Zweistufige CA-Infrastruktur: CA-Root-Zertifikat für Browser importieren - Teil 1: Windows, Chrome, Edge & Internet Explorer

von Thomas, assono GmbH, Standort Kiel, 29.07.2020

Momentan kennen die Browser unsere neuen, selbst erstellen Zertifikate (Root-CA, Intermediate-CA und Server-Zertifikat) noch nicht und vertrauen ihnen also auch nicht. Deshalb muss man das neue CA-Root-Zertifikat an die für den jeweiligen Browser richtigen Stelle importieren. Die anderen Zertifikate werden dann anhand des Wurzelzertifikats geprüft.

Internet Explorer, Edge und Chrome nutzen unter Windows den Zertifikatsspeicher des Betriebssystems. Wenn man das CA-Root-Zertifikat dort als vertrauenswürdige Stammzertifizierungsstelle hinterlegt, erschlägt man gleich mehrere Browser mit einer Klappe.

Vorbereitungen

Windows kennt von Hause aus das PFX- bzw. PKCS #12-Format für Zertifikate, sodass wir unsere PEM-Dateien erst einmal konvertieren dürfen:

cd /local/assono-ca/root/
openssl pkcs12 -in assono-cert.pem -export -nokeys -out assono-cert.pfx
Enter Export Password:
Verifying - Enter Export Password:

Da kein privater Schlüssel drinsteckt, darf das Passwort gerne leer bleiben.

Noch einmal in die erzeugte Datei reinschauen:

openssl pkcs12 -info -in assono-cert.pfx
Enter Import Password:
MAC: sha1, Iteration 2048
MAC length: 20, salt length: 8
PKCS7 Encrypted data: pbeWithSHA1And40BitRC2-CBC, Iteration 2048
Certificate bag
Bag Attributes: <No Attributes>
subject=C = DE, ST = Schleswig-Holstein, L = Schnwentinental, O = assono GmbH, CN = assono, emailAddress = tbahn@assono.de
issuer=C = DE, ST = Schleswig-Holstein, L = Schnwentinental, O = assono GmbH, CN = assono, emailAddress = tbahn@assono.de
-----BEGIN CERTIFICATE-----
[…]
-----END CERTIFICATE-----

Die Datei /local/assono-ca/root/assono-cert.pfx auf den Windows-Rechner kopieren (z. B. mit WinSCP).

Das CA-Root-Zertifikat in Windows 10 importieren

Doppelklick auf die Datei öffnet den Zertifikatimport-Assistenten:

Für den aktuellen Benutzer importieren (oder für alle Benutzer des Computers) und Weiter.

Die Zertifikatsdatei ist schon ausgewählt. Weiter.

Das Kennwort kann leer bleiben und Weiter.

Als Ziel die Vertrauenswürdigen Stammzertifizierungsstellen auswählen und Weiter.

Kontrolle

Den certmgr.msc starten:

Unter Vertrauenswürde Stammzertifizierungsstellen steht jetzt das importierte Zertifikat.

Ein Doppelklick darauf öffnet seine allgemeinen Eigenschaften …

... und den kurzen Zertifizierungspfad. Unten soll stehen, dass das Zertifikat gültig ist.

Internet Explorer

Internet Explorer starten, eine Seite vom Web-Server öffnen und neben der Adresszeile auf das Schloss klicken:

Das Root-Zertifikat sollte das Zertifikat des Webservers identifizieren.

Google Chrome

Chrome-Browser starten, eine Seite vom Web-Server öffnen und neben der Adresszeile auf das Schloss klicken:

Die Verbindung sollte als sicher angezeigt werden.

Microsoft Edge

Edge-Browser starten, eine Seite vom Web-Server öffnen und neben der Adresszeile auf das Schloss klicken:

Auch hier soll die Verbindung als sicher angezeigt werden.

Einer von den großen, wichtigen Browsern unter Windows macht sein eigenes "Ding", was Zertifikate angeht: Mozilla Firefox. Der kommt im nächsten Teil dran.

Thomas Bahn

Diplom-Mathematiker, IT-Spezialist & Speaker auf Fachkonferenzen

Thomas Bahn ist Mitgründer und Geschäftsführer der assono GmbH. Seit mehr als 20 Jahren berät er erfolgreich Unternehmen aus ganz Deutschland rund um das Thema Software und Digitalisierung. Insbesondere in den Bereichen HCL Notes und Domino (ehemals IBM) als auch bei aktuellen, unternehmensrelevanten KI-Themen wie Chatbots kennt er die neusten Entwicklungen und weiß, wie diese sich gewinnbringend für Unternehmen einsetzen lassen. Aufgrund seines Expertenwissens ist Thomas Bahn regelmäßiger Sprecher auf nationalen und internationalen Fachkonferenzen.