Die X.509-Zertifikatsstruktur Verstehen
X.509-Zertifikate verwenden ASN.1 DER-Kodierung, eingehuellt im base64 PEM-Format. Das Zertifikat enthaelt eine TBSCertificate-Struktur (To Be Signed) mit dem Subjekt, dem Aussteller, dem Gueltigkeitszeitraum und dem öffentlichen Schlüssel, gefolgt vom Signaturalgorithmus-Identifier und der digitalen Signatur. Die TBSCertificate-Felder sind in einer strikten Sequenz gemaess RFC 5280 angeordnet.
Subjekt- und Ausstellerfelder
Das Subjekt identifiziert den Zertifikatsinhaber mittels Distinguished Name-Attributen wie Common Name (CN) für die Domain, Organization (O) für das Unternehmen und Country (C) für die Gerichtsbarkeit. Der Aussteller verwendet dasselbe Format zur Identifikation der Zertifizierungsstelle, die das Zertifikat signiert hat.
Gueltigkeit und Ablaufverwaltung
Jedes Zertifikat hat einen Nicht-Vor und Nicht-Nach Zeitstempel, der sein Gueltigkeitsfenster definiert. Zertifikate sind typischerweise ein Jahr für öffentliches TLS gueltig. Die Überwachung von Ablaufdaten verhindert Dienstunterbrechungen durch abgelaufene Zertifikate. Automatische Erneuerung mit Tools wie certbot eliminiert die manuelle Nachverfolgung.
Signaturalgorithmen und Schluesselstärke
Moderne Zertifikate verwenden SHA-256 oder stärkere Hash-Algorithmen mit RSA (2048+ Bit) oder ECDSA (P-256, P-384) Schluesseln. SHA-1-Signaturen sind veraltet und werden von Browsern abgelehnt. RSA 4096-Bit-Schlüssel bieten höhere Sicherheit auf Kosten größerer Handshakes, während ECDSA P-256 äquivalente Sicherheit mit kleineren Schluesseln bietet.
