Wenn ein Anwender auf einen Server im Internet zugreift, muss gewährleistet sein, dass es sich hierbei auch um den Server handelt, der er vorgibt zu sein. Etwas praktischer ausgedrückt und in Verbindung mit Exchange-Servern, möchte der Anwender sicher sein, dass es sich z.B. beim Zugriff auf Outlook Web App, auch um den CAS-Server handelt, für den der Server sich ausgibt.
Baut der Anwender eine Verbindung zu https://mail.domain.tld auf, um z.B. auf OWA zuzugreifen und es erscheint eine entsprechende Zertifikatswarnung, dann stimmt etwas mit dem Zertifikat nicht. Eine Zertifikatswarnung kann es aus folgenden Gründen geben:
- Das Zertifikat ist abgelaufen bzw. zeitlich nicht gültig
- Das Zertifikat ist auf den falschen Namen ausgestellt (FQDN). Genauer: Greift der Anwender auf https://mail.mydomain.tld zu, das Zertifikat ist aber auf https://mail.notmydomain.tld ausgestellt, erscheint eine Zertifikatswarnung
- Das Zertifikat ist von einer Zertifizierungsstelle ausgestellt worden, welcher der Anwender nicht vertraut. Genauer: Die Stammzertifizierungsstelle befindet sich nicht im Zertifikatsspeicher der vertrauenswürdigen Stammzertifizierungsstellen des Anwenders. Öffnen Sie den Zertifikatsmanager, indem Sie zu Start/Ausführen navigieren und certmgr.msc eingeben.
Deshalb gilt es für Administratoren, das Zertifikat von einer Zertifizierungsstelle (intern/externe Zertifizierungsstelle) auf den richtigen Namen ausstellen zu lassen und zu implementieren. Außerdem muss sichergestellt werden, dass es beim Zugriff auf die entsprechende Website keine Zertifikatswarnungen gibt.
Die Verbindung und Funktionsweise von HTTPS von einem Client zum Webserver trivial dargestellt:
- Client baut Verbindung zum Webserver über Port:443 / HTTPS auf
- Serverantwort mit öffentlicher Zertifikatsschlüssel-Kopie
- Client prüft, ob Zertifikatsschlüssel von vertrauenswürdigem Herausgeber stammt. Sprich, ob die Stammzertifizierungsstelle im Zertifikatsspeicher für vertrauenswürdige Stammzertifizierungsstellen hinterlegt ist.
