Was ist eine SSL-Zertifikatskette? Wie es funktioniert

Mithilfe einer SSL-Zertifikatskette können Browser und andere Clients überprüfen, ob das digitale Zertifikat einer Website vertrauenswürdig ist. Wenn Sie eine Website über HTTPS besuchen, überprüft Ihr Browser das TLS-Zertifikat, um zu bestätigen, dass es die angeforderte Domäne identifiziert und durch eine vertrauenswürdige Zertifizierungsstelle (CA) validiert werden kann. Diese Überprüfung hängt oft von einer Kette von Zertifikaten ab, die das Zertifikat der Website mit einem vertrauenswürdigen Stammzertifikat verbindet. Wenn ein Zwischenzertifikat fehlt oder die Kette nicht validiert werden kann, können Benutzer auf Sicherheitswarnungen oder Verbindungsfehler stoßen. Das Verständnis der Funktionsweise einer SSL-Zertifikatskette hilft Websitebesitzern, Systemadministratoren und Sicherheitsexperten dabei, Zertifikatsprobleme zu beheben und zuverlässige HTTPS-Verbindungen aufrechtzuerhalten.

Was ist eine SSL-Zertifikatskette?

Eine SSL-Zertifikatskette, auch Zertifikatskette des Vertrauens genannt, ist eine Folge digitaler Zertifikate, die einen Pfad vom Zertifikat einer Website zu einer vertrauenswürdigen Stammzertifizierungsstelle herstellt. Obwohl SSL nach wie vor ein gebräuchlicher Begriff ist, verwenden moderne HTTPS-Verbindungen Transport Layer Security (TLS).

Eine typische Kette enthält drei Arten von Zertifikaten: das Blattzertifikat der Website, ein oder mehrere Zwischenzertifikate und ein Stammzertifikat. Das Blattzertifikat identifiziert die Website oder den Server. Zwischenzertifikate ermöglichen die Delegierung der Zertifikatsausstellung, während das Stammzertifikat als Vertrauensanker dient, wenn es vom Client als vertrauenswürdig eingestuft wird.

Wenn ein Browser beispielsweise eine Verbindung zu einer HTTPS-Website herstellt, validiert er das Zertifikat der Website und versucht, über die verfügbaren Zwischenzertifikate einen vertrauenswürdigen Pfad zu einem Stammzertifikat in seinem Trust Store aufzubauen. Außerdem werden der Hostname, das Gültigkeitsdatum, die digitalen Signaturen und andere anwendbare Zertifikatsanforderungen überprüft.

Eine gültige Zertifikatskette hilft dabei, die Identität des Servers während des TLS-Handshakes festzustellen. Dies beweist jedoch nicht, dass eine Website legitim, frei von Malware ist oder von einer vertrauenswürdigen Organisation betrieben wird.

Wie funktioniert die SSL-Zertifikat-Vertrauenskette?

Die Vertrauenskette des Zertifikats ermöglicht es Browsern und anderen Clients, das Zertifikat einer Website mithilfe von Zertifikaten zu validieren, die von vertrauenswürdigen Stellen ausgestellt wurden. Jedes Zertifikat ist mit einer ausstellenden Behörde verknüpft und erstellt einen Pfad vom Zertifikat der Website zu einem akzeptablen Vertrauensanker.

Schritt 1: Die Website präsentiert ihr Zertifikat

Wenn ein Browser über HTTPS eine Verbindung zu einer Website herstellt, präsentiert der Server während des TLS-Handshakes sein Blattzertifikat. Dieses Zertifikat enthält den öffentlichen Schlüssel der Website, Domäneninformationen, Angaben zum Aussteller, den Gültigkeitszeitraum und die digitale Signatur.

Der Browser prüft, ob der angeforderte Hostname mit den SAN-Einträgen (Subject Alternative Name) des Zertifikats übereinstimmt und ob das Zertifikat die geltenden Validierungsanforderungen erfüllt.

Schritt 2: Das Zwischenzertifikat stellt die nächste Verbindung her

Das Zertifikat der Website wird üblicherweise von einer Zwischenzertifizierungsstelle ausgestellt und nicht direkt von einer Stammzertifizierungsstelle. Der Client verwendet den öffentlichen Schlüssel des Zwischenzertifikats, um die Signatur auf dem Blattzertifikat zu überprüfen.

Einige Ketten enthalten mehrere Zwischenzertifikate. Jeder Link muss die relevanten Zertifikatsvalidierungsregeln erfüllen, damit der Client einen vertrauenswürdigen Pfad erstellen kann.

Schritt 3: Die Kette erreicht eine vertrauenswürdige Wurzel

Ein Stammzertifikat gehört einer Stammzertifizierungsstelle und ist üblicherweise selbstsigniert. Browser und Betriebssysteme verwalten vertrauenswürdige Stammzertifikate gemäß ihren eigenen Vertrauensrichtlinien.

Der Client versucht, das Blattzertifikat über die erforderlichen Zwischenzertifikate mit einem vertrauenswürdigen Stammzertifikat zu verbinden. Normalerweise muss der Server das Stammzertifikat nicht senden, da der Client bereits über seine Vertrauensinformationen verfügt.

Schritt 4: Der Kunde validiert die Kette

Der Client überprüft die Zertifikatsignaturen, Gültigkeitszeiträume, Hostnamen, Zertifikatseinschränkungen und andere anwendbare Anforderungen. Je nach Konfiguration prüft es möglicherweise auch Zertifikatssperrinformationen.

Wenn der Client einen gültigen Pfad erstellt und die erforderlichen Prüfungen bestanden hat, kann er das Zertifikat des Servers akzeptieren. Andernfalls kann es sein, dass die Verbindung eine Zertifikatswarnung ausgibt oder fehlschlägt.

Stammzertifikat vs. Zwischenzertifikat vs. Blattzertifikat

Jedes Zertifikat in der Kette hat einen bestimmten Zweck. Das Verständnis dieser Unterschiede hilft Administratoren, HTTPS richtig zu konfigurieren und Zertifikatfehler zu beheben.

1. Blattzertifikat

Ein Blattzertifikat, auch Endentitätszertifikat genannt, identifiziert eine Website oder einen Server. Es enthält den öffentlichen Schlüssel, Domäneninformationen, den Aussteller, Gültigkeitsdaten und die digitale Signatur.

Der Server präsentiert dem Client dieses Zertifikat während des TLS-Handshakes. Der Client prüft seine Identität und Gültigkeit, bevor er es für die Verbindung akzeptiert.

2. Zwischenzertifikat

Ein Zwischenzertifikat gehört einer untergeordneten Zertifizierungsstelle, die Zertifikate ausstellt oder die Ausstellung an eine andere Stelle delegiert. Es verbindet das Zertifikat der Website mit einem vertrauenswürdigen Stammzertifikat.

Zwischenzertifizierungsstellen ermöglichen es Stammzertifizierungsstellen, ihre privaten Schlüssel stärker isoliert zu halten und gleichzeitig die Zertifikatsausstellung zu delegieren. Wenn ein erforderliches Zwischenzertifikat fehlt und nicht über einen anderen verfügbaren Mechanismus abgerufen werden kann, ist der Client möglicherweise nicht in der Lage, die Kette zu validieren.

3. Stammzertifikat

Ein Stammzertifikat gehört einer Stammzertifizierungsstelle und fungiert als Vertrauensanker, wenn es vom Vertrauensspeicher eines Clients akzeptiert wird. Es ist üblicherweise selbstsigniert, aber selbstsigniert zu sein bedeutet nicht automatisch, dass ein Zertifikat vertrauenswürdig ist.

Der Client muss den Stamm gemäß seiner konfigurierten Vertrauensrichtlinie als vertrauenswürdig erkennen.

Eine typische Kette folgt daher diesem Weg:

Website-Zertifikat → Zwischen-CA-Zertifikat → Vertrauenswürdiges Stammzertifikat

Die genaue Kette hängt von der Zertifizierungsstelle, der Serverkonfiguration und den für den Client verfügbaren Zertifikaten ab.

Wie Browser eine SSL-Zertifikatskette validieren

Browser validieren Zertifikatsketten während des TLS-Handshakes, um festzustellen, ob die Identität des Servers vertrauenswürdig ist.

Überprüfung des Hostnamens

Der Browser prüft, ob die angeforderte Domäne mit den SAN-Einträgen des Zertifikats übereinstimmt. Ein fürausgestelltes Zertifikat example.comdarfnicht abdecken shop.example.comes sei denn, der zusätzliche Hostname oder ein entsprechender Platzhalter ist enthalten.

Eine Nichtübereinstimmung des Hostnamens kann eine Browserwarnung auslösen oder dazu führen, dass die Verbindung abgelehnt wird.

Überprüfung der digitalen Signatur

Mithilfe digitaler Signaturen können Kunden die Integrität und Authentizität von Zertifikaten innerhalb des Zertifizierungspfads überprüfen. Der Client verwendet den öffentlichen Schlüssel des ausstellenden Zertifikats, um die Signatur des untersuchten Zertifikats zu überprüfen.

Von zentraler Bedeutung für diesen Prozess sind kryptografische Operationen. Eine entsprechende Erklärung finden Sie im CyberLad-Leitfaden zuHashing in der Cybersicherheit.

Zertifikatsablauf

Zertifikate haben Gültigkeitsdauern, die durch ihrendefiniert sind Nicht vorherundNicht danachFelder. Der Kunde prüft zum Zeitpunkt der Prüfung, ob die entsprechenden Zertifikate gültig sind.

Ein abgelaufenes Blatt- oder Zwischenzertifikat kann eine erfolgreiche Validierung verhindern. Administratoren sollten Ablaufdaten überwachen und bestätigen, dass erneuerte Zertifikate korrekt installiert wurden.

Trust Store und Zertifikatpfad

Der Client versucht, einen gültigen Pfad vom Blattzertifikat über die Zwischenzertifikate zu einem akzeptablen Vertrauensanker aufzubauen. Außerdem werden geltende Zertifikatsbeschränkungen und Schlüsselnutzungsanforderungen überprüft.

Trust Stores variieren je nach Betriebssystem, Browser und Anwendung. Einem in einer Umgebung vertrauenswürdigen Zertifikat kann in einer anderen Umgebung nicht vertraut werden.

Zertifikatssperrung

Zertifikate können vor ihrem Ablaufdatum widerrufen werden, wenn ihre privaten Schlüssel kompromittiert sind oder andere Bedingungen eine Sperrung erfordern. Zertifizierungsstellen können Sperrinformationen über Zertifikatssperrlisten (CRLs) oder das Online Certificate Status Protocol (OCSP) veröffentlichen.

Das Verhalten bei der Sperrprüfung variiert je nach Client. Einige verwenden zwischengespeicherte Informationen oder alternative Mechanismen, sodass eine erfolgreiche Kettenvalidierung nicht immer bedeutet, dass jeder Client identische Sperrprüfungen durchgeführt hat.

Häufige Fehler in der SSL-Zertifikatskette und ihre Ursachen

Zertifikatskettenfehler treten auf, wenn ein Client das von einem Server vorgelegte Zertifikat nicht validieren kann. Die Identifizierung des spezifischen Fehlers ist wichtig, da jedes Problem eine andere Lösung erfordert.

1. Unvollständige Zertifikatskette

Eine unvollständige Kette liegt vor, wenn der Server kein erforderliches Zwischenzertifikat bereitstellt und der Client mithilfe anderer verfügbarer Zertifikate keinen vertrauenswürdigen Pfad erstellen kann.

Häufige Ursachen sind fehlende Zwischenzertifikate, falsche Zertifikatspakete und Konfigurationsänderungen nach einer Servermigration.

So beheben Sie das Problem:Besorgen Sie sich die richtigen Zwischenzertifikate von Ihrer Zertifizierungsstelle und konfigurieren Sie den Server so, dass er das Blattzertifikat gefolgt von den erforderlichen Zwischenzertifikaten präsentiert.

2. Nicht vertrauenswürdige Zertifizierungsstelle

Ein Client kann eine Kette ablehnen, wenn er das Zertifikat nicht mit einem akzeptablen Vertrauensanker verbinden kann. Dies kann bei selbstsignierten Zertifikaten oder privaten CA-Zertifikaten passieren, die nicht im Truststore des Clients installiert wurden.

So beheben Sie das Problem:Verwenden Sie für öffentliche Websites eine öffentlich vertrauenswürdige Zertifizierungsstelle. Verteilen Sie für interne Anwendungen das Stammzertifikat der Organisation über einen genehmigten Vertrauensverwaltungsprozess. Installieren Sie niemals ein unbekanntes Stammzertifikat, nur um eine Warnung zu umgehen.

3. Abgelaufenes Zertifikat

Ein abgelaufenes Blatt- oder Zwischenzertifikat kann eine erfolgreiche Validierung verhindern.

So beheben Sie das Problem:Überprüfen Sie die Gültigkeitsdaten, erneuern oder ersetzen Sie das betroffene Zertifikat und stellen Sie sicher, dass die aktualisierte Zertifikatskette an jedem relevanten TLS-Endpunkt installiert ist.

4. Hostname stimmt nicht überein

Eine Nichtübereinstimmung des Hostnamens tritt auf, wenn die angeforderte Domäne nicht durch die SAN-Einträge des Zertifikats abgedeckt ist.

So beheben Sie das Problem:Installieren Sie ein Zertifikat, das den angeforderten Hostnamen abdeckt. Überprüfen Sie die Einstellungen des virtuellen Hosts, die Servernamensanzeige (SNI) und die Zertifikatbindungen des Lastenausgleichs.

5. Falsches Zertifikatspaket

Ein Server präsentiert möglicherweise das falsche Zwischenzertifikat oder ein falsch bestelltes Zertifikatspaket.

So beheben Sie das Problem:Vergleichen Sie den Aussteller des Blattzertifikats mit den konfigurierten Zwischenzertifikaten. Korrigieren Sie das Bundle und testen Sie die Serverkonfiguration, bevor Sie den Dienst neu laden.

6. Widerruf oder sonstiger Validierungsfehler

Die Validierung eines Zertifikats kann fehlschlagen, weil es widerrufen wurde oder eine andere anwendbare Zertifikatsanforderung nicht erfüllt.

So beheben Sie das Problem:Überprüfen Sie den Status des Zertifikats und lesen Sie die Anweisungen der ausstellenden Zertifizierungsstelle. Ersetzen Sie ein widerrufenes Zertifikat und untersuchen Sie die Ursache. Das Deaktivieren der Zertifikatsüberprüfung ist keine sichere Lösung.

So überprüfen Sie eine SSL-Zertifikatskette

Sie können die Zertifikatskette einer öffentlichen Website mit einem Online-Testdienst oder Befehlszeilentools überprüfen.

Methode 1: Verwenden Sie SSL Labs

Der SSL-Servertest von Qualys SSL Labs analysiert öffentlich zugängliche TLS-Server und meldet Zertifikats- und Konfigurationsprobleme.

1. Öffnen Sie die Testseite von SSL Labs.

2. Geben Sie die Domäne ein, die Sie überprüfen möchten.

3. Führen Sie den Test durch und warten Sie auf die Analyse.

4. Überprüfen Sie die Zertifikatsdetails und Ketteninformationen.

5. Untersuchen Sie Warnungen zu Vertrauen, Ablauf, fehlenden Zwischenprodukten oder Hostnamensvalidierung.

SSL Labs eignet sich für externe Tests ohne Installation zusätzlicher Software. Vermeiden Sie die Übermittlung vertraulicher interner Hostnamen oder Systeme, es sei denn, die Richtlinien Ihrer Organisation erlauben die Verwendung eines externen Dienstes.

Methode 2: Zertifikate mit OpenSSL prüfen

OpenSSL kann Zertifikate anzeigen, die von einem Server während einer TLS-Verbindung präsentiert werden. Ausführen:

openssl s_client -connect example.com:443 \
  -servername example.com \
  -showcerts

Ersetzen Sieexample.commit der Zieldomäne.

Das-verbindenDie Option gibt das Ziel und den Port an. Das-ServernameOption sendet den Hostnamen über SNI, während-ShowzertifikateZeigt die vom Server gesendeten Zertifikate an.

Wichtig:Die Anzeige von Zertifikaten beweist nicht, dass die Kette vertrauenswürdig ist. Verwenden Sie Verifizierungsoptionen, um den Zertifikatspfad und den Hostnamen zu überprüfen.

Methode 3: Überprüfen Sie die Kette und den Hostnamen

Führen Sie den folgenden Befehl aus, um eine Zertifikatsüberprüfung und Hostnamenprüfung anzufordern:

openSL s_client \
  -connect example.com:443 \
  -servername example.com \
  -verify_return_error \
  -verify_hostname example.com

Suchen Sie nach einem erfolgreichen Verifizierungsergebnis, z. B.Überprüfen Sie den Rückkehrcode: 0 (ok). Die genaue Ausgabe hängt von der OpenSSL-Version, dem Trust Store und den Verifizierungseinstellungen ab.

Das-verify_return_errorDie Option führt dazu, dass Überprüfungsfehler zurückgegeben werden, anstatt zuzulassen, dass der Befehl danach fortgesetzt wird. Sieheoffizielle OpenSSL s_client-Dokumentation.

Methode 4: Überprüfen Sie die Emittenten- und Ablaufdetails

Wenn Sie das Blattzertifikat als PEM-Datei gespeichert haben, führen Sie Folgendes aus:

openSL x509 -in Zertifikat.pem -noout \
  -subject -issuer -dates

Hier werden Betreff, Aussteller und Gültigkeitsdaten des Zertifikats angezeigt. Überprüfen Sie anhand der Ausgabe, ob der Aussteller mit der erwarteten Zertifizierungsstelle übereinstimmt und ob das Zertifikat innerhalb seines Gültigkeitszeitraums liegt.

So beheben Sie eine unvollständige SSL-Zertifikatskette

Das Reparieren einer unvollständigen Kette umfasst im Allgemeinen die Identifizierung des fehlenden Zwischenprodukts, den Erhalt des richtigen Zertifikatspakets, die Konfiguration des TLS-Endpunkts und das Testen des Ergebnisses.

Schritt 1: Identifizieren Sie das fehlende Zwischenprodukt

Führen Sie den oben genannten OpenSSL-Befehl aus oder verwenden Sie SSL Labs, um die Kette zu untersuchen. Prüfen Sie, welche Zertifikate der Server sendet und ob der Client einen vertrauenswürdigen Pfad aufbauen kann.

Ein Verifizierungsfehler bedeutet nicht immer, dass ein Zwischenprodukt fehlt. Untersuchen Sie außerdem den Ablauf, nicht übereinstimmende Hostnamen und Trust-Store-Probleme.

Schritt 2: Besorgen Sie sich das richtige Zertifikatspaket

Laden Sie die erforderlichen Zwischenzertifikate von der offiziellen Website oder dem Zertifikatsverwaltungsportal Ihrer Zertifizierungsstelle herunter. Bestätigen Sie, dass die Zertifikate dem Aussteller Ihres Blattzertifikats entsprechen.

Das Root-Zertifikat ist normalerweise bereits im Trust Store des Clients verfügbar und muss im Allgemeinen nicht in das Zertifikatspaket des Servers aufgenommen werden.

Schritt 3: Konfigurieren Sie Nginx

Für Nginx sollte die Zertifikatsdatei zuerst das Blattzertifikat enthalten, gefolgt von den erforderlichen Zwischenzertifikaten.

Server {
    Hören Sie 443 SSL;
    Servername example.com;

    ssl_certificate /etc/ssl/certs/fullchain.pem;
    ssl_certificate_key /etc/ssl/private/example.com.key;
}

Die Wege sind Beispiele. Verwenden Sie die richtigen Speicherorte für Ihre Umgebung und stellen Sie sicher, dass der private Schlüssel durch entsprechende Berechtigungen geschützt ist.

Testen Sie die Konfiguration, bevor Sie Nginx neu laden:

sudo nginx -t

Schritt 4: Überprüfen Sie Apache und andere TLS-Endpunkte

Apache-Konfigurationen könnenverwenden SSLCertificateFileBereitstellung des Blattzeugnisses und erforderlicher Zwischenzeugnisse. Befolgen Sie die Dokumentation für Ihre Apache-Version und -Bereitstellung.

Wenn HTTPS an einem Reverse-Proxy, einem Content-Delivery-Netzwerk, einer Webanwendungs-Firewall oder einem Load Balancer endet, überprüfen Sie das auf dieser Ebene installierte Zertifikat. Durch die Aktualisierung nur des Ursprungsservers wird ein falsches Zertifikat, das von einem separaten Proxy bereitgestellt wird, nicht behoben.

Schritt 5: Überprüfen Sie den Fix

Nachdem Sie die Änderungen vorgenommen haben, führen Sie OpenSSL und SSL Labs erneut aus. Bestätigen Sie, dass der Server die erwarteten Zertifikate präsentiert und dass der Client die Kette und den Hostnamen validieren kann.

Testen Sie bei Umgebungen mit mehreren Servern oder TLS-Endpunkten jeden relevanten Endpunkt. Ein erfolgreiches Ergebnis auf einem Server garantiert nicht, dass alle Endpunkte die gleiche Konfiguration haben.

Best Practices für die SSL-Zertifikatskette

Verwenden Sie vertrauenswürdige Zertifizierungsstellen

Verwenden Sie öffentlich vertrauenswürdige Zertifizierungsstellen für öffentliche Websites. Verteilen Sie für interne Anwendungen die private CA-Vertrauensstellung sicher an autorisierte Clients.

Erneuerung und Überwachung automatisieren

Verwenden Sie Tools zur Zertifikatsverwaltung, sofern diese unterstützt werden, und benachrichtigen Sie Administratoren, bevor Zertifikate ablaufen. Stellen Sie sicher, dass erneuerte Zertifikate tatsächlich von den relevanten Endpunkten bereitgestellt und bereitgestellt werden.

Private Schlüssel schützen

Beschränken Sie den Zugriff auf private Zertifikatsschlüssel, speichern Sie sie sicher und vermeiden Sie deren Offenlegung in Protokollen oder öffentlichen Repositorys. Wenn ein Schlüssel kompromittiert ist, ersetzen Sie das betroffene Zertifikat und befolgen Sie die entsprechenden Verfahren zur Reaktion auf Vorfälle und zum Widerruf.

Nach Konfigurationsänderungen validieren

Testen Sie die Zertifikatskette nach Erneuerungen, Servermigrationen, Load-Balancer-Änderungen oder Reverse-Proxy-Updates. Überprüfen Sie Hostnamen-Übereinstimmung, Ablauf, Kettenkonstruktion und Überprüfungsfehler.

Führen Sie einen Zertifikatsbestand

Erfassen Sie Zertifikatsinhaber, Domänen, ausstellende Zertifizierungsstellen, Ablaufdaten, Bereitstellungsorte und Erneuerungsmethoden. Ein zentralisiertes Inventar hilft Teams, betroffene Dienste bei Ausfällen schnell zu finden.

Überwachen Sie Zertifikate von Drittanbietern

Zertifikatsprobleme können sich auf die Dienste auswirken, auf die Ihr Unternehmen angewiesen ist, nicht nur auf Ihre eigene Website. Überwachen Sie wichtige externe TLS-Endpunkte, einschließlich Identitätsanbieter, Zahlungsgateways und APIs. CyberLad erklärt dieses umfassendere Risiko inFünf Risiken von Drittanbietern, die Ihr Schwachstellenscanner nicht erkennen kann.

Verwenden Sie sichere TLS-Konfigurationen

Eine gültige Zertifikatskette ist nur ein Teil der HTTPS-Sicherheit. Verwenden Sie unterstützte TLS-Versionen, geeignete kryptografische Einstellungen und sichere Schlüsselverwaltungspraktiken. Ein vertrauenswürdiges Zertifikat garantiert nicht, dass eine Anwendung frei von Schwachstellen ist.

Abschluss

Eine SSL-Zertifikatskette ist ein wesentlicher Bestandteil der HTTPS-Sicherheit, da sie Browsern und anderen Clients ermöglicht, das Zertifikat einer Website über einen Pfad zu einer vertrauenswürdigen Zertifizierungsstelle zu validieren. Das Verständnis von Blatt-, Zwischen- und Stammzertifikaten hilft Administratoren bei der Fehlerbehebung bei unvollständigen Ketten, abgelaufenen Zertifikaten und Vertrauensfehlern. Regelmäßige Überwachung, korrekte Serverkonfiguration, sichere Verwaltung privater Schlüssel und Überprüfung nach der Bereitstellung tragen dazu bei, zuverlässige TLS-Verbindungen aufrechtzuerhalten. Durch die Befolgung dieser Vorgehensweisen können Websitebesitzer und Sicherheitsexperten zertifikatsbedingte Störungen reduzieren und die Zuverlässigkeit ihrer HTTPS-Infrastruktur verbessern.

Häufig gestellte Fragen

Was ist eine SSL-Zertifikatskette?

Eine SSL-Zertifikatskette ist eine Folge digitaler Zertifikate, die einen Pfad vom Zertifikat einer Website zu einer vertrauenswürdigen Stammzertifizierungsstelle herstellt. Es umfasst üblicherweise das Blattzertifikat und ein oder mehrere Zwischenzertifikate.

Was ist der Unterschied zwischen einem Root- und einem Zwischenzertifikat?

Ein Stammzertifikat fungiert als Vertrauensanker, wenn es vom Client akzeptiert wird. Ein Zwischenzertifikat delegiert die Zertifikatsausstellung und verbindet das Blattzertifikat mit dem vertrauenswürdigen Stammzertifikat.

Muss ein Webserver das Root-Zertifikat senden?

Normalerweise nein. Der Server sendet normalerweise sein Blattzertifikat und die erforderlichen Zwischenzertifikate. Der Client verfügt im Allgemeinen bereits über sein vertrauenswürdiges Stammzertifikat in seinem Trust Store.

Wie kann ich eine SSL-Zertifikatskette überprüfen?

Verwenden SieSSL-Laborsum eine öffentliche Website zu überprüfen oderauszuführen openSL s_clientum die von einem Server vorgelegten Zertifikate zu untersuchen. Beziehen Sie Hostnamen- und Zertifikatsüberprüfungsoptionen ein, wenn Sie prüfen, ob die Kette vertrauenswürdig ist.

Was verursacht eine unvollständige SSL-Zertifikatskette?

Die häufigste Ursache ist ein fehlendes Zwischenzeugnis. Falsche Zertifikatspakete, veraltete Konfigurationen und inkonsistente TLS-Einstellungen auf allen Servern können Clients auch daran hindern, einen gültigen Zertifizierungspfad aufzubauen.

Wie behebe ich eine unvollständige Zertifikatskette?

Besorgen Sie sich die richtigen Zwischenzertifikate von der Zertifizierungsstelle, konfigurieren Sie den Server so, dass er das Blattzertifikat gefolgt von den erforderlichen Zwischenzertifikaten präsentiert, und testen Sie die aktualisierte Konfiguration. Die genauen Schritte hängen von der Serversoftware und dem TLS-Endpunkt ab.

Ist eine SSL-Zertifikatskette dasselbe wie ein SSL-Zertifikat?

Nein. Ein Zertifikat enthält Informationen über die Identität und den öffentlichen Schlüssel einer Website. Die Kette ist die Folge von Zertifikaten, die verwendet wird, um einen vertrauenswürdigen Pfad von diesem Zertifikat zu einem akzeptablen Vertrauensanker einzurichten.

Bedeutet eine gültige Zertifikatskette, dass eine Website sicher ist?

Nein. Eine gültige Kette hilft dabei, die zertifizierte Identität einer Website gemäß der Vertrauensrichtlinie des Kunden zu überprüfen. Es garantiert nicht, dass die Website legitim, frei von Malware oder vor Anwendungsschwachstellen geschützt ist.