellen Access Points und WLAN-Router von Lancom den neuen WLAN-Sicherheitsstandard WPA3. Das kostenlose Update biete zudem einen Auto-Updater sowie Unterstützung für WAN Policy-Based NAT und die Routing-Architektur LISP. lesen

Das sind die Gewinner der IT-Awards 2018

IT-Awards 2018

Das sind die Gewinner der IT-Awards 2018

Die Gewinner der IT-Awards 2018 stehen fest. Im Rahmen einer festlichen Abendgala wurden die Gewinner der Readers' Choice Awards 2018 der sieben Insider-Portale am 11. Oktober 2018 in Augsburg gekürt. lesen

DSGVO-Features in Google Analytics

Datenschutz

DSGVO-Features in Google Analytics

Mit dem Inkrafttreten der EU-DSGVO sind die Nutzer externer Datendienste gefragt, ihre Plattform- und Service-Anbieter ebenfalls in die Pflicht zu nehmen – so zum Beispiel Google mit den Diensten rund um die Datenanalyse. lesen

Risikobewertung von Schwachstellen

CVSS kontra Angriffswahrscheinlichkeit

Risikobewertung von Schwachstellen

Cyberkriminalität ist zu einem Geschäftsmodell geworden, das auf maximalen Gewinn abzielt: Angreifer verwenden die gleichen Techniken mehrfach und automatisieren ihr Vorgehen, um möglichst viele Ziele erfolgreich zu erpressen. Der Fall „WannaCry“ aus dem Jahr 2017 ist das beste Beispiel hierfür. lesen

Digitalisierung erfordert eine Transformation der Security

eBook Sicherheit für die digitale Transformation

Digitalisierung erfordert eine Transformation der Security

Die Digitalisierung verändert Prozesse und Abläufe in Unternehmen, sie führt zu neuen Geschäftsmodellen und dem Einsatz neuer Technologien in Wirtschaft und Gesellschaft. Aber die Digitale Transformation birgt auch neue digitale Risiken und erfordert Änderungen bei der Cyber Security. Auch die IT-Sicherheit braucht eine digitale Transformation. lesen

Analyse des Anonymous DDoS Ping Attack Tools

DoS-Angriffs-Tool unter der Lupe

Analyse des Anonymous DDoS Ping Attack Tools

DDoS-Attacken der Gruppierung „Anonymous“ sorgen regelmäßig für Schlagzeilen. Damit der digitale Protest gelingt, stellen die Aktivisten DDoS-Programme kostenfrei ins Netz, mit denen auch technische Laien ohne Probleme an einer solchen Attacke teilnehmen können. Das Link11 Security Operation Center (LSOC) hat eines der Tools untersucht. lesen

Kontrollierte Zerstörung

Security-Startups im Blickpunkt: Crashtest Security

Kontrollierte Zerstörung

Im Automobilbau gehört ein Crashtest inzwischen zum Standardrepertoire bei der Entwicklung neuer Fahrzeuge. Beim Betrieb von Webanwendungen empfiehlt das Münchner Startup-Unternehmen Crashtest Security einen ähnlichen Ansatz: Anwendung einem Penetrationstest zu unterziehen und Schwachstellen aufdecken, bevor ein Hacker sie zu bösartigen Zwecken missbrauchen kann. lesen

MSSP als Lösung für den Fachkräftemangel

Cyber-Sicherheit für KMU

MSSP als Lösung für den Fachkräftemangel

Der Mangel an kompetenten Fachkräften belastet vor allem kleine und mittlere Un­ter­neh­men (KMU), denn im Wettbewerb um versierte Arbeitskräfte können KMU oft nicht mithalten – nicht zuletzt, weil dadurch die Lohnkosten steigen. Eine entsprechende ROI-Rechnung zeigt, dass die Zusammenarbeit mit einem Managed Security Service Provider (MSSP) durchaus eine Alternative darstellt. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45197524 / Definitionen)