Internetzugang zur Prüfung der Zertifikate

Ausgangslage

Für den Einsatz mit neueren Versionen der Windows-Betriebssysteme hat Microsoft für einige Teilbereiche des Systems die Nutzung von sogenannten digitalen Zertifikaten vorgesehen - teilweise (Treiber) sogar vorgeschrieben. Ein digitales Zertifikat ist ein digitaler Datensatz, der bestimmte Eigenschaften von Programmen oder Bibliotheken bestätigt und dessen Authentizität und Integrität durch kryptografische Verfahren geprüft werden kann. Damit kann zum einen die Urheberschaft von Programmen und Bibliotheken belegt, und gleichzeitig sichergestellt werden, dass die Programme und Bibliotheken seit ihrer Veröffentlichung nicht manipuliert worden sind.

Das digitale Zertifikat enthält zu seiner Prüfung einen Verweis auf die vertrauenswürdige Institution, die das Zertifikat ausgestellt hat (Certificate Authority, CA). Um die Gültigkeit eines Zertifikats zu prüfen, muss von diesem Aussteller meist via Internet eine Bestätigung eingeholt werden.

Zertifikate

In print2forms sind nicht nur die systemkritischen Teile (Treiber, Netzwerkdienste) durch Zertifikate geschützt, sondern jede ausführbare Systemkomponente. Da es Microsoft bis zum heutigen Tag unterlässt, die Zertifikate vor der Ausführung eines Programms oder einer Bibliothek zu prüfen, ist es prinzipiell möglich, print2forms durch Austausch oder Manipulation von Systemkomponenten zu kompromitieren.

Aus diesem Grund überprüfen sich alle Programme und Bibliotheken, aus denen print2forms besteht, beim Starten selbst - zum Teil sogar während der gesamten Laufzeit (bei den Netzwerkdiensten). Dadurch wird eine deutlich höhere Sicherheitsstufe erreicht, als dies bei unzertifizierten oder zertifizierten, aber nicht überprüften Programmen der Fall ist.

Je nach Konfiguration des Windows-Systems erfolgt die Überprüfung von Zertifikaten in der Regel online via Internet oder alternativ lokal gegen einen Zertifikatsspeicher, in den vertrauenswürdige Zertifikate aufgenommen werden können.

Sperrlisten

Ein wesentliches Sicherheitsmerkmal von Zertifikaten ist, dass sie widerrufen werden können, wenn die Zertifikate selbst oder die ausstellende Stelle kompromitiert worden ist. Aus diesem Grund stellen alle Zertifizierungsstellen sogenannte Sperrlisten zur Verfügung, die ungültig gewordene Zertifikate auflisten.

Selbst wenn die print2forms betreffenden Zertifikate alle im lokalen Speicher für vertrauenswürdige Zertifikate liegen, wird daher bei einer Prüfung immer noch ein Zugriff via Internet auf diese Sperrlisten notwendig.

Soll eine print2forms-Installation auf einem Rechner betrieben werden, der überhaupt keinen Zugriff ins Internet haben darf, muss also auch die Überprüfung der Sperrlisten im Windows-System abgeschaltet werden (Artikel zum Thema).

Hinweise