Wie funktioniert eine SSL Verifizierung clientseitig ?

[Erwin]

Mahlzeit,

siehe betreff, mir ist da noch was unklar:

Ein https Server hat ein gültiges Zertifikat, serverseitig, soweit klar.

Nun requested ein Client eine Datei auf diesem Server, auf welchem Weg stellt jetzt der Client fest ob das Zertifikat gültig ist?

Ist dazu lokal was abgelegt oder geht der Client irgendwo hin ins Internet?

Viele Grüße, Erwin

[MatzeA]

Servus,

meines wissens wird der Schlüssel so verifiziert:
Mit dem Zertifikat wird der Domain Name und die IP Adresse mitgeliefert.

Der Client prüft nun, ob IP und Domain Name stimmen.
Fertig ist der Kuchen.

Gruss Matze

[Erwin]

Mahlzeit,

meines wissens wird der Schlüssel so verifiziert:
Mit dem Zertifikat wird der Domain Name und die IP Adresse mitgeliefert.

Der Client prüft nun, ob IP und Domain Name stimmen.
Fertig ist der Kuchen.

Es ist ein bischen komplizierter... Recherche in der Mittagspause, hier die Quintessenz:

=cut
Mit SSL Zertifikaten weist sich ein Webserver gegenüber dem Browser aus
Wenn ein Besucher eine Seite aufruft, überprüft der Browser automatisch,
ob das Zertifikat und der Public Key des Servers gültig sind und ob
das Zertifikat von einer Zertifizierungsstelle ausgestellt wurde,
die in der vom Browser unterhaltenen Liste der vertrauenswürdigen CAs enthalten ist.
Der Browser enthält bei der Installation bereits standartmässig die Zertifikate
einiger Zertifizierungsstellen, unter anderem z.B. das Zertifikat von RSA, denen er vertraut.
=cut

Der Browser hat also bereits bei der Installation ein Liste der vertrauenswürdigen CAs bekommen - das ist das was ich wissen wollte.

Der Thread kann nun archiviert werden ;-)

Gruss, Erwin

[Axel Richter]

Hallo,

Der Browser hat also bereits bei der Installation ein Liste der vertrauenswürdigen CAs bekommen - das ist das was ich wissen wollte.

Jepp.

IE6: Extras-Internetoptionen-Inhalte-Zertifikate-Vertrauenswürdige Stammzertifizierungsstellen

Mozilla: Edit-Preferences-Privacy&Security-Certificates-Manage Certificates-Authorities

viele Grüße

Axel

[MatzeA]

Servus,

das mit der Vertrauenstellung hast Du ja nicht gefragt.
Nicht jeder Server der SSL anbietet ist auch entsprechend bei einem RSA etc. Dienst registriert.

Von daher nimmt der Browser erst mal von mir genannte Informationen und lehnt bei einem Fehler darin die Verbinsung ab bzw. es popt ein Fenster auf, dass das Zertifikat ungültig sei.

Ob es dann sicher ist oder nicht, wird dann mit dem 2. Schritt den Du benannt has festgestellt.
Hierbei muss wiederu der bei Deinic eingetragene Name sowie IP und domainname mit dem des Registrieres übereinstimmen.

Gruss Matze

[Sven Rautenberg]

Moin!

das mit der Vertrauenstellung hast Du ja nicht gefragt.

Ist aber zentraler Bestandteil von SSL.

Nicht jeder Server der SSL anbietet ist auch entsprechend bei einem RSA etc. Dienst registriert.

Kein SSL-Server ist bei irgendeinem RSA etc. Dienst "registriert". Allerhöchstens, weil dort eine Kundendatenbank steht.

Die Gültigkeit des SSL-Zertifikats, das der Server vorweist, wird einzig und allein aufgrund der beim Client vorliegenden CA-Schlüssel verifiziert, anhand der digitalen Signatur, den diese CA unter das SSL-Zertifikat gesetzt hat.

Eine Kommunikation mit Dritten findet nicht statt. Muß auch nicht stattfinden.

Von daher nimmt der Browser erst mal von mir genannte Informationen und lehnt bei einem Fehler darin die Verbinsung ab bzw. es popt ein Fenster auf, dass das Zertifikat ungültig sei.

Korrekt. Das dient aber ausschließlich der Verhinderung von Spoofing. Die Verschlüsselung wird davon nicht beeinflusst.

Ob es dann sicher ist oder nicht, wird dann mit dem 2. Schritt den Du benannt has festgestellt.
Hierbei muss wiederu der bei Deinic eingetragene Name sowie IP und domainname mit dem des Registrieres übereinstimmen.

Hä? Die Denic (oder sonst eine Domainregistrierung) hat mit SSL und Zertifikaten nicht besonders viel zu tun. Bestenfalls prüft die CA, dass der Antragsteller für die Signatur tatsächlich die im Antrag genannte Domain besitzt, korrekt ausgewiesen ist, und folglich bestätigt werden kann, dass eine Unterschrift die Authentizität zu Recht bestätigt. Das ist aber vom DNS-System absolut unabhängig. Nicht mal die IP-Adresse ist relevant, die darf sich gerne beliebig ändern, sofern der Name des Servers immer zum SSL-Zertifikat paßt.

- Sven Rautenberg

[MatzeA]

Servus,

Hä? Die Denic (oder sonst eine Domainregistrierung) hat mit SSL und Zertifikaten nicht besonders viel zu tun. Bestenfalls prüft die CA, dass der Antragsteller für die Signatur tatsächlich die im Antrag genannte Domain besitzt, korrekt ausgewiesen ist, und folglich bestätigt werden kann, dass eine Unterschrift die Authentizität zu Recht bestätigt. Das ist aber vom DNS-System absolut unabhängig. Nicht mal die IP-Adresse ist relevant, die darf sich gerne beliebig ändern, sofern der Name des Servers immer zum SSL-Zertifikat paßt.

Mmmh ja so wars eigentlich auch gemeint, Ich dachte, dass dies auch nch technisch abgefragt wird, ob Domaininhaber sofern notwendig mit den Zertifikatsangaben übereinstimmt.

Allerdings das mit der IP Adresse wundert mich. Ich kann mich in grauer Vergangenheit daran erinnern, dass wir ständig bei IP Wechseln Probleme mit den SSL Zertifikaten hatten und ein neues anfordern mussten.

Aber soooo ganz genau weis ich das auch nicht mehr.
Danke für die Berichtigung.

Gruss Matze

[Erwin]

Moin!

Die Gültigkeit des SSL-Zertifikats, das der Server vorweist, wird einzig und allein aufgrund der beim Client vorliegenden CA-Schlüssel verifiziert, anhand der digitalen Signatur, den diese CA unter das SSL-Zertifikat gesetzt hat.

Eine Kommunikation mit Dritten findet nicht statt. Muß auch nicht stattfinden.

Genau das ist die Quintessenz - im Sinne meines Anliegens.

@Axel: Der Witz ist der, dass ich mich bis heute mit dem ganzen Browsergeraffel in dieser Hinsicht noch gar nicht so befasst hatte, danke auch dir, hab Einiges dazugelernt ;-)

Gruss, Erwin