12.3.7 Zertifikate und Signaturen

Eine Internetseite wird über das Internet übertragen und könnte auf dem Weg vom Server zum Client verändert werden. Um das zu verhindern, wird die Seite verschlüsselt übertragen. Der öffentliche Schüssel des Servers, mit welchem der Session-Schlüssel verschlüsselt wird (siehe hybride Verschlüsselung), muss jedoch einmal vom Server zum Client übertragen werden. Eine Zertifizierungsstelle bestätigt dem Client, dass der vom Server übertragene Schlüssel auch wirklich zur Organisation/Person gehört, welche die Internetseite anbietet:

Um HTTPS auf einer Webseite zu aktivieren, muss ein Zertifikat von einer Zertifizierungsstelle zur Verfügung gestellt werden. Neben dem kostenlosen Service Let’s Encrypt gibt es viele weitere kostenpflichtige Zertifizierungsstellen:

  • Suchbegriff: "ssl-zertifikat kaufen"

Um für eine Webseiten-Domain ein Zertifikat zu erhalten, muss nachgewiesen werden, dass man die Kontrolle über diese Domain haben. Dieser automatisierte Nachweis erfolgt meist mit einer Software (z.B. Certbot). Certbot ACME kann Zertifikate automatisch erstellen und installieren.

Weitere Informationen: Lets Encrypt.

Wenn man prüfen möchte wie eine Domain in Bezug auf eine verschlüsselte Kommunikation konfiguriert wurde, kann man unter folgendem Link eine Analyse durchführen lassen:

SSL-Test

Bei der elektronischen Übermittlung sensibler vertraulicher Dokumente kann ein Dokument digital signiert werden. Von einer unabhängigen Prüfstelle wird bestätigt, dass das Dokument vom Absender stammt. Die Übermittlung der notwendigen Schlüssel erfolgt zeitlich unabhängig von der Übermittlung des Dokuments und wird z.B. durch einen mit der Post übersendeten Code abgesichert.

Schritt 1: Das Dokument wird digital signiert

Schritt 2: Die digitale Signatur wird von der Prüfstelle geprüft

Schritt 3: Das geprüfte Dokument wird vom Empfänger entschlüsselt