LintTrust

X.509-Zertifikate, einzeln oder zu Tausenden, in DER oder PEM, als Dateien oder ZIP-Archive. Sonst nichts: kein Zugang zu den Systemen der CA, kein privater Schlüssel, kein Passwort.

An den TLS Baseline Requirements des CA/Browser Forum, neunzehn Fassungen von 2.1.2 bis 2.3.0, und an den TLS-Kriterien von WebTrust for CAs, die sich auf sie beziehen. Jedes Zertifikat wird anhand der Fassung beurteilt, die bei seiner Ausstellung galt, und anhand der Fassung, die am Ende des Prüfungszeitraums gilt.

Nein. Es stellt fest, was die Zertifikate zeigen, Abschnitt für Abschnitt, und erfasst die eigene Würdigung des Prüfers neben den Urteilen von LintTrust. Das Prüfungsurteil und die Unterschrift bleiben beim Prüfer.

Ein Linter gibt Zeilen je Zertifikat aus. LintTrust gruppiert die Urteile nach WebTrust-Kriterium über die gesamte Grundgesamtheit, hält eine Empfehlung von einer Anforderung getrennt, beurteilt nach der geltenden Fassung, liest, was ein eigenständiger Linter nicht lesen kann (den Schlüssel des Ausstellers, die Kette, das deklarierte Profil), und erstellt das Arbeitspapier. Ein unabhängiger Vergleich an denselben Zertifikaten findet sich auf dieser Seite.

Was ein Zertifikat nicht enthält: ob die CA einen Namen validiert hat, ob eine Seriennummer von einem Zufallsgenerator stammt, ob eine Organisation ein verbundenes Unternehmen ist. Diese Zeilen weisen darauf hin, und der Prüfer beantwortet sie einmal, mit einer Grundlage, unter seinem Namen.

Auf den Servern von LintTrust in der Europäischen Union, eine isolierte Instanz je Kunde, erreichbar über TLS mit einem Konto und einem zweiten Faktor. Bei Ihnen wird nichts installiert.

Ein Arbeitspapier je Auftrag, als PDF und Word, in den Schriftsystemen, die die Zertifikate enthalten, die Nachweise je Zertifikat und die Zertifikate selbst als ZIP-Archiv für die Prüfungsakte. Eine CA erhält einen Bericht der Feststellungen nach Schweregrad mit der empfohlenen Maßnahme.

Ihre Instanz gehört Ihnen: Datenbank, Dateien und Sicherungen der Instanz sind von denen jedes anderen Kunden getrennt und im Ruhezustand verschlüsselt. Die Mitarbeitenden von LintTrust haben keinen ständigen Zugriff darauf. Eine Anmeldung eines Operators für den Support erfolgt nur auf Ihre schriftliche Anfrage, und jede wird im Journal Ihrer Instanz festgehalten, das Sie einsehen können. Sie können jederzeit alles exportieren und alles löschen und erhalten eine schriftliche Bestätigung der Löschung.

Es sind keine nötig: Die Vorführung läuft auf einer eigens dafür erstellten fiktiven PKI. Wenn Sie lieber Ihre eigenen Zertifikate beurteilt sehen möchten, senden Sie am Vortag eine Stichprobe, und sie werden gezeigt.

Eine jährliche Lizenz je Organisation, nach den verwendeten Regelwerken und der Anzahl der Zertifikate. Fordern Sie eine Vorführung und ein Angebot an.

Ja, in Kürze: die EV Guidelines, die S/MIME und Code Signing Baseline Requirements sowie die WebTrust-Kriterien, die sich auf sie beziehen, auf derselben Engine. Jedes wird als Modul lizenziert, sodass eine CA, die ausschließlich TLS-Zertifikate ausstellt, nur für TLS bezahlt.

Jedes Urteil nennt den Abschnitt, den es anwendet, und den Wert, den es gelesen hat, sodass es von Hand nachgeprüft werden kann. Die Fassungen der Baseline Requirements werden dem eigenen Repository des CA/Browser Forum entnommen, Commit für Commit. Eine fiktive PKI aus 108 Zertifikaten, je Zertifikat eine Regel, vor dem ersten Lauf aus dem Text erstellt, wird bei jeder neuen Version beurteilt, und unabhängige Prüfungen im Abgleich mit zlint und pkilint werden auf dieser Seite veröffentlicht.

In der Europäischen Union, in Frankreich, auf Servern, die LintTrust betreibt, eine isolierte Instanz je Kunde. Ein Auftragsverarbeitungsvertrag nach der DSGVO ist Bestandteil jedes Vertrags, unabhängig von der Rechtsordnung des Kunden.