Die X.509-Zertifikatsstruktur Verstehen
X.509-Zertifikate verwenden ASN.1 DER-Kodierung, eingehuellt im base64 PEM-Format. Das Zertifikat enthaelt eine TBSCertificate-Struktur (To Be Signed) mit dem Subjekt, dem Aussteller, dem Gueltigkeitszeitraum und dem oeffentlichen Schluessel, gefolgt vom Signaturalgorithmus-Identifier und der digitalen Signatur. Die TBSCertificate-Felder sind in einer strikten Sequenz gemaess RFC 5280 angeordnet.
Subjekt- und Ausstellerfelder
Das Subjekt identifiziert den Zertifikatsinhaber mittels Distinguished Name-Attributen wie Common Name (CN) fuer die Domain, Organization (O) fuer das Unternehmen und Country (C) fuer die Gerichtsbarkeit. Der Aussteller verwendet dasselbe Format zur Identifikation der Zertifizierungsstelle, die das Zertifikat signiert hat.
Gueltigkeit und Ablaufverwaltung
Jedes Zertifikat hat einen Nicht-Vor und Nicht-Nach Zeitstempel, der sein Gueltigkeitsfenster definiert. Zertifikate sind typischerweise ein Jahr fuer oeffentliches TLS gueltig. Die Ueberwachung von Ablaufdaten verhindert Dienstunterbrechungen durch abgelaufene Zertifikate. Automatische Erneuerung mit Tools wie certbot eliminiert die manuelle Nachverfolgung.
Signaturalgorithmen und Schluesselstaerke
Moderne Zertifikate verwenden SHA-256 oder staerkere Hash-Algorithmen mit RSA (2048+ Bit) oder ECDSA (P-256, P-384) Schluesseln. SHA-1-Signaturen sind veraltet und werden von Browsern abgelehnt. RSA 4096-Bit-Schluessel bieten hoehere Sicherheit auf Kosten groesserer Handshakes, waehrend ECDSA P-256 aequivalente Sicherheit mit kleineren Schluesseln bietet.
