Zertifikate in Checkmk im Überblick

Die Root-CA ist eine vertrauenswürdige Stelle, die in einer Zertifikatskette als Vertrauensanker fungiert: Sie stellt sich ein selbst signiertes Root-Zertifikat aus (ein CA-Zertifikat), das die Glaubwürdigkeit und digitale Identität der von ihr abgeleiteten Zertifikate und CAs begründet. Am Ende der Zertifikatskette steht das Leaf-Zertifikat als individuelle Einheit. Es erbt das Vertrauen von den ihm übergeordneten höherrangigen Zertifikatsgliedern der Kette. Das Vertrauen wird durch Signiervorgänge mit digitalen Unterschriften weitergegeben und bestätigt. Zwischen dem Root- und dem Leaf-Zertifikat können ein oder mehrere Intermediate-Zertifikate stehen (bildlich: die Äste am Zertifikat-Baum). Das oberste Intermediate-Zertifikat wird von der Root-CA signiert, darunter fungieren die Intermediates als untergeordnete CAs. Bei Checkmk gibt es keine zwischengeschalteten Intermediates, da sie für die Sicherheitsarchitektur der Checkmk-Software nicht notwendig sind.

Praktisch können Sie sich den Ablauf wie folgt vorstellen: Eine CA signiert das von ihr ausgegebene Zertifikat mit ihrem privaten Schlüssel und garantiert damit dessen Echtheit und Gültigkeit. Die beteiligten Systemkomponenten vertrauen auf eine vordefinierte Liste von CA-Zertifikaten. Webbrowser zum Beispiel liefern eine Liste von CA-Zertifikaten mit (von einem Konsortium der großen Browserhersteller abgesegnet) und vertrauen damit Webseiten, die von diesen CA-Zertifikaten signierte Intermediate Certificates und wiederum damit signierte Serverschlüssel verwenden. Zertifikate, die die Identität eines Clients oder einer Person hinter einem Server (oder einer Webdomain) bestätigen, werden Server-Zertifikate genannt – ein Beispiel dafür ist das Server-Zertifikat einer Webseite, das diese dem Browser vorlegt. Für Server-Zertifikate wird der Begriff TLS/SSL-Zertifikate oft synonym verwendet.

Vereinfacht gesagt prüft die CA den öffentlichen Schlüssel eines Antragstellers (Mensch, Website oder Softwarekomponente), indem sie dessen Zertifikat auf Echtheit und Gültigkeit prüft. Fällt das Ergebnis positiv aus, ist die systeminterne Kommunikation freigegeben, beispielsweise zwischen einer Instanz und den ihr zugeordneten Hosts oder im verteilten Monitoring zwischen den Instanzen.

Bei Checkmk geschieht die Absicherung der Agentenkommunikation in einer Form, die über SSL/TLS sogar noch hinausgeht: Die Kommunikation zwischen Agent Receiver (in der Instanz) und Agent Controller (auf dem überwachten Host) findet per mTLS statt, asynchron und in Ende-zu-Ende-Verschlüsselung. Das "m" in mTLS steht für das gegenseitige (mutual) Bestätigen einer Vertrauensbasis: eine Authentifizierung von Client und Server, die das Standard-TLS-Protokoll erweitert. Eine Certificate Authority (CA) beantwortet Signierungsanfragen des Agent Controller von Hosts im Monitoring. So können auch kompromittierte Agenten leicht identifiziert werden.

Die Echtheit jedes Zertifikats lässt sich mittels Fingerprint feststellen: Aus allen Daten des Zertifikats wird ein Prüfwert berechnet und als hexadezimale Zahl dargestellt. Dieser "Fingerabdruck" ist die eindeutige digitale Kennung des Zertifikats. Eingriffe in ein Zertifikat verändern dessen Fingerprint und fallen beim Abgleich mit einer vertrauenswürdigen Stelle auf. Kommunikation findet erst nach erfolgreicher Prüfung der dafür benötigten Zertifikate statt, und zwar in verschlüsselter Form. SSL/TLS-Zertifikate zum Beispiel ermöglichen beim Internetprotokoll HTTPS eine sichere Kommunikation zwischen Webbrowser und Website und stellen sicher, dass Daten während der Übertragung weder mitgelesen noch manipuliert werden können.