7.4. X.509 Certificate Spoofing (Zertifikats-Spoofing)

7.4 X.509 Certificate Spoofing (Zertifikats-Spoofing)

Bei der PKI-Methode könnte ein Angreifer ein Zertifikat mit gleichem Subject (DN oder SAN) von einer anderen, vom Authorization Server vertrauenswürdigen CA nutzen. Der Authorization Server SOLLTE daher nur eine begrenzte Zahl von CAs mit passender Ausstellungsrichtlinie als Trust Anchors akzeptieren. Es wird angenommen, dass Client und Server außerbandig über die vom Server genutzte Trust-Anchor-Menge übereinstimmen. Ohne diese Annahme würde die Subject-Identifikation Spoofing-Angriffe ermöglichen.