Was sind die Basisanforderungen für Zertifizierungsstellen?
Die Basisanforderungen sind ein Regelwerk, das Zertifizierungsstellen (CAs) einhalten müssen, damit ihre Zertifikate von Browsern als vertrauenswürdig angesehen werden. Diese Anforderungen umfassen Sicherheitsprotokolle, Validierungsverfahren und Ausstellungspraktiken. Bei Nichteinhaltung riskieren CAs den Verlust des Browservertrauens und die Nutzbarkeit ihrer Zertifikate.
Die Baseline Requirements sind eine Reihe dokumentierter betrieblicher Prozesse, die eine Zertifizierungsstelle befolgen muss, damit ihre öffentlichen Zertifikate von Browsern für den allgemeinen Gebrauch akzeptiert werden.
Was beinhalten die Baseline Requirements?
Die Baseline Requirements sind lang und enthalten Regeln, die je nach Zertifikatstyp variieren. Die Anforderungen decken praktisch jeden möglichen Aspekt von Sicherheitsprotokollen in Bezug auf Zertifikate ab, einschließlich physischer und cloudbasierter Sicherheit, Authentifizierungspraktiken, Zertifikatsmorphologie und mehr. Sie enthalten Regeln für die Domänenvalidierung, die Validierung von Antragstellern und Organisationen sowie die maximal zulässige Laufzeit.
Eine Anforderung der Baseline Requirements besteht darin, dass jede Zertifizierungsstelle eine Certificate Practice Statement (CPS) pflegen und veröffentlichen muss, in der die Ausstellungspraktiken der Zertifizierungsstelle definiert sind. Die Nichteinhaltung der Aussagen in der CPS stellt einen Verstoß gegen die Baseline Requirements dar und kann eine Abhilfe durch die Zertifizierungsstelle erfordern, einschließlich der möglichen Sperrung von Zertifikaten.
Ändern sich die Baseline Requirements?
In einem typischen Jahr verabschiedet das CA/B-Forum mehrere Abstimmungen zur Änderung der Baseline Requirements. Die meisten davon sind geringfügig, aber einige wenige führen jedes Jahr zu erheblichen Änderungen in der Arbeitsweise der Zertifizierungsstellen. So wurden beispielsweise in einer kürzlich genehmigten Abstimmung neue Standards für die Domain Control Validation festgelegt, die sich in den kommenden Jahren auf die Arbeitsweise der Zertifizierungsstellen auswirken werden.
Der Hauptgrund dafür, dass sich die Baseline Requirements so häufig ändern, ist, dass sich Teile früherer Entwürfe als vage oder interpretierbar erwiesen haben. Wenn neue Probleme auftreten und neue Technologien auf den Markt kommen, müssen die Baseline Requirements weiterentwickelt werden, um diese zu berücksichtigen.
Was passiert, wenn eine Zertifizierungsstelle gegen die Baseline Requirements verstößt?
Das CA/Browser Forum ist eine freiwillige Organisation ohne Durchsetzungsbefugnis. Vielmehr hat jeder der großen Browser seine eigenen Richtlinien, die eine Zertifizierungsstelle befolgen muss, damit ihre Roots vom Browser als vertrauenswürdig eingestuft und anschließend in den Root-Speicher aufgenommen werden. Die wichtigsten Root-Speicherprogramme schreiben vor, dass Zertifizierungsstellen die Baseline Requirements einhalten müssen.
Wenn einer der Root-Stores des Browsers beschließt, den Roots einer CA nicht zu vertrauen, sind die öffentlichen Zertifikate dieser CA nicht mehr für Anwendungsfälle geeignet, die öffentliches Vertrauen erfordern. Darüber hinaus sind Zertifizierungsstellen verpflichtet, festgestellte Verstöße zu melden und offenzulegen und der Öffentlichkeit die Möglichkeit zu geben, Fragen zu dem Verstoß zu stellen, wodurch die Zertifizierungsstelle letztlich zur Rechenschaft gezogen wird.
Weitere Informationen zu den Mindestanforderungen des CA/B-Forums finden Sie in der Root Causes-Folge 201 mit dem Titel „What Are the Baseline Requirements?“ (Was sind die Mindestanforderungen?)