Zertifikate

Navigation: Konfiguration > Allgemeine Einstellungen > Zertifikate

Die Seite Zertifikate verwaltet alle X.509-Zertifikate und Schlüssel, die die IRF1000 für verschlüsselte Kommunikation verwendet. Hier hochgeladene Zertifikate stehen VPN-Diensten wie OpenVPN und IPsec, dem integrierten Webserver für den HTTPS-Zugriff sowie der Geräteidentität zur Verfügung. Die Seite zeigt drei separate Tabellen: vertrauenswürdige Stammzertifizierungsstellen (CA-Zertifikate), Gerätezertifikate (Client- und Serverzertifikate) sowie statische OpenVPN-Schlüssel. Zertifikatsperrlisten (CRLs) können ebenfalls hochgeladen werden, um eine Sperrprüfung gegen die installierten CA-Zertifikate zu ermöglichen. Für die automatisierte Zertifikatsregistrierung siehe die Seite SCEP.

Zertifikate

Einstellungen

Vertrauenswürdige Stammzertifizierungsstellen

Diese Tabelle listet alle auf dem Gerät installierten CA-Zertifikate auf. Jeder Eintrag zeigt den Zertifikatsnamen mit dem Dateinamen in Klammern, den CRL-Status sowie den Gültigkeitsstatus.

Zertifikat: Der Distinguished Name und Dateiname des installierten CA-Zertifikats. Durch Aufklappen eines Eintrags werden weitere Zertifikatsdetails angezeigt. Eine CRL-Datei (Certificate Revocation List) kann über das Formular am unteren Seitenrand hochgeladen werden, um die Sperrprüfung für Zertifikate dieser Zertifizierungsstelle zu aktivieren.
CRL-Status: Zeigt an, ob eine passende Zertifikatsperrliste für dieses CA-Zertifikat geladen wurde. Der Status „CRL not found" bedeutet, dass noch keine CRL hochgeladen wurde. Nach dem Hochladen einer CRL wird der aktuelle CRL-Status angezeigt.
Gültigkeit: Zeigt an, ob das CA-Zertifikat derzeit gültig ist. Das Kontrollkästchen gibt den Validierungsstatus des Zertifikats wieder.

Gerätezertifikate

Diese Tabelle listet alle auf dem Gerät installierten Client- und Serverzertifikate auf. Diese Zertifikate dienen zur Geräteauthentifizierung bei VPN-Tunneln, HTTPS-Verbindungen und anderen TLS-gesicherten Diensten.

Zertifikat: Der Distinguished Name und Dateiname des installierten Gerätezertifikats. Durch Aufklappen eines Eintrags werden die vollständigen Zertifikatsdetails einschließlich Aussteller, Gültigkeitszeitraum und etwaiger Validierungsfehler angezeigt. Ist das ausstellende CA-Zertifikat nicht in der Tabelle der vertrauenswürdigen Stammzertifizierungsstellen installiert, wird das Zertifikat als „invalid" mit einer entsprechenden Fehlermeldung angezeigt.
Gültigkeit: Zeigt an, ob das Gerätezertifikat derzeit gültig ist. Ein Zertifikat kann als ungültig markiert werden, wenn das ausstellende CA-Zertifikat fehlt, das Zertifikat abgelaufen ist oder es durch eine CRL gesperrt wurde.

Statische OpenVPN-Schlüssel

Diese Tabelle listet statische Schlüsseldateien auf, die für den Einsatz mit OpenVPN im Static-Key-Modus hochgeladen wurden. Jeder Eintrag zeigt den Dateinamen des Schlüssels. Die Tabelle ist leer, wenn keine statischen OpenVPN-Schlüssel hochgeladen wurden.

Lokale Zertifikatsdatei für Authentifizierung oder CRL hochladen

Dateiname (.p12 / .pfx / .pem / .crt / *.key): Wählt die Zertifikatsdatei zum Hochladen auf das Gerät aus. Es können Zertifikate im PKCS#12-Format (.p12 / .pfx) oder PEM-Format (.pem / .crt) hochgeladen werden. Falls es sich um eine PKCS#12-Datei handelt, werden die enthaltenen Zertifikate automatisch extrahiert. Alternativ kann eine CRL-Datei (Certificate Revocation List) hochgeladen werden — das zugehörige CA-Zertifikat muss bereits auf dem Gerät vorhanden sein. Zusätzlich können OpenVPN-Schlüsseldateien hochgeladen werden (.key).
Zertifikatspasswort zur Validierung: Das Passwort zum Schutz der Zertifikatsdatei. Erforderlich für passwortgeschützte PKCS#12-Dateien. Bei ungeschützten Dateien oder Dateien im PEM-Format leer lassen.

ACHTUNG

Wenn bereits ein Zertifikat mit demselben Dateinamen auf dem Gerät vorhanden ist, muss dieses vor dem erneuten Hochladen gelöscht werden. Das Hochladen eines Zertifikats überschreibt keine bestehende Datei gleichen Namens automatisch. Zum Löschen eines Zertifikats klicken Sie auf das Löschsymbol neben dem entsprechenden Eintrag in der Zertifikatstabelle.

Sicherheit

Laden Sie ausschließlich Zertifikate aus vertrauenswürdigen Quellen hoch. Beschränken Sie die vertrauenswürdigen Stammzertifizierungsstellen auf das für Ihre Installation erforderliche Minimum, um die Vertrauenskette zu begrenzen. Prüfen Sie regelmäßig den CRL-Status und laden Sie aktuelle CRLs für alle installierten CA-Zertifikate hoch, damit gesperrte Zertifikate zeitnah erkannt werden. Verwenden Sie beim Transfer von PKCS#12-Dateien starke Passwörter. Entfernen Sie nicht mehr benötigte oder abgelaufene Zertifikate, um die Angriffsfläche zu reduzieren.