TLS-Zertifikatsketten: Leaf-, Zwischen- und Root-Zertifikat

Ein TLS-Server legt in der Regel ein Leaf-Zertifikat und die Zwischenzertifikate vor, die nötig sind, um einen Pfad zu einem Vertrauensanker zu bilden, den der Client bereits besitzt. Das Root-Zertifikat wird meist nicht mitgeschickt, da es sich nicht selbst beweisen kann; das Vertrauen ergibt sich aus dem Zertifikatsspeicher des Clients.

Wie Vertrauen in ein Zertifikat entsteht

Das Vertrauen in ein Serverzertifikat ergibt sich aus einer Kette: vom Zertifikat der Website über zwischengeschaltete Zertifizierungsstellen bis zu einem Root-Zertifikat, dem der Client vertraut. Ein Server sendet normalerweise sein eigenes Zertifikat und die benötigten Zwischenzertifikate, das Root-Zertifikat muss er nicht mitschicken.

So prüfen Sie eine Zertifikatskette

Untersuchen Sie das Zertifikat für den tatsächlich verwendeten Hostnamen: Gültigkeitszeitraum, SAN-Namen und Zwischenzertifikate. Vertraut ein Client der Website, ein anderer aber nicht, vergleichen Sie deren Zertifikatsspeicher und die vom Server gesendete Kette; verlassen Sie sich nicht auf ein zuvor zwischengespeichertes Zwischenzertifikat. Für eine unabhängige Prüfung der Erreichbarkeit nutzen Sie die Serverdienst-Prüfung von 2IP; die Zertifikatskette untersuchen Sie gesondert.

Warum Clients beim Vertrauen zu unterschiedlichen Ergebnissen kommen

Technische Referenz: RFC 5280.