Was ist ein X.509-Zertifikat?

Bereits seit 1988 sorgen X.509-Zertifikate für mehr Sicherheit in der Online-Kommunikation. Bei X.509 handelt es sich um ein Standardformat der Internationalen Fernmeldeunion (ITU) für sogenannte Public-Key-Infrastrukturen (PKI). Die digitalen Dokumente verknüpfen kryptografische Schlüsselpaare mit der Identität von Einzelpersonen, Websites oder Organisationen. Erfahren Sie hier, was ein X.509-Zertifikate definiert, welchem Zweck sie dienen und welche Anwendungen die Zertifikate in der Praxis finden.  

Definition: Was ist X.509?

Das X.509-Zertifikat ist ein ITU-T Standardformat für digitale Zertifikate. Es ermöglicht die Nutzung von PKI und spielt deshalb eine wichtige Rolle für die IT-Sicherheit. X-509-Zertifikate verifizieren mit Hilfe öffentlicher Schlüssel und digitaler Signaturen die im Zertifikat enthaltenen Benutzer-, Computer- oder Dienstidentitäten, was den sicheren Austausch von Informationen ermöglicht. Die Signatur wird entweder von einer vertrauenswürdigen Zertifizierungsstelle (CA) erstellt oder ist selbst signiert.  

Einige digitale Zertifikate können auch automatisiert werden. X.509-Zertifikate folgen einer hierarchischen Struktur und einem genau definierten Aufbau, der in der abstrakten Beschreibungssprache für Datenstrukturen ASN.1 (Abstract Syntax Notation One) beschrieben ist. RFC 5280 enthält alle Details zum X.509 v3-Zertifikat, die Zertifikatssperrliste (CRL) für X.509 v2 sowie ein Algorithmus für die Pfadüberprüfung von X.509-Zertifikaten.  

Was ist ein X.509-Zertifikat?

Das X.509-Zertifikat erfüllt dabei einen bestimmten Zweck: Es dient als Schutz gegen böswillige Netzwerk-Identifikatoren. Wenn ein Zertifikat von einer vertrauenswürdigen Stelle signiert oder anderweitig validiert ist, lassen sich darüber Dokumente validieren. Im Internet wird es in zahlreichen Protokollen verwendet, um sicherzustellen, dass eine bösartige Website einen Webbrowser nicht täuschen kann. Außerdem kommt das X.509-Zertifikat zur Sicherung von E-Mails, Gerätekommunikation und digitalen Signaturen zum Einsatz. 

Was beinhaltet ein X.509-Zertifikat? 

Ein X.509-Zertifikat enthält Informationen über zwei Identitäten: den Adressaten und den Aussteller des Zertifikats. Dabei folgt es einem typischen Aufbau:  

• Version: Die für das Zertifikat geltende X.509-Version gibt an, welche Daten das Zertifikat enthalten muss. 
• Seriennummer: Die erstellende CA, muss dem Zertifikat eine Seriennummer zuweisen, die es von anderen Zertifikaten unterscheidet. 
• ID des Algorithmus: Der Signaturalgorithmus, den die CA zum Signieren des Zertifikats verwendet. 
• Ausstellers: Der Name der ausstellenden Einheit, in der Regel die CA. 
• Gültigkeitsdauer des Zertifikats: Das Start- und Enddatum und somit der Zeitraum, in dem das Zertifikat gültig ist und als vertrauenswürdig angesehen werden kann. 
• Zertifikatinhaber: Der Name, auf den das Zertifikat ausgestellt ist. 
• Informationen zum öffentlichen Schlüssel des Zertifikatinhabers: Der Algorithmus sowie der öffentliche Schlüssel, der mit der Identität verbunden ist. 

• Erweiterungen: Optionale Erweiterungen beinhalten die eindeutige ID des Ausstellers und des Inhabers. Diese werden als eine Reihe von Werten ausgedrückt, die sogenannten Objektkennung. Eine Erweiterung lässt sich zurückgewiesen, wenn sie nicht erkannt wird oder wenn sie Informationen enthält, die nicht verarbeitet werden können. 

Erweiterungen von X.509-Zertifikaten

X.509-Zertifikate der Version 3 enthalten eine Liste von Erweiterungen (Extensions). Sie bieten mehr Flexibilität bei der Nutzung der Zertifikate, enthalten Zusatzinformationen über den Betreff oder den Aussteller des Zertifikats. Dabei kann es sich um E-Mail-Adressen handeln oder bestimmte Kennzeichnungen handeln. Dadurch können einen wichtigen Bestandteil eines Zertifikates bilden. Sie enthalten folgende Elemente:  

• Object Identifiere (OID): Spezifische Erweiterungs-ID 
• Boolescher Wert: Er markiert die Erweiterung als kritisch oder unkritisch, dient ihrer schrittweisen Einführung und hilft dabei, Zertifikate als gültig oder ungültig zu klassifizieren. 

Beispiele für Erweiterungen sind:  

• Subject Alternative Name: Diese Erweiterung ermöglicht die Bindung eines X.509-Zertifikats an mehrere Identitäten.  
• KeyUsage: Definiert die spezifische Anwendung eines Zertifikats. Stammt das Zertifikat von einer CA, muss an dieser Stelle beispielsweise „keyCertSign“ und „CRLsign“ stehen. 
• BasicConstraint: Ohne diese Erweiterung ist transitives Vertrauen unmöglich. Sie gibt die maximale Länge der Zertifikatskette an und, ob das Zertifikat zu einer Zertifizierungsstelle gehört oder nicht.  

Wie werden X.509-Zertifikate ausgestellt?

Die Public-Key-Kryptographie ermöglicht die Ausstellung sicherer X.509-Zertifikate und umfasst folgende grundlegende Schritte: 

1. Schlüsselpaar generieren: Der Zertifikatsinhaber muss zunächst über einen kryptografischen Algorithmus wie RSA oder ECC ein Schlüsselpaar aus öffentlichem und privatem Schlüssel erzeugen. Das Schlüsselpaar dient für die Erstellung digitaler Signaturen und für die Prüfung, sowie Ver- und Entschlüsselung von Daten. 
2. Zertifikatsanforderung erstellen: Im nächsten Schritt senden Sie den Certificate Signing Request (CSR) mit den Informationen über das Schlüsselpaar und die Identität des Zertifikatsinhabers an eine vertrauenswürdige Zertifizierungsstelle (CA). 
3. Verifizierung: Die CA prüft die Identität des Zertifikatsinhabers und validiert den CSR. 
4. Ausstellung des Zertifikats: Die CA stellt ein X.509-Zertifikat aus, das den öffentlichen Schlüssel des Zertifikatsinhabers und andere identifizierende Informationen enthält. Die CA signiert das Zertifikat mit ihrem privaten Schlüssel und sendet es an den Zertifikatsinhaber. 
5. Installation des Zertifikats: Indem Sie das X.509-Zertifikat in den entsprechenden Zertifikatspeicher oder die Konfigurationsdatei importieren, installieren Sie es auf Ihrem Server oder Gerät.  

Anwendungsfälle

Es gibt eine Reihe typischer Anwendungsgebiete für X.509-Zertifikate:  

• Digitale Identitäten, Signaturen und Unterzeichnung von Dokumenten: Zu den wichtigststen Einsatzbereichen von X.509-Zertifikaten zählt die Authentifizierung der digitalen Identitäten von Geräten, Personen, Anwendungen, Daten, Dokumenten und Signaturen.   
• TLS/SSL und Webbrowser-Sicherheit: PKI und X.509 bilden die Grundlage für die Protokolle Transport Layer Security (TLS) und Secure Sockets Layer (SSL). Webbrowser lesen das X.509-Zertifikat einer Webseite, um ihren TLS/SSL-Status zu überprüfen. 

• E-Mail-Zertifikate: X.509-Zertifikate sind ein integraler Teil sicherer E-Mail-Standards wie Secure/Multipurpose Internet Mail Extensions (S/MIME).  
• Code Signing: Auch bei der Authentifizierung von Code können die Endbenutzer über X.509-Zertifikate sicherstellen, dass keine dritte Partei den Code verändert hat.  
• Secure-Shell-Schlüssel (SSH): Diese Form von X.509-Zertifikaten bietet sichere Zugangsdaten für das SSH-Protokoll.  

Bewährte Sicherheitspraktiken

Bei X.509-Zertifikaten handelt es sich um einen bewährten und somit grundsätzlich sicheren Internetstandard. Mit folgenden Best Practices erhöhen Sie die Sicherheit Ihrer digitalen Kommunikation und der Zertifikatsverwaltung weiter:  

1. Automatisierung des Lebenszyklus von Zertifikaten: Viele Unternehmen managen heute eine riesige Menge von Zertifikaten. Wer 50-100.000 Zertifikate manuell verwalten möchte, stößt schnell an die Grenzen des Machbaren. Beispielsweise über das ACME-Protokoll lässt sich die Verwaltung von X.509-Zertifikatien automatisieren.  
2. Monatlicher Wechsel von Zertifikaten, die nicht über ein Hardware-Sicherheitsmodul gesichert sind: So genannte Hardware Security Module (HSM) sind Peripheriegeräte, die private Schlüssel zusätzlich schützen. Zertifikate ohne diesen zusätzlichen Schutz sind höheren Sicherheitsrisiken ausgesetzt. Wer die Zertifikate regelmäßig erneuert, verringert dieses Risiko.  
3. Zertifikate für menschliche Nutzer regelmäßig wechseln: Unternehmen, die Hardwareschlüssel oder Smartcards für ihre Belegschaft verwenden, sollten diese in einem sinnvollen Zeitintervall und gruppenweise rotieren. So stellen sie einerseits sicher, dass die Zertifikate neu genug sind, und vermeiden andererseits, dass sie im Notfall viele Zertifikate auf einmal widerrufen müssen.  
4. Richtlinien und Verfahren festlegen: Unternehmen sollten klare Richtlinien für die Ausstellung, Erneuerung, den Widerruf und die Speicherung von Zertifikaten sowie einen Notfallplan für Fehlfunktionen definieren. Das vermeidet Pannen und gibt eine Handlungsanweisung, wenn diese doch auftreten.  
5. Automatisierung ausbauen: Je mehr Anwendungen, Benutzer und Transaktionen Ihr Unternehmen bewältigen muss, desto wichtiger wird eine automatisiertes Zertifikatsmanagement.  

Zusammenfassung

Die Verbindungen über das Internet sowie die Anzahl der Geräte und Anwendungen, die an das Internet of Things (IoT) gekoppelt sind, wachsen ständig. Gleichzeitig steigt auch das Risiko für Cyberattacken. Durch all diese Faktoren werden sichere Verbindungen in der digitalen Kommunikation immer wichtiger. Digitale Zertifikate helfen dabei, öffentliche Schlüssel an die Identität des Eigentümers innerhalb einer Public-Key-Infrastruktur zu binden.  

Die aktuelle dritte Version für X.509-Zertifikate ist dabei der am häufigsten verwendete Standard. Ein X.509-Zertifikat dient als elektronischer Echtheitsnachweis und hat vielfältige Anwendungsgebiete – vom Abrufen verschlüsselter Internetseiten mit HTTPS über die Verschlüsselung und Signatur von E-Mails bis hin zu sicheren Verbindungen in IoT-Umgebungen.  

Häufig gestellte Fragen (FAQ)

Was ist X.509? 

Das X.509-Zertifikat ist ein Standardformat für digitale Zertifikate der Internationalen Fernmeldeunion (ITU). Es ist ein integraler Bestandteil von Public-Key-Infrastrukturen (PKI) und spielt deshalb eine wichtige Rolle für die IT-Sicherheit. X-509-Zertifikate nutzen öffentlicher Schlüssel und digitale Signaturen, um die im Zertifikat enthaltenen Benutzer-, Computer- oder Dienstidentitäten zu verifizieren und einen sicheren Austausch von Informationen zu garantieren.  

Was sind die Bestandteile eines X.509-Zertifikats? 

X.509-Zertifikate sind hierarchisch aufgebaut und folgen einem genauen Aufbau. Das Zertifikat wird über folgende Elemente genauer definiert: jeweilige X.509-Version, Seriennummer, Algorithmen-ID, Aussteller, Gültigkeitsdauer, Zertifikatinhaber, Schlüsselinformationen des Zertifikatinhaber. Optional können eine eindeutige ID des Ausstellers sowie des Inhabers und Erweiterungen hinzukommen. Weitere feste Bestandteile des Zertifikats sind sein Signaturalgorithmus und die Signatur.  

Wie funktioniert ein X.509-Zertifikat? 

Ein X.509-Zertifikat funktioniert über den öffentlichen Schlüssel des Zertifikatsinhabers und andere identifizierende Informationen, die eine vertrauenswürdige Zertifizierungsstelle digital signiert. Es wird verwendet, um die Authentizität des Zertifikatsinhabers zu überprüfen und eine sichere Kommunikation aufzubauen. 

Wann brauchen Sie ein X.509-Zertifikat? 

Zu den üblichen Anwendungen von X.509-Zertifikaten gehören beispielsweise SSL/TLS und HTTPS für authentifiziertes und verschlüsseltes Surfen im Internet, signierte und verschlüsselte E-Mails über das S/MIME-Protokoll, Code-Signierung, Dokumentensignierung, Client-Authentifizierung sowie elektronische Ausweise von Behörden.