Zertifikatspfads

Zertifikatspfad bezeichnet in der Public-Key-Infrastruktur (PKI) die Folge von X.509-Zertifikaten, die von einem End-Entitätszertifikat zu einem vertrauten Root-Zertifikat führt. Der Pfad besteht typischerweise aus dem Endzertifikat, optionalen Zwischenzertifikaten und einem Root-Zertifikat der Zertifizierungsstelle (CA). Er bildet die Kette des Vertrauens und wird von Clients und Servern bei der Verifikation herangezogen.

Bei der Zertifikatsprüfung wird der Pfad aufgebaut und validiert: Jedes Zertifikat muss eindeutig durch das vorausgehende Zertifikat signiert sein, die Signaturen müssen gültig sein und die Gültigkeitszeiträume müssen eingehalten werden. Zudem wird die Namensverkettung geprüft (Subject vs. Issuer-Felder), sowie Berechtigungen, Policy-Beschränkungen und Grundkonzepte wie Basic Constraints und KeyUsage.

Zusätzlich wird die Widerrufsprüfung berücksichtigt: Zertifikate können widerrufen worden sein, weshalb OCSP oder CRL herangezogen werden. Am Ende muss der Pfad in einem als vertrauenswürdig geltenden Root-Zertifikat in der Trust Store verankert sein. Wird kein validierbarer Pfad zu einem Trust Anchor gefunden, gilt das Zertifikat als nicht vertrauenswürdig.

Anwendungen und Herausforderungen: In TLS-Verbindungen bauen Clients typischerweise Pfade zu Root-Zertifikaten im Browser- oder Systemvertrauensspeicher auf. In unternehmensinternen PKI-Umgebungen können Cross-Zertifizierungen oder mehrere Trust-Stores das Pfad-Tracking erschweren. Fehlende Zwischenzertifikate, abgelaufene Zertifikate oder nicht erreichbare Revocation-Informationen führen zu Verifikationsfehlern.

Standards: Die Zertifikatspfad-Validierung folgt X.509/PKIX-Standards (RFC 5280). Im TLS-Kontext geben RFC 6125 und verwandte Spezifikationen Vorgaben zur Vertrauenskette, Namensüberprüfung und Policy-Constraints.