derhil.de Blog

Netzwelt, Linux, Open Source

CAcert und SSL

2010-06-09 von derhil, abgelegt unter cacert, datenschutz

SSL

Mein Blog ist seit kurzem auch per SSL unter https://derhil.de zu erreichen.

Warum überhaupt SSL? Seit Februar 2008 gibt es das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme" und wesentlich länger schon das Recht auf informationelle Selbstbestimmung.

"Wenn man SSL verwendet, kann niemand einfach so den Datenverkehr mitschneiden und manipulieren. Es kann nur derjenige, der in seinem Client mit dem Server in Verbindung tritt die Daten verwenden. Im Falle einer Website eben: die Website betrachten.

Die Verwendung von SSL bei Websites ist also ein Grundrecht. Aber nicht nur dies. Ich sehe es auch als Datenschutz an.

Dadurch kann sich jeder Leser sicher sein, dass die Informationen auf dem Weg von meinem Server zu seinem Client nicht manipuliert oder inhaltliche Informationen analysiert wurden."¹

CAcert

"Wenn eine Website über eine ungesicherte Verbindung abgerufen wird, kann jeder, der zufällig gerade in der Nähe ist, völlig problemlos jegliche Kommunikation mit dieser Seite einsehen und nach belieben manipulieren. Da kommerzielle SSL-Zertifikate mehrere hundert Euro kosten können, und man diese Kosten etwa Jährlich hat, entschied ich mich dafür einen unkommerziellen SSL-Service zu nutzen.

Meine Wahl fiel auf CAcert. CAcert ist eine gemeinschaftsbetriebene, nicht-kommerzielle Zertifizierungsstelle (Certification Authority, Root-CA oder kurz CA), die kostenfrei X.509-Zertifikate für verschiedene Einsatzgebiete ausstellt. Damit soll eine Alternative zu den kommerziellen Root-CAs geboten werden, die zum Teil recht hohe Gebühren für ihre Zertifikate erheben.

Aufgrund der Tatsache, dass die verwendete Zertifizierungsstelle CAcert unkommerziell ist, und dessen Root-Zertifikat deshalb derzeit nicht in den gängigen Browsern vorinstalliert wird, erscheint eine Fehlermeldung. Wer die Meldung richtig liest, und auch versteht, wird übrigens feststellen, dass es sich nicht um einen Zertifikatsfehler handelt, sondern um ein im Client fehlendes Rootzertifikat, weswegen das Zertifikat der Website nicht überprüft werden kann."¹

CAcert

Zu finden sind die CAcert root Zertifikate hier. Am besten man installiert den Class 1 PKI Key und den Class 3 PKI Key in seinem Browser (und gleich noch in seinem E-Mail Klient) und schon kann man bequem auf SSL gesicherten Seiten surfen die Zertifikate von CAcert verwenden.

RootZertifikatInstallieren.pdf

¹Quelle: 0x7be.de