Hallo,
ich verstehe das Garantie bzw. Sicherheitskonzept bei einem Serverzertifikat nicht so ganz.
Soweit ich es beispielsweise nach dem x.509 Zertifizierungsstandard,und dessen ASN1 Sprachspezifikation verstanden habe werden z.B
der Firmenname und weitere Infos,sowie der publickey in einem Zertifikat abgelegt.
Zusätzlich wird ein Hashwert der als Fingerprint dienen soll,dafür sorgen das publickey und Firmendaten nicht manipuliert wurden,dem Zertifikat hinzugefügt.
Aber es besteht doch durchaus die Möglichkeit einen Server zu faken,auf dem dann ein eigenes Keypair,und ein eigener gebildeter
Hashwert die Zertifikatsdaten ersetzt,bzw. ein eigenes Zertifikat erstellt werden kann.
Also wo ist die Garantie für ein authentisches Zertifikat,welche Funktionalität soll denn auf Clientseite ein Zertifikat prüfen?
Der Client kann doch nur den im Zertifikat enthaltenen publickey zur Datenverschlüsselung verwenden,aber nicht wirklich prüfen ob ein Zertifikat authentisch ist.
Also wo ist mein Denkfehler,in der Funktionsweise oder der Idee von Zertifikaten???
Vielen Dank
Larry