Datenschutz und Sicherheit - wie das Toolkit mit privaten Schlüsseln umgeht
Das aethercert Toolkit läuft vollständig lokal: kein Konto, keine Telemetrie, kein Upload. Wo private Schlüssel entstehen und liegen, was ins Netz geht und was gespeichert wird.
Das Toolkit folgt einer Regel, derselben wie die aethercert-Plattform: Private Schlüssel verlassen nie den Rechner, auf dem sie entstanden sind. Alles Weitere auf dieser Seite ergibt sich daraus.
Nichts verlässt Ihren Rechner
- Kein Konto, keine Anmeldung, kein Lizenzschlüssel.
- Keine Telemetrie, keine Nutzungsstatistik, keine Absturzberichte.
- Keine Update-Prüfung. Das Toolkit baut keine Netzwerkverbindung auf, die Sie nicht selbst ausgelöst haben.
Die Verbindungen, die es aufbaut, braucht das jeweilige Werkzeug:
| Aktion | Verbindet sich mit |
|---|---|
| Zertifikatscanner, Security Scan | Den Hosts und Ports, die Sie eingegeben haben. Der Security Scan sendet zusätzlich eine HTTP-Anfrage für die Sicherheitsheader. |
| Code signieren mit Zeitstempel | Dem gewählten Zeitstempeldienst. Gesendet wird nur ein Hash der Signatur, nie die Datei. |
Wo private Schlüssel liegen
| Schlüssel erzeugt als | Ort | Wer ihn lesen kann |
|---|---|---|
| Windows-Schlüsselspeicher (Standard in „CSR erstellen“) | Der Microsoft Software Key Storage Provider dieses Benutzers oder dieses Computers | Windows. Der Schlüssel gelangt nie in den Prozess des Toolkits; Windows signiert damit. Ein als nicht exportierbar erzeugter Schlüssel lässt sich von niemandem auslesen, auch nicht vom Toolkit. |
| Schlüsseldatei | Im Speicher des Toolkits, bis Sie ihn speichern, danach nur in der gewählten Datei | Wer die Datei lesen kann - verschlüsseln Sie sie (PKCS#8, AES-256, PBKDF2), es sei denn, ein Server kann keine verschlüsselten Schlüssel lesen. |
| Aus einer PFX importiert | Der Windows-Speicher, in den Sie importiert haben, exportierbar oder nicht nach Ihrer Wahl | Windows. |
Ein Schlüssel, der nur im Speicher existiert, ist weg, sobald die App geschlossen wird. Wer „CSR erstellen“ verlässt oder die App mit einem solchen Schlüssel schließt, wird vorher gefragt - ein für seinen CSR ausgestelltes Zertifikat wäre sonst unbrauchbar.
Wie der Windows-Speicher angesteuert wird
Zertifikatspeicher, Schlüsselspeicher und Code Signing werden über die Komponenten von
Windows selbst angesteuert (CNG, Set-AuthenticodeSignature), mit einem festen
PowerShell-Skript je Aufgabe. Jeder Wert - Dateinamen, Fingerabdrücke, Passwörter - geht über
die Standardeingabe hinein, nie über eine Kommandozeile. So erscheint nichts in der
Prozessliste oder einem Log, und keine Eingabe kann das Skript verändern.
Muss ein Schlüssel zwischen Toolkit und Speicher wandern (Import einer Schlüsseldatei, Export einer PFX), bewegt er sich nur zwischen der App und diesem lokalen PowerShell-Prozess, in einer PKCS#12-Datei mit einem einmaligen Zufallspasswort.
Windows behält seinen eigenen Schutz: Als nicht exportierbar markierte Schlüssel und Schlüssel auf Smartcards, TPMs und HSMs bleiben, wo sie sind.
Was das Toolkit nicht tut
- Es installiert nie von sich aus ein Stammzertifikat. Ein Import legt Zwischenzertifikate unter Zwischenzertifizierungsstellen ab und überspringt jeden Stamm; einer Stammzertifizierungsstelle zu vertrauen bleibt die Entscheidung des Administrators.
- Die Desktop-App überschreibt beim Exportieren oder Umwandeln nie eine vorhandene Datei;
actknur dort, wo Sie--forceangeben. - Es schreibt nie Schlüsselmaterial in einen Bericht, einen Export, die Zwischenablage oder ein Log. PEM kopieren kopiert nur das öffentliche Zertifikat.
Was auf der Festplatte gespeichert wird
Die Einstellungen liegen in %APPDATA%\com.aethercert.toolkit\settings.json. Zu jedem
offenen Zertifikatsantrag enthält die Datei den Common Name, den SHA-256 des öffentlichen
Schlüssels und den Ort des Schlüssels - einen Containernamen im Windows-Schlüsselspeicher
oder einen Dateipfad. Nie den Schlüssel selbst. Anträge, die älter als 400 Tage sind, werden
entfernt.
Das Toolkit selbst prüfen
Die Windows-Programme sind per Authenticode signiert, und neben jedem Download liegt eine SHA-256-Prüfsumme. Siehe Download prüfen.
Berichtsformate - JSON von Zertifikatscan und Security Scan
Das JSON, das das aethercert Toolkit exportiert: der versionierte Umschlag, die Schemas cert-scan/v1 und security-scan/v1 und die CSV-Spalten eines Zertifikatsinventars.
Toolkit-Fehlerbehebung
Häufige Probleme mit dem aethercert Toolkit lösen: SmartScreen-Warnung, fehlende WebView2-Laufzeit, schreibgeschützter Computerspeicher, fehlender Schlüssel, PFX-Importfehler.