Zertifikatspfad

Zertifikatspfad bezeichnet in der Public-Key-Infrastruktur den Pfad von einem Endnutzungszertifikat (Leaf) zu einem vertrauten Stammzertifikat (Root). Er besteht aus einer Folge von Zertifikaten, wobei jedes Zertifikat vom unmittelbar darüber liegenden Zertifikat signiert wird; der Issuer-Name eines Zertifikats entspricht dem Subject-Name des darüberliegenden Zertifikats. Der letzte Eintrag im Pfad ist typischerweise ein Stammzertifikat, das in der Vertrauenskette des Systems als vertrauenswürdig festgelegt ist oder ein selbst signiertes Zertifikat, das als Vertrauensanker dient.

Pfadbildung und Aufbau erfolgen durch Pfadbau-Algorithmen, die aus vorhandenen Zertifikaten im Client- oder Server-Kontext einen konsistenten Pfad ermitteln. Zwischenzertifikate (Intermediates) können enthalten sein oder über Zertifikat-AIA-Erweiterungen fetched werden, um fehlende Zwischenstufen abzuschließen. Ziel ist ein vollständiger Pfad von Leaf bis zu einem Trust Anchor, der die Signaturen stufenweise verifiziert.

Validierung umfasst mehrere Schritte: Signaturen werden von Leaf bis Root überprüft, Gültigkeitszeiträume werden geprüft und Widerrufsstatus (CRL, OCSP) wird berücksichtigt. Für Zertifikate, die als CA fungieren, müssen Basic Constraints mit CA: TRUE sowie ggf. Pfadlängenbeschränkungen erfüllt sein. Zusätzlich können Policy-Constraints, Name-Constraints und die Zwecke (EKU) je nach Anwendungsfall geprüft werden. Der Pfad muss mit einem im Trust Store enthaltenen Stammzertifikat enden.

Besonderheiten: Zertifikatpfade können mehrdeutig sein, etwa bei Cross-Signing oder mehreren möglichen Vertrauensankern. In TLS-Verbindungen werden oft mehrere Pfade geprüft, um eine gültige Kette zu finden. Die Praxis des Zertifikatmanagements am Client beeinflusst maßgeblich die Stabilität der Zertifikatpfade.

Anwendungsgebiete umfassen TLS, S/MIME, Code Signing und weitere PKI-Anwendungen, in denen Vertrauen auf eine geprüfte Kette zu einem anerkannten Stammzertifikat gelegt wird.