Inhaltsverzeichnis
Werbung
10.8.1 Einleitung
Bei großen oder räumlich verteilten Organisationen werden häufig mehrstufige Zertifikatshierarchien genutzt, bei der
Endzertifikate durch eine oder mehrere Zwischen-CAs herausgegeben werden. Die Zwischen-CAs selbst sind dabei durch
Root CA zertifiziert.
Für die Authentifizierung der Endzertifikate muss die Prüfung der gesamten Zertifikatshierarchie möglich sein.
10.8.2 SSL/TLS mit mehrstufigen Zertifikaten
Bei Anwendungen, die auf SSL/TLS basieren, (z. B. EAP/802.1x, HTTPS oder RADSEC) wird das SSL-(Server-)Zertifikat samt
privatem Schlüssel und den CA-Zertifikat(en) der Zwischenstufen als PKCS#12-Container in das Gerät geladen.
Die Gegenstellen müssen dann beim Verbindungsaufbau nur das eigene Gerätezertifikat an das Gerät senden. Die
Zertifikatskette wird im Gerät auf Gültigkeit geprüft.
10.8.3 VPN mit mehrstufigen Zertifikaten
Für den zertifikatsbasierten Aufbau von VPN-Verbindungen werden im Dateisystem des Gerätes ein privater Schlüssel,
ein Gerätezertifikat und das Zertifikat der CA abgelegt. Bei einstufigen Zertifikatslösungen können dazu sowohl die
einzelnen Dateien, als auch eine PKCS#12-Datei verwendet werden. Nach dem Hochladen und der Eingabe des Kennworts
wird ein solcher Container in die drei genannten Bestandteile zerlegt.
Bei einer mehrstufigen Zertifikatshierarchie muss hingegen ein PKCS#12-Container mit den Zertifikaten der CAs aller
Stufen in der Zertifikatskette verwendet werden. Hier wird nach dem Hochladen und der Eingabe des Kennworts neben
dem privaten Schlüssel und dem Gerätezertifikat das Zertifikat der nächsten CA „oberhalb" des Gerätes entpackt – die
restlichen Zertifikat verbleiben im PKCS#12-Container. Beim Aktualisieren der VPN-Konfiguration werden die entpackten
Zertifikate und die Zertifikate aus dem Container eingelesen. Beim Aufbau einer VPN-Verbindung übermittelt die
Gegenstelle dann nur das eigene Geräte-Zertifikat, nicht jedoch die ganze Kette. Das Gerät kann dieses Zertifikat dann
gegen die vorhandene Hierarchie prüfen.
5
Die Zertifikatsstrukturen müssen bei beiden Gegenstellen zueinander passen, d. h. die Hierarchie des anfragenden
VPN-Gerätes darf keine Zertifikate erfordern, die in der Hierarchie des anderen VPN-Gerätes nicht enthalten sind.
Referenzhandbuch
10 Virtual Private Networks - VPN
613
Werbung
Inhaltsverzeichnis
