Zertifikatsvalidierung

Zertifikatsvalidierung bezeichnet das Verfahren zur Prüfung digitaler Zertifikate im Rahmen von Public-Key-Infrastructures (PKI). Sie wird vor allem bei TLS-Verbindungen (HTTPS) eingesetzt, aber auch bei E-Mail-Verschlüsselung/Signatur sowie bei Code-Signierung. Ziel ist es sicherzustellen, dass die präsentierte Identität legitim ist und die Kommunikation geschützt bleibt.

Die Validierung umfasst den Aufbau einer Vertrauenskette: Das End-Entity-Zertifikat wird über Zwischenzertifikate zu einem Stammzertifikat geprüft, das im Vertrauensspeicher (Root-CA) des Clients enthalten ist. Jede Signatur muss mit dem öffentlichen Schlüssel des Ausstellers verifiziert werden; der Pfad darf zulässig und frei von Ungültigkeiten sein.

Zudem werden Gültigkeitsdaten geprüft: NotBefore und NotAfter müssen gelten; die Uhr des Clients darf tolerieren. Der Widerrufsstatus wird überprüft, etwa via CRL oder OCSP; OCSP-Stapling kann das Verfahren beschleunigen.

Identität und Verwendungszweck werden geprüft: Der im Zertifikat angegebene Name (z. B. DNS-Namen in SAN) muss mit der Zieladresse übereinstimmen, und der Zertifikatstyp (EKU/KeyUsage) muss zum Einsatz passen. Weitere Richtlinien, etwa Name Constraints oder Policy Constraints, können zusätzliche Einschränkungen setzen.

In Praxisumgebungen erfolgt die Zertifikatsvalidierung automatisch durch Clients wie Webbrowser, die auf den jeweiligen Trust Store zugreifen; fehlerhafte Zertifikate lösen Warnungen oder Verbindungsabbrüche aus.