Zertifikatsverzeichnisse

Zertifikatsverzeichnisse sind Sammlungen von digitalen Zertifikaten, die als Vertrauensbasis für kryptografische Verbindungen dienen. In Public-Key-Infrastruktur (PKI) und TLS/SSL werden sie vor allem verwendet, um Stammzertifikate (Roots) und Zwischenzertifikate zu speichern, die zur Validierung der Identität eines Kommunikationspartners benötigt werden. Ein Zertifikatsverzeichnis kann lokal auf einem System liegen oder in einer Anwendung implementiert sein; oft dient es als CApath, an dem TLS- oder HTTPS-Clients Zertifikate prüfen.

Struktur und Formate: In vielen Linux-/Unix-Systemen befinden sich Zertifikatsverzeichnisse unter /etc/ssl/certs oder ähnlichen Pfaden. Jedes Zertifikat liegt in einer Datei, häufig im PEM- oder DER-Format. Bei OpenSSL wird ein CApath-Verzeichnis genutzt, wobei Zertifikate manchmal durch Hash-basierte Dateinamen referenziert werden; Werkzeuge wie c_rehash erzeugen entsprechende Symlinks. Anwendungen können zusätzlich eigene, nicht-dateibasierte Trust Stores verwenden (beispielsweise NSS oder Java cacerts).

Verwaltung: Administratoren fügen neue vertrauenswürdige CAs hinzu oder entfernen kompromittierte. Updates erfolgen oft über Paketmanagement- oder Patchmechanismen (beispielsweise update-ca-certificates oder update-ca-trust). Zertifikatsverzeichnisse unterstützen außerdem Revocation-Mechanismen wie Certificate Revocation Lists (CRLs) oder OCSP, um ungültige Zertifikate zu entwerten. Wichtig ist eine saubere Dateirecht- und Integritätsverwaltung.

Beziehung zu anderen Speicherformen: Zertifikatsverzeichnisse unterscheiden sich von Anwendungs- oder Plattform-spezifischen Zertifikatsspeichern (z. B. Java-Keystores oder Windows-Zertifikatspeicher), in denen Zertifikate oft als einzelne Einträge in einer Datenbank verwaltet werden. Zertifikatsverzeichnisse sind typischerweise Teil des Systemvertrauenspfads und dienen der Verifizierung von Server- oder Code-Signing-Zertifikaten in einer konkreten Umgebung.