Trusted Certificate Service (TCS)

Als Teilnehmer von ACOnet haben wir die Möglichkeit Zertifikate (Server, Code-Signing und E-Mail) gratis zu beziehen.
Grundsätzlich basiert das Service auf einem Vertrag zwischen dem jeweiligen Anbieter (CA) und GÉANT (früher TERENA), dem Verband europäischer Wissenschaftsnetze (den sog. NRENs), den auch ACOnet (der Betreiber des österreichischen Wissenschaftsnetzes und somit Provider der TU Graz) unterzeichnet.
Bei einem Wechsel des Anbieters bleiben bstehende Zertifikate bis zum Ablauf weiter gültig, wenn Sie aber neue Zertifikate einspielen, müssen Sie auch das entsprechende Zertifikat des neuen Anbieters und das dazugehörende Intermediate-Zertifikat von GÉANT einspielen!

Dabei gilt:

  • Für Zertifikate, die auf diesem Weg ausgestellt werden, fallen für den Endbenutzer keine Kosten an.
    Für die TU Graz, als ACOnet-Teilnehmer, gilt dies für alle Server in der Domain tugraz.at; weiters verwalten wir Zertifikate für Server im VCG.
  • Weitere Domains wären prinzipiell möglich, aber nur, wenn wir die Domain auch verwalten (was wir i. Allg. aber nicht machen).
  • Die Zertifikate dürfen nicht für kommerzielle Zwecke genutzt werden (z. B. für ein Webshop o. ä.)
  • Die Zertifikate dürfen zwar für Finanztransaktionen (z. B. Übermittlung von Kreditkartendaten bei Tagungsanmeldungen) verwendet werden - beachten Sie aber, dass diese Daten danach auch sicher verarbeitet und verschlüsselt gespeichert werden müssen, Sie haften sonst im Falle eines Datenlecks eventuell für Schäden!
    Wir raten daher dringend davon ab ohne professionelle Verarbeitungssoftware Kreditkartendaten abzufragen und zu verarbeiten!
  • Vertragspartner ist immer die TU Graz, Institute müssen die ACOnet-Zusatzvereinbarung also nicht unterzeichnen!

Anmerkung

Die Verschlüsselung (z. B. HTTPS) sagt nichts über die Sicherheit der Daten an sich aus und auch nichts darüber, was z. B. der Empfänger mit den Daten tun wird (unverschlüsselt speichern, veröffentlichen, verkaufen, …), sondern nur etwas darüber, wie die Daten vom Client (z. B. Ihrem Browser) zum Server (z. B. einer Bank-Webseite) übertragen werden.

Und auch bei HTTPS gibt es unterschiedliche Sicherheitsniveaus, die Sie sich anschauen sollten.

Das bedeutet aber, dass es eine ganze Reihe von Angriffspunkten gibt:

  • Das Schlosssymbol sagt nichts aus - das Zertifikat kann wirklich gültig sein - überprüfen Sie die Domain (z. B. tugraz.al statt tugraz.at oder tugrÉ‘z.at statt tugraz.at) und auf wen das Zertifikat ausgestellt ist!
  • Die Daten können auf Ihrem Rechner (z. B. im Browser oder im Betriebssystem) schon vor der Übertragung manipuliert werden, wenn Sie sich Malware eingefangen haben:
    Wenn Ihr Browser oder Ihre Grafikkarte Ihnen ein anderes Konto anzeigt, als dann tatsächlich übermittelt wird, können Sie das kaum überprüfen.
  • Die Übertragung findet vielleicht gar nicht zum richtigen Server statt:
    Der Nameserver, den Sie verwenden, wurde manipuliert und Sie verbinden sich daher gar nicht zum richtigen Server mybank.at, dieser Server hat aber selbst auch ein (scheinbar) gültiges Zertifikat (weil z. B. die CA kompromittiert wurde).
  • Die eingesetzte Verschlüsselung könnte bereits geknackt sein: Überprüfen Sie, ob Ihr Programm nur sichere oder auch unsichere Methoden unterstützt.
  • Die Daten können nach der Übertragung manipuliert werden:
    Der Server der Bank wurde „gehackt“ und Ihre Daten werden manipuliert oder …