Vertrauensanker

Ein Vertrauensanker (englisch Trust Anchor) ist in der Kryptographie ein Datensatz, mit dessen Kenntnis innerhalb einer Public-Key-Infrastruktur die Authentizität von kryptographischen Daten nachgewiesen werden kann, beispielsweise einem digitalen Zertifikat oder einem öffentlichen Schlüssel.

Überblick

Public-Key-Infrastrukturen sind hierarchisch aufgebaut. Ein digitales Zertifikat, welches beispielsweise einer Person oder einem Server zugewiesen ist, wird von einer mehrstufigen Hierarchie von Zertifizierungsstellen ausgestellt. Die jeweils höhere Stelle vertraut der darunterliegenden Stelle und bescheinigt dies durch ein digitales Zertifikat, das kryptographisch überprüfbar ist. Das oberste Stammzertifikat dient hierbei als Vertrauensanker für die gesamte Public-Key-Infrastruktur. Mit seiner Kenntnis kann die Authentizität aller darunterliegenden Zertifikate überprüft werden.

Beispiele

Bei X.509, was unter anderem von HTTPS verwendet wird, dienen die Stammzertifikate der Zertifizierungsstellen als Vertrauensanker. Diese werden von dem Hersteller des Webbrowsers oder des Betriebssystems zusammengestellt und ausgeliefert. Mozilla, Microsoft und Google Chrome betreiben jeweils eine eigene Sammlung von Stammzertifikaten (englisch root certificate store). Moderne Browser werden mit über 100 Vertrauensankern ausgeliefert.

Bei DNSSEC dient der von der Internet Assigned Numbers Authority herausgegebene Root Key Signing Key als Vertrauensanker.

DANE verknüpft Zertifikate aus X.509 mit DNSSEC. Hierbei kann das X.509-Zertifikat einer Zertifizierungsstelle als Vertrauensanker im Domain Name System veröffentlicht und mit DNSSEC kryptographisch abgesichert werden.