selbstsignierten

Selbstsignierte Zertifikate (selbstsigniert) sind TLS-/SSL-Zertifikate, die mit dem privaten Schlüssel derselben Entität signiert werden, die das Zertifikat ausstellt. Im Gegensatz zu Zertifikaten, die von anerkannten Zertifizierungsstellen (CAs) beglaubigt werden, fehlt eine externe Vertrauensinstanz, die die Identität des Inhabers überprüft. Die Verschlüsselung der Kommunikation funktioniert unabhängig von dieser Vertrauensstelle, doch das Vertrauen in die Identität des Gegenübers ist eingeschränkt.

Erzeugung erfolgt häufig mit Tools wie OpenSSL, Keytool oder Plattformfunktionen: Es wird ein privater Schlüssel erzeugt, anschließend wird ein X.509-Zertifikat erzeugt und mit dem eigenen Schlüssel signiert (self-signed). Gültigkeitsdauer, Gültigkeitsdaten und SAN/FQDN sollten sinnvoll gesetzt werden.

Anwendungsbereiche reichen von Entwicklungs- und Testumgebungen über interne Netzwerke bis hin zu Geräten in abgeschlossenen Systemen. Für öffentlich zugängliche Websites ist der Einsatz von selbstsignierten Zertifikaten in der Regel ungeeignet, da Browser und Clients standardmäßig warnt oder Verbindungen ablehnt.

Vertrauen lässt sich erreichen, indem die Root- oder Zwischenzertifizierungsstelle des eigenen Hauses in den Clientspeichern installiert wird oder durch Zertifikat-Pinning. Für öffentliche Dienste empfiehlt sich der Einsatz von von einer CA ausgestellten Zertifikaten (DV/OV/EV), um eine zuverlässige Identitätsverifikation zu gewährleisten.