EndEntityZertifikat

Ein EndEntityZertifikat ist in der Public-Key-Infrastruktur (PKI) ein digitales Zertifikat, das einer Endeinheit zugeordnet wird, wie einem Endbenutzer, einem Server oder einem Gerät, und dessen Identität durch den Inhaber des Zertifikats bestätigt wird. Es bindet den öffentlichen Schlüssel der Entität an eine eindeutige Identität und wird von einer Zertifizierungsstelle (CA) signiert. Im Vertrauensmodell bildet es die unterste Stufe der Vertrauenskette; der Zertifikatsinhalt wird durch die CA validiert, während höhere Ebenen der Kette von Root- bzw. Zwischen-CAs geführt werden.

Typische Inhalte eines EndEntityZertifikats umfassen Version, Seriennummer, Signaturalgorithmus, Aussteller (Issuer), Gültigkeitszeitraum, Subjekt (Subject) und Subject Public Key Info. Wichtige Erweiterungen sind Key Usage (z. B. digitalSignature, keyEncipherment), Extended Key Usage (z. B. serverAuth, clientAuth), Subject Alternative Name (SAN) sowie Basic Constraints mit CA:FALSE, was bestätigt, dass das Zertifikat nicht als Zertifizierungsstelle verwendet wird. EndEntityZertifikate sind in der Regel nicht berechtigt, weitere Zertifikate auszustellen.

Anwendungsbereiche umfassen TLS/HTTPS-Serverzertifikate, Client- und Code Signing, S/MIME sowie Client-Authentifizierung bei VPNs. Zur Vertrauensprüfung wird der Zertifikatspfad gegen eine Vertrauensliste geprüft; Bedingungen wie Ablaufdatum, Widerruf (CRL, OCSP) und die Gültigkeit der Kette müssen erfüllt sein.

Wichtige Sicherheitsaspekte betreffen den Schutz des privaten Schlüssels, rechtzeitige Erneuerung bzw. Verlängerung, geeignete Speicher- und Zugriffskontrollen sowie Maßnahmen gegen Key Compromise.