Eine Public Key Infrastructure ist das Gefüge aus Stellen, Regeln und Verfahren, das öffentliche Schlüssel überprüfbar macht. Abgekürzt wird sie PKI.
- Public Key Infrastructure
Das Gefüge aus Stellen, Regeln und Verfahren, das öffentliche Schlüssel überprüfbar macht.
Beispiel: „Für die internen Dienste betreiben wir eine eigene Public Key Infrastructure.“Auch: PKI. Die Stelle darin, die unterschreibt, heißt Certificate Authority.
Abgrenzung zum einzelnen Zertifikat: Das Zertifikat ist das Ergebnis. Die PKI ist alles, was nötig ist, damit es etwas wert ist: Ausstellung, Verzeichnis, Widerruf und die Regeln dazu.
Wie die Kette einer Public Key Infrastructure aufgebaut ist
In drei Stufen. Ganz oben steht ein Wurzelzertifikat, das sich selbst signiert und dessen privater Schlüssel abgeschottet aufbewahrt wird. Darunter liegen Zwischenzertifikate, die den täglichen Betrieb erledigen, und darunter die Zertifikate der einzelnen Server und Personen. Wer eines davon prüft, rechnet die Kette nach oben durch, bis er bei einer Wurzel landet, die er kennt. Der Umweg über Zwischenstufen hat einen Grund: Wird eine davon kompromittiert, lässt sie sich zurückziehen, ohne die Wurzel anzutasten.
Wie ein Widerruf funktioniert
Über Sperrlisten und Abfragen, und beides nur halb zuverlässig. Eine ausstellende Stelle führt eine Liste widerrufener Zertifikate, und Programme können einzelne Zertifikate online abfragen. In der Praxis sind beide Wege löchrig: Listen werden nicht aktuell geladen, Abfragen laufen in eine Zeitüberschreitung und werden dann ignoriert. Deshalb sind kurze Laufzeiten das wirksamere Mittel; ein Zertifikat, das ohnehin nach drei Monaten abläuft, muss seltener widerrufen werden.
Wo eine PKI im Unternehmen auftaucht
Überall dort, wo sich Geräte und Dienste gegenseitig ausweisen müssen. Eine eigene, interne PKI stellt Zertifikate für Server im Hausnetz aus, für Dienstrechner, für VPN-Zugänge und für signierte E-Mails. Sie ist kein Produkt, sondern eine Aufgabe mit Dauerbetrieb: Jemand muss die Wurzel schützen, den Widerruf bedienen und dafür sorgen, dass die Verlängerung automatisch läuft, bevor etwas abläuft.