Eine Kompromittierung eines CA-Zertifikats hat den Widerruf desselben zur Folge hat. Dieser Widerruf zieht zwingend den Widerruf aller mit diesem Zertifikat ausgestellten weiteren CA- und Endzertifikate zur Folge - was ziemliche Auswirkungen haben wird, da auch deren Signaturen nunmehr ungültig sind. Um die Auswirkungen dieses Falles zu mindern gibt es einige Vorschläge, welche eine PKI natürlich noch komplexer machen.
"Failsafe" und Zeitstempel
Grundsätzlich handelt es sich bei diesen Vorschlägen um eine zweite Signatur einer CA - nach dem Motto - doppelt hält besser. Dies bringt aber auch einiges an Schwierigkeiten, so bedarf es bei doppelten Signaturen eigener Zertifikatsformate etc., die Verifikation eines Pfades wird komplexer, ... Beim Failsafe-Ansatz sind 2 unabhängige CAs beteiligt, fällt eine durch Widerruf aus, kann anhand der zweiten das Zertifikat weiter geprüft werden.
Ein weiterer Ansatz schlägt die Verwendung von "Trusted Timestamp" einer Timestamp-Authority in Zertifikaten und Signaturen vor, womit bei einem CA-Zertifikatskompromiss anhand dieser Zeitstempel geprüft werden kann ob diese tatsächlich vor dem Kompromiss erstellt wurden.
Zertifizierungsrichtlinien
Impressum
