CA Installation mit dem IE
Unter Microsoft gibt es eine System-weite Zertifikats-Verwaltung auf die auch der Internet Explorer zurück greift. Gleichzeitig kann man auch mit dem IE direkt weitere Zertifikate aud dem Web installieren.
Bei der HitPKI kann das Stammzertifikat der PKI auf der CA-Seite herunter geladen werden.
Wenn nun dort auf den Link (in diesem Fall die untere .cer Datei) geklickt wird, so erscheint zunächst am unteren Rand des Browsers folgendes Fenster mit der Option die Datei zu öffnen oder zu speichern:
Durch die Betätigung des Knopfs „Öffnen“ startet man den Installations-Prozess und es werden allgemeine Daten des Zertifikats angezeigt:
Nun wird mit der Schaltfläche „Zertifikat installieren…“ der Assistent zur Installation gestartet:
In der folgenden Ansicht wird der Zertifikatsspeicher für das zu installierende Zertifikat bestimmt. Hier empfiehlt es sich nicht auf den Automatismus des Assistenten zu vertrauen, sondern manuell den richtigen Speicher auszuwählen.
Indem man die Option „Alle Zertifikate in folgenden Speicher speichern“ auswählt gelangt man durch anklicken des „Durchsuchen…“-Knopfs in den Dialog zur Auswahl des Zertifikatsspeichers:
Hier wählt man den Speicherort für „Vertrauenswürdige Stammzertifizierungsstellen“ und gelangt mit dem „OK“-Button wieder zu vorherigen Ansicht:
Mit betätigen der Schaltfläche „Weiter >“ werden zum Fertigstellen des Assistenten nochmals die ausgewählten Optionen angezeigt.
Nach dem Anklicken des Knopfs „Fertig stellen“ wird dann eine Sicherheitswarnung ausgegeben, bei der auch der Fingerprint des Zertifikats angezeigt wird. Hier müssen die Fingerprints miteinander verglichen werden!
Die Fingerprints müssen auf jeden Fall übereinstimmen!
Falls diese nicht übereinstimmen, so scheint ein Angreifer zwischen Ihnen und dem Server zu sitzen und versucht Ihnen ein gefälschtes Zertifikat unter zu schieben.
(sogenannte Man-in-the-middle Attacke)
Wenn die Fingerprints überein stimmen und somit das richtige Zertifikat bei Ihnen angekommen ist, wird der Installations-Prozess mit der Schaltfläche „Ja“ beendet und mit einer letzten Meldung quittiert:
Bei einem Besuch auf einer Website, die mit einem Zertifikat dieser PKI eingerichtet worden ist, sollte nun keine Meldung bezüglich des Zertifikats angezeigt werden.
Falls Sie dennoch auf eine Website gehen, der auf Grund dieses Zertifikats vertraut werden sollte und dort eine Meldung angezeigt wird (z.B. wegen falschem Zertifikat), so kann auch hier wieder von einem Angriff wie oben bereits erwähnt ausgegangen werden.