Serverauthentifizierung

Mithilfe der Serverauthentifizierung kann ein entfernter Client die Identität eines Datenbankservers überprüfen. Die Überprüfung von digitalen Signaturen und Zertifikatsfeldern ist für die Serverauthentifizierung erforderlich.

Digitale Signaturen

Ein Zertifikat für einen Datenbankserver enthält eine oder mehrere digitale Signaturen, mit denen die Datenintegrität sichergestellt und vor unbefugten Zugriffen geschützt wird. Mit den folgenden Schritten erstellen Sie eine digitale Signatur:

Wenn ein Algorithmus für ein Zertifikat ausgeführt wird, wird ein eindeutiger Wert oder Hash generiert.
Der Hash wird mit dem privaten Schlüssel eines unterzeichnenden Zertifikats bzw. einer Zertifizierungsstelle verschlüsselt.
Der verschlüsselte Hash, auch digitale Signatur genannt, wird in das Zertifikat eingebettet.

Eine digitale Signatur kann selbstsigniert oder durch ein Unternehmensstammzertifikat bzw. eine Zertifizierungsstelle signiert sein.

Wenn eine Clientanwendung einen Datenbankserver kontaktiert und beide für die Verwendung der Transportschichtsicherheit konfiguriert sind, sendet der Server dem Client eine Kopie seines Zertifikats. Der Client entschlüsselt die digitale Signatur des Zertifikats mithilfe des im Zertifikat enthaltenen öffentlichen Schlüssels des Servers, berechnet für das Zertifikat einen neuen Hash und vergleicht die beiden Werte. Wenn die Werte übereinstimmen, wird dadurch die Integrität des Serverzertifikats bestätigt.

Wenn Sie FIPS-zertifizierte RSA-Verschlüsselung verwenden, müssen Sie Ihre Zertifikate mit RSA generieren.

Weitere Hinweise zu selbstsignierten Zertifikaten finden Sie unter Selbstsignierte Stammzertifikate.

Weitere Informationen zu Unternehmensstammzertifikaten und Zertifizierungsstellen finden Sie unter Zertifikatketten.

Zertifikatsfelder überprüfen

Bei der Verwendung von globalen Zertifikaten muss jeder Client bestimmte Zertifikatsfelder überprüfen, um zu vermeiden, dass Zertifikaten vertraut wird, die von derselben Zertifizierungsstelle für andere Clients signiert wurden. Dieses Problem wird gelöst, indem Ihre Clients bestimmte Feldwerte im Identifizierungsabschnitt des Zertifikats überprüfen. Eine Zertifizierungsstelle muss die Korrektheit der Identitätsinformationen in von ihr unterzeichneten Zertifikaten garantieren.

Weitere Informationen zu global signierten Zertifikaten finden Sie unter Global signierte Zertifikate.

Beim Erstellen eines Zertifikats mit dem Dienstprogramm createcert füllen Sie die Felder "Organisation", "Organisationseinheit" und "Name" aus. Sie können diese Felder mit den entsprechenden Client-Verbindungsparametern überprüfen. Wenn Sie die Zertifizierungsstelle eines Drittanbieters zum globalen Signieren von Zertifikaten verwenden, sollten Sie dringend die Zertifikatfelder überprüfen.

Organisation Das Feld "Organisation" entspricht der encryption-Protokolloption certificate_company. Siehe certificate_company-Protokolloption.
Organisationseinheit Das Feld "Organisationseinheit" entspricht der encryption-Protokolloption certificate_unit. Siehe certificate_unit-Protokolloption.
Name Das Feld "Name" entspricht der encryption-Protokolloption certificate_name. Siehe certificate_name-Protokolloption.

Weitere Informationen zu den clientseitigen encryption-Verbindungsparametern finden Sie unter Verbindungsparameter Encryption (ENC).

Verwenden der trusted_certificates-Protokolloption

Dies ist die einzige erforderliche Protokolloption, wenn TLS im encryption-Verbindungsparameter angegeben ist. Mit der trusted_certificate-Protokolloption geben Clients vertrauenswürdige Zertifikate für Datenbankserver an. Das vertrauenswürdige Zertifikat kann ein selbstsigniertes Zertifikat des Servers, ein öffentliches Unternehmensstammzertifikat oder ein Zertifikat einer kommerziellen Zertifizierungsstelle sein.

Siehe auch

Kommentieren Sie diese Seite in DocCommentXchange.