Siemens SIMATIC S7-1500 Funktionshandbuch Seite 44

Besonderheiten von selbstsignierten Zertifikaten
Die Attribute "CN" (Common Name of Subject) für den Zertifikatsinhaber und "Issuer"
(Aussteller) von selbstsignierten Zertifikaten sind identisch: Sie haben Ihr Zertifikat ja selbst
signiert. Das Feld "CA" (Certificate Autority) für die Zertifizierungsstelle muss auf "False"
stehen; das selbstsignierte Zertifikat soll ja nicht dazu benutzt werden, andere Zertifikate zu
signieren.
Selbstsignierte Zertifikate sind nicht in eine PKI-Hierarchie eingebettet.
Inhalte von Zertifikaten
Ein Zertifikat nach dem Standard X.509 V3, der Standard, der auch von STEP 7 bzw. den
S7-1500 CPUs genutzt wird, besteht im Wesentlichen aus folgenden Teilen:
● Öffentlicher Schlüssel
● Angaben über den Zertifikatsinhaber (d. h. den Schlüsselinhaber); das ist z. B. der
Common Name (CN) of Subject
● Attribute wie Seriennummer und Gültigkeitsdauer
● Digitale Signatur (Beglaubigung) der Zertifizierungsstelle (CA), dass die Angaben
stimmen.
Daneben gibt es Erweiterungen, z. B.
● Angabe, für welchen Verwendungszweck der öffentliche Schlüssel verwendet werden
darf (Key Usage), z. B. zum Signieren oder zur Schlüssel-Verschlüsselung.
Wenn Sie mit STEP 7 ein neues Zertifikat erstellen, z. B. im Kontext Secure Open User
Communication, wählen Sie aus der Liste der möglichen Verwendungszwecke den
treffenden Eintrag aus der Liste aus, z. B. "TLS".
● Angabe eines "Alternativen Namens des Zertifikatsinhabers" ("SAN", Subject Alternative
Name), der z. B. bei der sicheren Kommunikation mit Webservern (HTTP over TLS) dazu
genutzt wird, um sicherzustellen, dass das Zertifikat auch dem Webserver gehört, der im
URL der Adresszeile des Web-Browsers angegeben wurde.
Wie Signaturen erzeugt und verifiziert werden
Die technische Voraussetzung, dass Zertifikate geprüft werden können, liefert die
asymmetrische Schlüsselverwendung: Am Beispiel des Zertifikats "MyCert" werden die
Prozesse "Signieren" und "Signatur prüfen" gezeigt.
Signatur erzeugen:
1. Der Aussteller des Zertifikates "MyCert" erzeugt aus den Daten des Zertifikats mit einer
bestimmten Hash-Funktion (z.B. SHA-1, Secure Hash Algorithm) einen Hash-Wert.
Der Hash-Wert ist eine Bitfolge mit konstanter Länge. Die stets gleiche Länge des Hash-
Wertes bietet den Vorteil, dass das Signieren des Hash-Wertes immer die gleiche Zeit
beansprucht.
2. Aus dem so erzeugten Hash-Wert erzeugt der Aussteller des Zertifikats mit Hilfe des
private Schlüssels eine digitale Signatur. Häufig wird dazu das RSA-Signaturverfahren
benutzt.
3. Die digitale Signatur wird im Zertifikat gespeichert. Dadurch ist das Zertifikat signiert.
Kommunikation
Funktionshandbuch, 11/2019, A5E03735814-AH
Kommunikationsdienste
3.6 Secure Communication
43