VMC-Zertifikat-Analysator

Warum ein Markenzertifikat analysieren

Ein Markenzertifikat kostet 1000 bis 1500 Dollar pro Jahr. Es zu erhalten sagt nichts über seine Wirkung aus.

Zwischen der von der Zertifizierungsstelle gelieferten Datei und dem Logo, das in einem Posteingang erscheint, liegen ein DNS-Eintrag, eine https-Adresse, eine DMARC-Richtlinie und eine Absenderdomain, die im Zertifikat stehen muss. Bleibt das Logo aus, versteckt sich die Ursache in dieser Kette, und klassische Decoder zeigen lediglich einen Inhaber und zwei Datumsangaben an.

Dieser Analysator dekodiert das Zertifikat und stellt danach jeden gemessenen Fakt dem VMC-Profil gegenüber, dem RFC 3709 für die Logotype-Erweiterung und dem RFC 5280 für den Rest. Er liefert ein Urteil in vier Zuständen und die Liste der Befunde, die es begründen, mit ihrer Quelle. Der Katalog umfasst 44 Codes; wie viele Befunde ausgegeben werden, hängt vom analysierten Zertifikat ab.

Die Momente, in denen er hilft:

• Beim Erhalt des Zertifikats, bevor irgendetwas im DNS veröffentlicht wird.
• Wenn das Logo trotz scheinbar korrekter Konfiguration unsichtbar bleibt.
• Vor einer Erneuerung, um die alte und die neue Datei bei den abgedeckten Domains zu vergleichen.

Was der Analysator prüft

Sieben Prüffamilien, 44 Codes, drei Schweregrade. Die Tabelle nennt die Frage, die jede Familie entscheidet.

VMC oder CMC, der Bericht benennt das Profil. Das BIMI-Programm gibt zwei Arten von Markenzertifikaten aus: das VMC, gestützt auf eine eingetragene Marke, und das CMC, ausgestellt auf den Nachweis einer früheren Nutzung des Logos. Kein Richtlinienkennzeichen trennt beide, und das ist an 37 echten Zertifikaten gemessen: Zwei Zertifikate unterschiedlicher Profile, von derselben Zertifizierungsstelle ausgestellt, führen genau dieselben Richtlinien. Der Analysator liest daher das Inhaberattribut markType, das dafür vorgesehene Attribut des Programms, und der Bericht sagt Ihnen, welches der beiden Sie in Händen halten. Ein CMC bleibt ein legitimes Profil: Der Befund wird als Information ausgewiesen, er verschlechtert das Urteil nicht und erinnert nur daran, dass die Unterstützung durch die Mailanbieter dort schmaler ist.

Die Einstufung der Schweregrade folgt einer einzigen Regel: Als blockierend gilt nur, was sicher dem Zertifikat anzulasten ist. Eine fehlerhaft kodierte Erweiterung, die unser Decoder nicht lesen konnte, bleibt eine Warnung, denn der Zweifel liegt auf unserer Seite. Diese Disziplin hat ihren Preis, sie hat auch ihren Nutzen: Lautet das Urteil nicht konform, ist der Satz hart, und der Leser darf ihm glauben.

Die Prüfung des eingebetteten Logos

Das ist die Prüfung, die dieses Werkzeug von einem Decoder trennt. Sie beantwortet eine Frage, die keine andere Seite stellt: Ist das Bild in diesem Zertifikat jenes, das die Zertifizierungsstelle geprüft hat?

Der Mechanismus stammt aus RFC 3709 §4.1. Die Logotype-Erweiterung 1.3.6.1.5.5.7.1.12 transportiert für jedes Bild ein Paar aus Algorithmus und Hashwert. RFC 6170 regelt den Rest: Das Bild ist ein SVG Tiny, mit gzip komprimiert und in einer data:-URI kodiert. Der Analysator extrahiert dieses Bild, dekomprimiert es, hasht es unter dem vom Zertifikat angegebenen Algorithmus neu und vergleicht.

Drei mögliche Ausgänge, drei Meldungen. Gleiche Hashwerte, der Normalfall, als Hinweis gemeldet, denn das ist der Beweis, den Sie gesucht haben. Abweichende Hashwerte, blockierender Befund: Die Datei wurde nach der Prüfung durch die Zertifizierungsstelle verändert, und dieses Zertifikat darf nicht veröffentlicht werden. Kein eingebettetes Bild, Warnung: Das Logo ist nur über eine URI referenziert, die Integrität lässt sich offline nicht mehr prüfen, und die Anzeige hängt von einem fremden Server ab.

Die Dekodierung umgeht mehrere Fallen, die bisher falsche Abweichungen erzeugten. Gelesen wird nur subjectLogo, der direkte Zweig: Das Logo der Zertifizierungsstelle und das einer Gemeinschaft tragen andere Hashwerte und haben im Vergleich nichts zu suchen. Behalten wird nur das erste Bild der Sequenz, sonst stünde der Hashwert des zweiten dem ersten gegenüber.

Bei erwiesener Abweichung steht die Handlung nicht zur Debatte: Nehmen Sie das SVG, das Sie der Zertifizierungsstelle bei der Bestellung geliefert hatten, oder verlangen Sie eine Neuausstellung. Ein nach der Ausstellung retuschiertes Bild erneut zu veröffentlichen, zerreißt die Verbindung, und der Leitfaden zur Erstellung des BIMI-Logos nennt die einzuhaltenden Formatvorgaben.

Zwei Scheinmängel, an echten Zertifikaten gemessen

Ein Analysator, der zu korrigieren verlangt, was DigiCert und GlobalSign ausstellen, analysiert nichts mehr. Zwei Befunde wurden nach Messungen an sechs echten Zertifikaten der drei Zertifizierungsstellen des Programms neu eingestuft.

Der Logo-Hashwert nur in SHA-1. Vier von sechs Zertifikaten geben ausschließlich diesen Algorithmus an, alle von DigiCert ausgestellt. Dieser Hashwert soll ein Bild und ein Zertifikat einander zuordnen; der Prüfende besitzt das Bild bereits und berechnet den Wert selbst neu, ohne dass einem Angreifer eine zweite Wahl bliebe. Diesen Fall als Warnung einzustufen, würde bei der wichtigsten Zertifizierungsstelle des Programms einen Massenfehlalarm auslösen. Der Analysator meldet ihn als Hinweis.

Die fehlende Erweiterung keyUsage. Fünf von sechs Zertifikaten tragen sie nicht, bei zwei von drei Zertifizierungsstellen, und sie zeigen ihr Logo im Produktivbetrieb an. RFC 5280 §4.2.1.3 schreibt keyUsage nur für Zertifikate vor, deren Schlüssel die Signaturen anderer Zertifikate bestätigt, also für Zertifizierungsstellen. Bei einem Endzertifikat ist sie optional. Der Befund bleibt sichtbar, als Hinweis, weil er erklärt, warum die Prüfungen zur Schlüsselverwendung nicht ausgewertet wurden.

Diese beiden Zeilen taugen vor allem als Gebrauchsanweisung für den Bericht. Ein Befund als Hinweis verlangt keine Handlung: Er dokumentiert. Verlangen Sie keine Neuausstellung für 1200 Dollar wegen einer gemeldeten Tatsache.

Die vier Urteile, und was sie verlangen

Vier mögliche Urteile, eines pro Analyse, jedes mit der Handlung, die es verlangt.

Der vierte Zustand existiert, weil der Fall häufig ist, und weil es falsch wäre, zu einem Objekt, das keines ist, zu schreiben, Ihr Markenzertifikat sei nicht konform. Zwei Wege führen dorthin. Weder Markenrichtlinie noch Logotype-Erweiterung: Es ist das TLS-Zertifikat der Website, versehentlich eingefügt, und die Verwendung serverAuth bestätigt es. Oder basicConstraints gibt cA=TRUE an, und das Objekt ist eine Zertifizierungsstelle, fast immer das Zwischenzertifikat, das in derselben PEM-Datei wie das Endzertifikat geliefert wird.

Dieser zweite Fall erzeugte früher einen durchweg falschen Bericht. Dem Zwischenzertifikat wurden Mängel vorgeworfen, die für ein Endzertifikat gedacht waren, darunter eine als übermäßig eingestufte Verwendung keyCertSign, obwohl eine Zertifizierungsstelle sie tragen muss, sowie eine Zeile mit der Behauptung, es handle sich um ein Verified Mark Certificate. Es wird nun erkannt und benannt, ohne weiteres Urteil.

Die erwartete Domain, ein optionales Feld

Dieses Feld steuert genau zwei der 44 Befunde. Bleibt es leer, kostet es Sie diese beiden und sonst nichts.

Tragen Sie dort die Domain ein, die Ihren BIMI-Eintrag veröffentlicht. Der Analysator sucht dann einen dNSName-Eintrag des Zertifikats, der sie abdeckt, und meldet entweder abgedeckt oder eine blockierende Abweichung. Die übliche Falle ist das Wildcard-Zeichen: Im Sinne von RFC 9525 §6.3 reicht es nur eine Ebene tief. *.beispiel.de deckt mail.beispiel.de ab, aber weder beispiel.de noch a.b.beispiel.de.

Eine Abweichung an dieser Stelle lässt sich nicht durch eine DNS-Änderung beheben. Das Zertifikat deckt diese Domain nicht ab, es muss neu ausgestellt werden. Denken Sie also besser schon bei der Bestellung an alle Domains, transaktionale Subdomains eingeschlossen.

Was dieser Analysator nicht aussagt

Drei Grenzen, ausgesprochen, weil ein Werkzeug, das sie verschweigt, Garantien vorgaukelt, die es nicht liefert.

Die Sperrung wird nicht geprüft. Keine OCSP-Abfrage, keine Sperrliste. Ein von seiner Zertifizierungsstelle gesperrtes Zertifikat gilt als konform, wenn sein Inhalt es ist.

Die ausstellende Organisation wird nicht bewertet. Eine Liste zugelassener Zertifizierungsstellen ist nicht fest einprogrammiert, und das ist Absicht: Eine solche Liste würde an dem Tag falsch, an dem die BIMI Group einen neuen Aussteller akkreditiert, und zwar unbemerkt. Das Urteil stützt sich auf die angegebene Zertifizierungsrichtlinie und auf die Anbindung der Kette, nicht auf einen Namen.

Die Kette wird nicht bis zu einem Root-Zertifikat des Markenprogramms verfolgt. Die am Korpus gemessenen Root-Zertifikate des Programms fehlen in beiden lokal prüfbaren Vertrauensspeichern: dem Systemspeicher von Apple mit 127 und dem Mozilla-Paket, das curl ausliefert, mit 190 Root-Zertifikaten. Sie bilden einen programmeigenen Vertrauensspeicher, den weder ein Betriebssystem noch ein Container-Image mitbringt. Die im Werkzeug gezogene Konsequenz: Ein Fehlschlag der Prüfung wird nie zu einem blockierenden Befund, denn er beweist nichts. Eine Kette, die sich verifizieren lässt, bleibt eine gute Nachricht; eine Kette, die es nicht tut, sagt nichts über das Zertifikat aus.

Das Zertifikat veröffentlichen, sobald es geprüft ist

Das Urteil lässt das Logo nicht erscheinen. Vier Dinge müssen zusammenhalten.

DMARC zuerst: Die Absenderdomain muss auf p=quarantine oder p=reject stehen, sonst sieht sich kein E-Mail-Anbieter den Rest an. Dann die PEM-Datei, über https an einer stabilen Adresse ausgeliefert, jener, die das Tag a= Ihres _bimi-Eintrags trägt. Das SVG-Logo, ebenso ausgeliefert, über das Tag l= referenziert. Und schließlich die Absenderdomain, vorhanden unter den zertifizierten Domains.

Liefern Sie immer die vollständige Datei aus, Endzertifikat gefolgt von den Zwischenzertifikaten, so wie die Zertifizierungsstelle sie geliefert hat. Ein allein ausgeliefertes Zertifikat löst eine Warnung wegen unvollständiger Kette aus, und manche Prüfprogramme brechen an dieser Stelle ab.

Zum Zeitplan: Ein Markenzertifikat gilt ein Jahr. Der Analysator geht in den letzten 30 Tagen auf Warnung und meldet den Ablauf schon in den letzten 60, doch ein punktueller Bericht ersetzt keine Überwachung. Notieren Sie sich das Datum und lesen Sie unseren Leitfaden zu VMC- und CMC-Zertifikaten, um bei der Erneuerung zwischen beiden Profilen zu entscheiden. Bleibt das Logo nach der Veröffentlichung aus, decken fünf häufige Ursachen die meisten Fälle ab.

Datenschutz

Zwei Wege, zwei Verhaltensweisen, und das Werkzeug sagt Ihnen vor dem Klick, welcher gilt.

Ein als PEM eingefügtes Zertifikat wird offline analysiert: Dekodierung im Arbeitsspeicher, keine ausgehende Verbindung, keine aufbewahrte Datei. Eine https-Adresse dagegen wird von unseren Servern in einer einzigen begrenzten Anfrage abgerufen, was der Hinweis unter der Schaltfläche in Echtzeit anzeigt. Ein Zertifikat ist ohnehin kein Geheimnis: Es trägt einen öffentlichen Schlüssel und Kennungen, die zur Veröffentlichung bestimmt sind.

Das Feld für die erwartete Domain dient allein der Prüfung der Abdeckung. Jenseits von zehn CERTIFICATE-Blöcken in derselben Übermittlung wird der Überschuss ignoriert, und der Bericht meldet das.

FAQ - Häufig gestellte Fragen

F: Was ist ein VMC-Zertifikat?

A: Ein Verified Mark Certificate ist ein X.509-Zertifikat, das ein Logo mit einer Organisation verknüpft, deren Markenrechte geprüft wurden. Es bettet das Bild in eine Logotype-Erweiterung ein (RFC 3709) und gibt eine programmeigene Zertifizierungsrichtlinie an. Gmail, Yahoo Mail und Apple Mail nutzen es zur Anzeige Ihres Logos, sofern DMARC auf p=quarantine oder p=reject steht. DigiCert, Entrust und GlobalSign stellen es aus, neben weiteren von der BIMI Group akkreditierten Zertifizierungsstellen.

F: Warum erscheint mein Logo nicht, obwohl das Zertifikat gültig ist?

A: Das Zertifikat ist nur eines der Glieder. Prüfen Sie der Reihe nach: DMARC auf p=quarantine oder p=reject für die Absenderdomain, den veröffentlichten _bimi-Eintrag, das Tag a=, das auf eine https-Adresse mit dem PEM verweist, und die Absenderdomain unter den zertifizierten Domains. Genau diesen letzten Punkt entscheidet hier das Feld für die erwartete Domain. Die Caches der E-Mail-Anbieter fügen anschließend eine Verzögerung von mehreren Stunden hinzu.

F: Prüft der Analysator, ob das eingebettete Logo das von der Zertifizierungsstelle geprüfte ist?

A: Ja, und das ist die Prüfung, die dieses Werkzeug auszeichnet. Das SVG-Bild wird aus der Logotype-Erweiterung extrahiert, dekomprimiert und dann unter dem Algorithmus neu gehasht, den das Zertifikat selbst angibt. Weicht der neu berechnete Hashwert vom angegebenen ab, ist der Befund blockierend: Die Datei hat sich nach der Prüfung durch die Zertifizierungsstelle verändert. Dieser Vergleich funktionierte vor der Überarbeitung des Werkzeugs bei keinem einzigen echten Zertifikat.

F: Mein Zertifikat gibt den Hashwert des Logos nur in SHA-1 an, ist das ein Mangel?

A: Nein. Von sechs echten Zertifikaten dreier Zertifizierungsstellen geben vier ihren Logo-Hashwert nur in SHA-1 an: Das ist es, was DigiCert ausstellt. Dieser Hashwert soll ein Bild und ein Zertifikat einander zuordnen, keine Sperre gegen Kollisionen errichten, denn der Prüfende besitzt das Bild bereits und berechnet den Wert neu. Der Analysator meldet das als Tatsache, ohne das Urteil herabzustufen.

F: Die Erweiterung keyUsage fehlt in meinem VMC, sollte ich eine Neuausstellung verlangen?

A: Nein. Die Erweiterung fehlt bei fünf der sechs gemessenen Zertifikate, bei zwei der drei Zertifizierungsstellen des Programms, und diese Zertifikate zeigen ihr Logo im Produktivbetrieb an. RFC 5280 §4.2.1.3 schreibt keyUsage nur für Zertifikate einer Zertifizierungsstelle vor; bei einem Endzertifikat bleibt sie optional. Der Befund wird als Hinweis gemeldet, um zu erklären, warum die Prüfungen zur Schlüsselverwendung nicht ausgewertet wurden.

F: Was bedeutet das Urteil "Kein Markenzertifikat"?

A: Dass das eingefügte Objekt nicht zum VMC-Profil gehört, und dorthin führen zwei Wege. Der erste: weder Markenrichtlinie noch Logotype-Erweiterung, mit anderen Worten das TLS-Zertifikat der Website, anstelle des VMC eingefügt. Der zweite: basicConstraints gibt cA=TRUE an, es handelt sich also um eine Zertifizierungsstelle, oft um das in derselben PEM-Datei gelieferte Zwischenzertifikat. In diesem Fall ist das Endzertifikat der erste Block der Datei.

F: Wozu dient das Feld für die erwartete Domain?

A: Dazu zu prüfen, ob die Domain, die Ihren BIMI-Eintrag veröffentlicht, zu den zertifizierten Domains des Zertifikats gehört. Das Feld ist optional und steuert genau zwei der 44 Befunde: abgedeckt oder abweichend. Achten Sie auf das Wildcard-Zeichen, das im Sinne von RFC 9525 §6.3 nur eine Ebene tief reicht: *.beispiel.de deckt mail.beispiel.de ab, aber weder beispiel.de noch a.b.beispiel.de.

F: Was kostet ein VMC-Zertifikat, und für welche Laufzeit?

A: In der Größenordnung von 1000 bis 1500 Dollar pro Jahr bei DigiCert, Entrust oder GlobalSign, ein Preis, der die Prüfung der eingetragenen Marke bei einem anerkannten Amt abdeckt. Üblich ist eine Gültigkeit von einem Jahr. Planen Sie die Erneuerung im Voraus: Der Analysator meldet die letzten 30 Tage als Warnung und die letzten 60 als Hinweis, und ein abgelaufenes Zertifikat lässt das Logo ohne weitere Vorwarnung verschwinden.

Ergänzende Tools

Nützliche Ressourcen

• RFC 3709 - Logotype-Erweiterung für Zertifikate (Struktur logotypeHash, angegebener Hashwert des Logos)
• RFC 6170 - Bild in einem X.509-Zertifikat (SVG Tiny, komprimiert, in einer data:-URI transportiert)
• RFC 5280 - Profil der X.509-Zertifikate (Gültigkeit, basicConstraints, keyUsage, SAN)
• RFC 9525 - Identitätsprüfung von Diensten (Reichweite des Wildcard-Zeichens in einem SAN)
• BIMI Group - Verified Mark Certificates (VMC-Profil, akkreditierte Zertifizierungsstellen)
• BIMI-Spezifikation (Tags a= und l=, DMARC-Voraussetzung)