Siemens SIMATIC S7-1500 Funktionshandbuch Seite 59

Kommunikationsdienste
3.6 Secure Communication
Die Schritte zum Prüfen der Authentizität des Webservers im Einzelnen:
1. Alice muss die öffentlichen Schlüssel aller beteiligten Zertifizierungsstellen kennen, d. h.,
Alice benötigt die gesamte Zertifikate-Kette zum Prüfen des Webserver-Zertifikats (d. h.
des End-Entity-Zertifikats des Webservers):
Üblicherweise hat Alice in ihrem Zertifikatspeicher das benötigte Stammzertifikat. Mit der
Installation eines Webbrowsers werden z. B. eine Reihe von vertrauenswürdigen
Stammzertifikaten mitinstalliert. Wenn sie das Stammzertifikat nicht hat, muss sie es von
der Zertifizierungsstelle herunterladen und im Zertifikatspeicher des Browsers installieren.
Die Zertifizierungsstelle kann auch das Gerät sein, auf dem sich der Webserver befindet.
Um die Zwischenzertifikate zu erhalten, gibt es folgende Möglichkeiten:
– Der Server selbst sendet zusammen mit seinem End-Entity-Zertifikat die
– In den Zertifikaten befinden sich oft die URLs vom jeweiligen Zertifikate-Aussteller.
Wenn Sie Zertifikate in STEP 7 hantieren, wird immer davon ausgegangen, dass Sie die
erforderlichen Zwischenzertifikate und das Stammzertifikat in das Projekt importiert und
der Baugruppe zugeordnet haben.
2. Mit den öffentlichen Schlüsseln der Zertifikate validiert Alice die Signaturen der
Zertifikate-Kette.
3. Der symmetrische Schlüssel muss erzeugt und an den Webserver übermittelt werden.
4. Wenn der Webserver mit seinem Domainnamen adressiert wird, verifiziert Alice gemäß
den in RFC 2818 festgelegten PKI-Regeln die Identität des Webservers: Das kann sie,
weil die URL des Webservers, in diesem Fall der "Fully Qualified Domain Name" (FQDN),
im End-Entity-Zertifikat des Webservers hinterlegt ist. Wenn der Zertifikatseintrag im Feld
"Subject Alternative Name" mit dem Eintrag in der Adresszeile des Browsers
übereinstimmt, ist alles in Ordnung.
Weiter geht es mit dem Datenaustausch mit dem symmetrischen Schlüssel, wie im Bild oben
gezeigt.
58
erforderlichen Zwischenzertifikate an Alice, und zwar als signierte Nachricht, damit
Alice die Integrität der Zertifikate-Kette prüfen kann.
Über diese URLs kann Alice die erforderlichen Zwischenzertifikate laden.
Funktionshandbuch, 11/2019, A5E03735814-AH
Kommunikation