Zwischenzertifikaten

Zwischenzertifikate sind X.509-Zertifikate im Rahmen der Public-Key-Infrastruktur (PKI), die zwischen dem Stammzertifikat (Root CA) und End-Entity-Zertifikaten stehen. Sie werden von einer höherstufigen Zertifizierungsstelle ausgestellt und dienen dazu, das Vertrauensmodell zu skalieren und zu flexibilisieren, ohne das Root-Zertifikat direkt zu gefährden.

Sie ermöglichen es, Vertrauensketten abzubilden, in denen eine Stammstelle ein bzw. mehrere Zwischenzertifikate ausstellt, die wiederum Endzertifikate wie Server-, Code- oder E-Mail-Zertifikate signieren. Dadurch kann der Umfang der Schlüsselverwaltung besser kontrolliert, Key-Rotation vereinfacht und Sicherheitsrisiken bei Kompromittierung eines Schlüsselmaterials eingeschränkt werden. Zwischenzertifikate können unterschiedliche Unterzeichnungsrichtlinien, kryptografische Algorithmen und Gültigkeitszeiträume widerspiegeln.

Bei der Validierung von Zertifikaten prüfen Clients die Kette von dem Endzertifikat über die Zwischenzertifikate bis zum vertrauenswürdigen Stammzertifikat. Teil der Prüfung sind Signaturen, CA-Berechtigungen (basic constraints), Ablaufdaten sowie Revozierungsstatus (CRL/OCSP). Stammzertifikate sind in der Regel lange gültig und normalerweise offline geschützt; Zwischenzertifikate haben oft kürzere Laufzeiten und müssen regelmäßig erneuert oder ersetzt werden.

Wichtige praktische Aspekte umfassen die korrekte Verteilung und Aktualisierung der Zwischenzertifikate, das Management von Revokationen sowie ggf. Cross-Signings, um Kompatibilität mit älteren Systemen sicherzustellen. Fehler in der Handhabung von Zwischenzertifikaten können zu Vertrauensproblemen oder Zertifikatskettenfehlern führen.

Siehe auch: Public Key Infrastructure, X.509, Certificate Authority, Zertifizierungskette, CRL, OCSP.