Validierung

Erhalten Sie Ihr ausgestelltes SSL-Zertifikat

Eine Vertrauenshierarchie erfordert ein gegenseitiges “bürgen“ füreinander. Die Unternehmen, die SSL-Zertifikate ausstellen sind im Stande, klar zu sagen ob bestimmte Instanzen im Internet auch die sind, für die sie sich gerade ausgeben.

Die potenzielle Ursache für kriminelle Aktivitäten im Internet (mit der Betrachtung auf SSL), liegt im “Hijacking“ von Webseiten oder Verbindungen bis hin zum Absaugen von verschlüsselten Daten. Mit entsprechenden Fähigkeiten ausgestattete Personen können leicht Webseiten kopieren und dem Nutzer vorgaukeln, sie wären ein bekannter Anbieter. Das tun sie in der Regel dafür, um Daten sammeln zu können. Die Verwendung eines SSL-Zertifikats unterbindet diese Aktion, da wir ein solches Zertifikat nur an berechtigte Personen ausstellen.

Es existieren neue und kostengünstige Alternativen, bei denen SSL-Zertifikate jetzt auch schnell ausgestellt werden können. Dieses SSL-Zertifikat verifiziert, das die Person auch Eigentümer der Domain ist und gewährleistet damit dem Nutzer das der Eigentümer des SSL Zertifikats auch wirklich der ist, der er vorgibt zu sein.

Die Art des gekauften SSL-Zertifikats setzt den Validierungsprozess fest, den Ihr SSL-Zertifikat vor der Erteilung durchlaufen muss.

Trustico® bietet Ihnen 3 verschiedene Arten von SSL-Zertifikaten an: Domain Validated (DV), Organization Validated (OV) und Extended Validation (EV). Jeder dieser Zertifikatstypen hat vor Ausstellung des Zertifikats, eigene Validierungsverfahren die unbedingt eingehalten werden müssen.

Anforderung an das Domain Validated (DV) Zertifikat

Domain Validated SSL Zertifikatsprodukte werden mit einer von drei möglichen Validierungsmethoden authentifiziert.

  • Genehmigte E-Mail Domain Kontrollvalidierung (DCV)
  • HTTP / Dateibasierte Domain Kontrollvalidierung (DCV)
  • SND CNAME basierte Domain Kontrollvalidierung (DCV)

Für den Fall, dass eine Bestellung zur Überprüfung in die Warteschlange gestellt wird, muss der administrative Kontakt ein Vollzeitmitarbeiter des Unternehmens sein, um eine erfolgreiche Ausstellung zu ermöglichen. Ein Verifizierungstelefonat mit dem administrativen Kontakt kann zur abschließenden Klärung notwendig sein.

Aufträge für Großunternehmen, Marken oder auch Finanzinstitute, können für weitere Sicherheitsüberprüfungen vor der Ausgabe in die Warteschlange gestellt werden.

Weitere Informationen zu den Validierungsmethoden für Domain Validated SSL Certificates finden Sie hier.

Genehmigtes E-Mail Verifizierungssystem

Sollten Sie sich für den Kauf, eines Domain Validierten SSL-Zertifikats entscheiden, so wird während des Auftragsprozesses ein Prüfer ausgewählt. Wir senden eine E-Mail (zur Genehmigung) an den zuständigen Prüfer. Folgende allgemeine Mailadressen können dafür, derzeit verwendet werden :

  • admin@yourdomain.com
  • administrator@yourdomain.com
  • hostmaster@yourdomain.com
  • webmaster@yourdomain.com
  • postmaster@yourdomain.com

Die genannten Mail Adressen sind sogenannte generische Adressen. Der Antragsteller muss eine dieser generischen Adressen wählen, um nachzuweisen, dass er den Domainnamen auch verwaltet, der das SSL-Zertifikat kauft. Wenn wir in der Lage sind, die Kontakt E-Mail Adresse aus der WHOIS-Datenbank abzurufen, so kann diese auch verwendet werden.

Sollte währen des Bestellprozesses die Kontakt E-Mail Adresse nicht aus der WHOIS-Datenbank abgerufen werden können, dann kontaktieren Sie uns und wählen zuvor eine der Mailadressen aus. Es kann für uns möglich sein, den Prozess manuell mit der Kontakt E-Mail Adresse aus der WHOIS-Datenbank zu aktualisieren.

Anforderung an das Organization Validated (OV) Zertifikat

Organization Validated SSL-Zertifikatsprodukte sind sehr viel mehr vertrauenswürdig, da diese eine strengere Authentifizierung erfordert, denn hier wird der Firmenname mit in das SSL Zertifikat aufgenommen.

Während des Bestellprozesses muss sichergestellt sein, dass es sich bei der von Ihnen angegebene Organisation um eine aktive Instanz handelt und von einer zuständigen Regierungsbehörde, juristisch bestätigt werden kann.

Die genaue Übereinstimmung zwischen dem im Bestellprozess angegebenen Firmennamen sowie der Behörde sind dabei erforderlich.

Weitere Informationen zu der Organization Validated SSL-Zertifikaten, finden sie hier.

Anforderung an das Extended Validation (EV) Zertifikat

Die SSL-Zertifikate die mit dem Extended Validation Verfahren geprüft wurden erreichen das maximale Maß an Vertrauen des Verbrauchers durch die strengsten Authentifizierungsstandards aller SSL-Zertifikate. Die Richtlinien verlangen, dass mehrere Identifizierungsinformationen überprüft werden müssen.

Ein Extended Validation SSL-Zertifikat bietet mehr als nur Verschlüsselung, denn es ermöglicht es dem Unternehmen hinter der Website auch, seine eigene validierte Identität der rechtlichen, physischen und operativen Existenz zu präsentieren und sich so gegenüber den Besuchern der Website zu authentifizieren.

Eine Vertrauenshierarchie erfordert, dass die Instanzen füreinander “bürgen“. Unternehmen die SSL-Zertifikate ausstellen, müssen dann überprüfen, ob Unternehmen im Internet tatsächlich die sind, für die sie sich ausgeben. Die potenzielle Ursache für kriminelle Aktivitäten im Internet (mit der Betrachtung auf SSL), liegt im “Hijacking“ von Webseiten oder Verbindungen bis hin zum Absaugen von verschlüsselten Daten. Mit entsprechenden Fähigkeiten ausgestattete Personen können leicht Webseiten kopieren und dem Nutzer vorgaukeln, sie wären ein bekannter Anbieter. Das tun sie in der Regel dafür, um Daten sammeln zu können. Die Verwendung eines EV SSL-Zertifikats verhindert dies, da ein EV SSL-Zertifikat nur an eine berechtigte Person ausgestellt wird.

Um sicherzustellen, dass Ihre SSL-Zertifikationsanfrage schnell bearbeitet werden kann, sollten bereits die Authentifizierungsdokumente vorliegen. Weitere Infomrationen

Manuelle Validierung für OV & EV

Organization Validated (OV) und Extended Validation (EV) Produkte erfordern eine manuelle Überprüfung. Bei einer manuellen Überprüfung eines Produkts müssen bestimmte Anforderungen erfüllt sein und werden in der Regel dann auf den Produktinformationsseiten angegeben.

Beispiele für Dokumente, die zur Unterstützung der SSL-Zertifikatsanwendung erforderlich sein können, sind :

  • Gesellschaftsverträge
  • Fiktiver Name / Wirtschaftliche Tätigkeit
  • Unternehmensbescheinigung
  • Kontoauszüge
  • Kontoauszüge (Händler)
  • Betriebskosten- und Telefonrechnungen

Die administrative Kontaktperson des Auftrags wird für weitere Informationen kontaktiert, wenn Dokumentation erforderlich ist.

Ein Verifizierungstelefonat mit der administrativen Kontaktperson ist in der Regel vor der Ausstellung erforderlich. Die Telefonnummer muss in einem anerkannten Telefonbuch öffentlich eingetragen sein.

Es wird empfohlen, das Unternehmen bei Dun & Bradstreet zu listen, da es eine der weltweit führenden Quellen für kommerzielle Informationen von Unternehmen ist. Diese Quelle ist wichtig für Unternehmen, da es so leichter fallen kann, wichtige Geschäftsentscheidungen zu treffen.

Zusätzliche Validierungsinformationen

Es besteht die Möglichkeit, alle Zertifikatstypen (Single Domain SSL-Zertifikate, Wildcard SSL-Zertifikate, Multi Domain SSL-Zertifikate / Unified Communication Certificate) mit jedem der verfügbaren DCV-Mechanismen (Domain Control Validation) zu validieren. Für Multi-Domain-Zertifikate können bei jedem FQDN (Fully Qualified Domain Name) in der Anfrage, unterschiedliche Verfahren verwendet werden.

Wir betrachten den Kontrollnachweis von "www.DOMAIN.com" nicht mehr als Kontrollnachweis von "DOMAIN.com". Wenn Sie zuvor ein Zertifikat für die beiden FQDNs (www.example.com und example.com) bei uns bestellt und z.B. über HTTP_CSR_HASH auf www.example.com validiert haben, dann wurde das ursprünglich auch dafür verwendet, um die Kontrolle von example.com zu verifizieren. Das ist nun nicht mehr der Fall.

Es ist weiterhin so, dass die Validierung von example.com ausreichend ist, damit die Validierung eines SSL-Zertifikats sowohl example.com als auch www.example.com. enthält.

Auftragswarteschlange & Betrugsprävention

Für den Fall, dass ein Authentifizierungsverfahren fehlschlägt oder unser System mögliche Betrugsversuche vermutet, kann die Bestellung zur manuellen Überprüfung in die Warteschlange gestellt werden. Außerdem werden gelegentlich Aufträge zufällig in die Warteschlange gestellt, um sie manuell zu überprüfen. Bitte kontaktieren Sie uns wenn Ihre Bestellung in der Warteschlange steht und Sie weitere Unterstützung benötigen.

Authentifizierungs-Engines sind so programmiert, dass sie bestimmte Aufträge vor der Ausgabe automatisch für eine Qualitätsprüfung kennzeichnen. Das System sucht nach spezifischen Informationen innerhalb von Neu- und Verlängerungsaufträgen. So können beispielsweise Bestellungen aus bestimmten Ländern oder mit bestimmten Wörtern gekennzeichnet werden.