Gründe, warum du Zertifikate für deine Server brauchst

1. Authentifizierung:
• Zertifikate bestätigen die Identität eines Servers. Wenn ein Client, etwa ein Webbrowser, eine Verbindung zu einem Server aufbaut, legt der Server sein Zertifikat vor.
• Der Client prüft, ob das Zertifikat vertrauenswürdig ist, also von einer anerkannten Zertifizierungsstelle ausgestellt wurde, und ob es zur Domain des Servers passt.
• So wird sichergestellt, dass Clients sich mit dem richtigen Server verbinden, was Man-in-the-Middle-Angriffe verhindert.
2. Verschlüsselung:
• Zertifikate ermöglichen sichere Kommunikation, indem sie Verschlüsselung bereitstellen.
• Das Zertifikat des Servers enthält dessen Public Key. Clients verschlüsseln damit die Daten, bevor sie sie an den Server senden.
• Nur der Private Key des Servers kann die Daten entschlüsseln, was die Vertraulichkeit sichert.

Wie werden Zertifikate in Webservern eingesetzt?

• Beim Aufruf einer Website läuft nahezu augenblicklich ein unsichtbarer Vorgang ab, der TLS/SSL-Handshake.
• Webserver und Browser stimmen sich ab, um eine sichere Verbindung aufzubauen.
• Websites mit TLS/SSL-Zertifikat zeigen HTTPS und ein kleines Schlosssymbol in der Adressleiste des Browsers.

• Jedes TLS-Zertifikat besteht aus einem Schlüsselpaar: einem Public Key und einem Private Key.
• Diese Schlüssel arbeiten bei Transaktionen auf Websites im Hintergrund zusammen.

• Wenn du deinen Browser auf eine gesicherte Website lenkst:
• Der Server der Website übermittelt sein TLS/SSL-Zertifikat und seinen Public Key an deinen Browser.
• Dein Browser prüft Folgendes:
• Er erkennt die Zertifizierungsstelle (CA), die das SSL-Zertifikat ausgestellt hat, und vertraut ihr (z. B. SCEPman).
• Er stellt sicher, dass das Zertifikat weder abgelaufen noch gesperrt ist.
• Dein Browser sendet einen symmetrischen Sitzungsschlüssel an den Server zurück.
• Diese Schlüssel arbeiten im Hintergrund bei Transaktionen auf der Website zusammen.
• Der Server entschlüsselt den Sitzungsschlüssel mit seinem Private Key.
• Eine verschlüsselte Sitzung beginnt und schützt Vertraulichkeit und Integrität der Nachrichten sowie die Sicherheit des Servers.

Wie werden Zertifikate in VPN-Controllern eingesetzt?

• VPN-Controller nutzen Zertifikate, um sich selbst und andere Netzwerkkomponenten zu authentifizieren.
• Verbindet sich ein VPN-Client mit einem Server, legt der Server sein Zertifikat vor. Der Client prüft es gegen vertrauenswürdige Zertifizierungsstellen (CAs).
• Mit Zertifikaten schaffen VPN-Controller Vertrauen, sodass Clients sich nur mit legitimen Servern verbinden und Man-in-the-Middle-Angriffe verhindert werden.

• Zertifikate ermöglichen Verschlüsselung innerhalb von VPN-Tunneln.
• Das Zertifikat des Servers enthält seinen Public Key, mit dem Clients Daten vor dem Senden verschlüsseln.
• Nur der Private Key des Servers kann die Daten entschlüsseln, was die Vertraulichkeit während der Übertragung sichert.

• VPN-Controller setzen für die Kommunikation über IPsec und TLS auf Zertifikate.
• Zertifikate ermöglichen sichere Kommunikation zwischen VPN-Gateways, Domänencontrollern und Mitgliedsservern.
• So bleiben die im VPN ausgetauschten Daten geschützt.

• Zertifikate müssen seltener gewechselt werden als Pre-Shared Keys.
• VPN-Controller können dasselbe Zertifikat für mehrere Verbindungen nutzen, was die Verwaltung vereinfacht.

• Unternehmens-VPNs verlangen häufig Zertifikate, um Sicherheitsrichtlinien einzuhalten.
• Zertifikate erlauben Monitoring und Auditing des VPN-Traffics und damit den Nachweis, dass interne Vorgaben eingehalten werden.

• Manche VPNs nutzen Client-Zertifikate für eine beidseitige Authentifizierung.
• So werden auch Clients authentifiziert, bevor sie auf bestimmte Ressourcen zugreifen.

Welche Geräte nutzen Zertifikate zur Serverauthentifizierung?

• Webserver (z. B. AAA/RADIUS-Server)
• Netzwerkkomponenten (z. B. VPN-Controller)
• Domänencontroller

Wie kann ich Zertifikate mit SCEPman ausstellen?

• Über die Web-Konsole: Du kannst Zertifikate ausstellen, indem du einen Certificate Signing Request (CSR) einreichst oder die Daten direkt in der SCEPman Web-Konsole manuell eingibst. Dieser Weg ist flexibel und einfach zu bedienen und deckt unterschiedliche Vorlieben und Anforderungen ab.
• Über die REST API: Für automatisierte Prozesse oder die Integration in andere Systeme stellt SCEPman Zertifikate auch über seine REST API aus. So lässt sich die Ausstellung programmatisch steuern, was deinen Workflow im Zertifikatsmanagement verschlankt.

Wie kann ich Zertifikate mit SCEPman erneuern?

• Über EST (mit mTLS-"simplereenroll"): Nutze das EST-Protokoll (Enrollment over Secure Transport) zusammen mit der Funktion "simplereenroll", die für die Authentifizierung auf mutual TLS (mTLS) setzt. Dieses Verfahren erneuert Zertifikate sicher und automatisiert und vereinfacht den Ablauf bei weiterhin hohen Sicherheitsstandards, da keine Shared Secrets oder Challenges auf deinen Servern hinterlegt werden müssen.
• Über einen SCEP-Client und eine geplante Aufgabe: Automatisiere die Erneuerung, indem du einen SCEP-Client mit einer geplanten Aufgabe kombinierst. Dieses Setup erneuert Zertifikate automatisch nach dem von dir festgelegten Zeitplan, ohne dass du manuell eingreifen musst.
• Manuelle Erneuerung: Du kannst Zertifikate über SCEPman auch manuell erneuern. So behältst du die direkte Kontrolle über den Ablauf und kannst Zertifikate genau dann verwalten, wenn es nötig ist.