ZertifikatsPinning

Zertifikats-Pinning ist ein Sicherheitsmechanismus, der es einem Client ermöglicht zu prüfen, dass der Server das erwartete Zertifikat oder den erwarteten öffentlichen Schlüssel präsentiert. Ziel ist es, Man-in-the-Middle-Angriffe auch dann zu verhindern, wenn eine Zertifizierungsstelle kompromittiert wäre oder ein gefälschtes Zertifikat ausgestellt wird.

Funktionsweise: Der Client speichert einen Pin, meist als Hash eines Zertifikats oder des öffentlichen Schlüssels (SPKI). Dieser Pin wird in Anwendungscode, Konfiguration oder speziellen Pin-Verwaltungsmechanismen hinterlegt. Beim Aufbau einer TLS-Verbindung wird der präsentierte Schlüssel mit dem Pin verglichen. Entspricht er dem Pin, wird die Verbindung fortgesetzt; stimmt der Pin nicht, wird die Verbindung abgelehnt.

Pinning-Arten: Es gibt das Zertifikats-Pinning (Pinning des gesamten Zertifikats) und das Public-Key-Pinning (Pinning des öffentlichen Schlüssels). Eine webbasierte Variante war HTTP Public Key Pinning (HPKP), das über HTTP-Header funktionierte. HPKP ist inzwischen in modernen Umgebungen weitgehend obsolet, da Fehlkonfigurationen zu schweren Ausfällen führen können.

Vorteile: Durch Pinning wird der Schutz gegen Angriffe erhöht, die auf falsche oder kompromittierte Zertifikate abzielen, insbesondere bei Ausfällen einer Zertifizierungsstelle oder bei abhanden gekommenen Schlüsseln.

Nachteile und Einschränkungen: Pinning erfordert sorgfältiges Pin-Management und Planungen für Zertifikatswechsel oder Schlüsselrotation. Ein falsch konfigurierter Pin kann Verbindungen dauerhaft blockieren. Der Einsatz ist besonders in Web-Browser-Umgebungen herausfordernd, häufiger wird Pinning in mobilen Apps oder proprietären Clients umgesetzt.

Einsatzgebiete und Kontext: Zertifikats-Pinning wird vor allem in mobilen Anwendungen, Desktop-Clients und sicherheitskritischen Systemen eingesetzt. In Webumgebungen dominieren inzwischen alternative Ansätze wie Transparenz-Logs (Certificate Transparency) und sorgfältige TLS-Konfigurationen, während festes Pinning in der Praxis selten als alleinige Schutzmaßnahme empfohlen wird.