Als Entwickler im Windows-Umfeld, wird man immer häufiger feststellen, dass man zur Auslieferung seines Codes bei Firmenkunden den Code digital signiert haben muss. Im Windows-Umfeld müssen dies in der Regel S/MIME Zertifikate sein.

Wo bekommt man nun so ein Zertifikat her?
Man kann es teuer von einem kommerziellen Anbieter, z.B. VeriSign, StartSLL, erhalten oder kostenfrei vom OpenSource Projekt CAcert.
Was ist der Unterschied, wo sind die Schwierigkeiten?

Das Hauptproblem beim Umgang mit digitalen Zertifikaten ist "Vertrauen". Jeder Anwender muss, wenn er eine digitale Signatur hat, diesem Vertauen, so wie man es auch mit einer Unterschrift unter einem Schriftstück zu tuen hat.
Deshalb sollte man, wenn ein digitales Zertifikat bekommt ruhig einmal nachschauen, wer denn das Zertifikat ausgestellt hat, und wie der Zertifikatsgeber die Identität der Person, die das Zertifikat benutzt überprüft.

Hier bei ist zu beachten, dass wenn eine Certificate Authority (CA), ein Codesigning Zertifikat ausstellt, die Identität des Zertifikatsnutzer überprüfen muss.

Bei der Identitätsprüfung unterschieden sich dann die verschiedensten Anbieter, während bei einigen nur das Post-Identverfahren, genutzt wird, bei dem entweder der Ausweis nicht sonderlich geprüft wird oder ein Personalausweis kopiert wird, werden bei anderen mehrere Überprüfung notwendig. So sind bei dem OpenSource Projekt CAcert zum Erhalt von SSL Wildcard-Zertifikat mindesten 2 Überprüfung und zum Erhalt eines Code-Signing Zertifikats mindestens 3 Überprüfungen notwendig. CAcert baut bei seinen Überprüfungen ein sogenanntes Web of Trust auf.

Der nächste Unterschied ist, das kommerzielle Anbieter in den meisten Fällen ihren Sourcecode nicht offen legen, so dass man nicht weiß was dieser macht. Bei CAcert ist der SourceCode sowie auch die Prozesse im Netz jederzeit einseh- und überprüfbar.

Die Zertifikate bei CAcert sind kostenfrei, das sich die Gründer von CAcert zum Ziel gesetzt haben, jedem die Zertifikate kostenfrei zur Verfügung zustellen. Ein weitere Vorteil der Zertifikate von CAcert ist, dass die CA nicht in den Besitz der privaten Schlüssel kommt, da der private Schlüssel auf dem Rechner des Anwenders erstellt wird und lediglich der öffentliche Schlüssel von CAcert signiert wird. Hier kann dann auch keinber einbrechen und die privaten Schlüssel klauen.

CAcert hat allerdings auch einen Nachteil. Die Stammzertifikate von CAcert sind standardmäßig nicht in den Truststores der Browser enthalten, so dass sich die SSL-Zertifikate von CAcert zur Absicherung von Web-Seiten nur bedingt eignen. Für den gesicherten Zugang auf seine eigenen Server sind sie sehr gut gebrauchbar, für den Einsatz von Web-Seiten für die breite Öffentlichkeit nur bedingt.
Aber auch hier kommt wieder die Frage von Vertauen zum tragen. Wie kommt man in die Trusstores der Browser, in den meisten Fällen in dem man einfach Geld zahlt. CAcert arbeitet daran auch in die Truststores zu kommen, dies benötigt aber noch einige Zeit.
In der Zwischenzeit vertrauen aber immer mehr Firmen und Organisationen den Zertifikaten von CAcert. z.B. die Allianz-Firmengruppe, die Abrechnungssysteme im Europäischen Gasverbund "edigas".

Wo kann man mehr über CAcert erfahren, zum einem im Netz zum anderen auf OpenSouce-Veranstaltungen. Eine Auswahl der nächsten Veranstaltungen bei den CAcert vertreten sein wird: Chaos Communication Congress in Hamburg, die FOSDEM in Brüssel und die Chemnitzer Linux Tage.

*Topic verschoben*

Nach der Anmeldung bei CAcert können die ersten Zertifikate ausgestellt werden.
Die Ausstellung der Zertifikate macht man selber in der Webseite. Hierbei ist wichtig: Der private Schlüssel verlässt dabei nicht den eigenen Computer und er wird auch nicht bei CAcert gepeichert.
Für ein Code-Signing-Zertifikat muss man seine Identität von mindesten 3 CAcert Mitgliedern bestätigen lassen. Wenn man einen Account bei CAcert hat, kann man unter dem Menüpunkt "CAcert Vertrauensnetzwer - Einen Assurer finden" nach Personen in seiner Umgebung suchen, die die Identität bestätigen können. Häufig finden sich auch in den Linux User Gruppen oder Hackerspaces Personen, die die Überprüfung durchführen können.

Wie gesagt es ist immer eine Frage. wem man vertauen will.

Ich habe die Diskussion primär wegen der kostenfreien Code-Signing Zertifikate begonnen. Auch hab ich glaube ich hingewiesen, dass man für den Bereich der SSL-Verschlüsselung überlegen muss, wo man die CAcert Zertifikate sinnvoll einsetzen kann.

Man sollte sich aber auch mal überlegen, wer im Besitz der privaten Schlüssel ist. Der geklauten Schlüssel von Sony hat ja gezeigt, was damit angestellt werden kann.
Bei Sony wurde der Schlüssel nicht von der CA (Certificate Authority) sondern bei Sony selbst entwendet.
Meines Wissen ist CAcert die einzige CA die nicht die privaten Schlüssel zu den Zertifikaten besitzt. Dies ist denke ich im Rahmen des von Snowdon publizierten Überwachungsmaßnahmen zu berücksichtigen, wem man vertrauen will, wie die IT-Kommunikation verschlüsselt werden soll.

Jeder muss sich selber überlegen, wo und wie er Zertifikate bezieht und einsetzt.
Bisher habe ich mit den CAcert-Zertifikate, die ich bei meinen Programmierungen einsetze, bei meinen Kunden noch keine Schwierigkeiten gehabt.

​Und diesem Class1-Zertifikat trauen die Browser, aber beinem CaCert-Zertifikat schmeißen sie mit Warungen und Fehlern?Versteh einer die Browser

Wenn man die Stammzertifikate von CAcert in den Truststore des Browsers importiert, wird dem Zertifikat vertraut. Die Stammzertifikate findet man unter cacert.org/index.php?id=3. Es sollten beide Stammzertifikate importiert werden. Class 1 und Class 3.