Eine Sub-CA (Subordinate Certification Authority) ist eine untergeordnete Zertifizierungsstelle in einer Public Key Infrastructure (PKI). Im Kontext einer PKI-Hierarchie handelt es sich bei einer Sub-CA um eine Zertifizierungsstelle, die unter einer höheren oder Stamm-Zertifizierungsstelle (Root-CA) platziert ist. Sub-CAs sind Teil eines Systems zur Verwaltung und Ausstellung digitaler Zertifikate und erfüllen wichtige Aufgaben in der Sicherheitsinfrastruktur.
Hier sind einige Schlüsselmerkmale und Aufgaben einer Sub-CA:
- Untergeordnete Rolle: Eine Sub-CA ist hierarchisch unter einer höheren Zertifizierungsstelle (Root-CA oder möglicherweise einer anderen Sub-CA) angeordnet. Dies bedeutet, dass sie Zertifikate ausstellen kann, die von der übergeordneten CA signiert wurden.
- Zertifikatausstellung: Sub-CAs sind berechtigt, digitale Zertifikate auszustellen, die die Identität von Entitäten (Benutzern, Servern, Geräten usw.) bestätigen. Diese Zertifikate enthalten den öffentlichen Schlüssel der Entität und sind von der Sub-CA signiert.
- Vertrauensstellung: Die Sub-CA wird in der Regel von einer höheren Instanz als vertrauenswürdig angesehen, und die Zertifikate, die sie ausstellt, sind daher in der Regel von anderen Teilnehmern der PKI vertrauenswürdig.
- Richtlinien und Praktiken: Sub-CAs haben ihre eigenen Richtlinien und Verfahren für die Zertifikatsausstellung und -verwaltung, die in einem Dokument namens “Certificate Practice Statement” (CPS) festgelegt sind.
- Revokation: Sub-CAs sind berechtigt, Zertifikate zu widerrufen, wenn dies aus Sicherheitsgründen erforderlich ist. Dies wird normalerweise in Zertifikatssperrlisten (CRLs) oder durch Online Certificate Status Protocol (OCSP)-Abfragen kommuniziert.
- Verwaltung der privaten Schlüssel: Sub-CAs verwalten ihre eigenen privaten Schlüssel, um die Sicherheit ihrer Zertifikatsausstellung zu gewährleisten. Diese privaten Schlüssel sollten gut geschützt und sicher gespeichert werden.
- Vertrauenskette: Die Zertifikate, die von einer Sub-CA ausgestellt werden, bilden eine Vertrauenskette bis zur übergeordneten CA. Dies ermöglicht die Verifizierung der Identität von Entitäten durch die Überprüfung der Signaturkette bis zur Wurzel-CA.
Sub-CAs werden oft in großen und komplexen PKI-Systemen eingesetzt, um die Verwaltung von Zertifikaten und die Sicherheit zu skalieren. Sie ermöglichen eine granulare Kontrolle über die Ausstellung von Zertifikaten für verschiedene Anwendungen und Entitäten. Es ist jedoch wichtig, sicherzustellen, dass Sub-CAs angemessen gesichert und verwaltet werden, da sie Teil der Vertrauenskette sind und Sicherheitsrisiken mit sich bringen können, wenn sie kompromittiert werden.
