MacMacken-Leser Florian hat erneut eine Macke in Mac OS X entdeckt und zwar in der Schlüsselbundverwaltung …
… wo zwei Apple-Zertifikate als nicht vertrauenswürdig aufgeführt werden. Vertraut Apple etwa den eigenen Zertifikaten nicht?
Naheliegend ist, dass selbst signierte Zertifikate wie die beiden standardmässig als nicht vertrauenswürdig betrachtet werden. Weiss aber jemand, woher diese Zertifikate überhaupt stammen? 
Vielen Dank an Florian für den Hinweis per E-Mail!
Also soweit ich mich erinnern kann liegt es daran, dass seit Mac OS X 10.5 zur Verstärkung der Sicherheit der Datenverkehr von Diensten wie FileSharing, ScreenSharing und Back to my Mac mit Hilfe eines lokalen Kerberos Key Distribution Centers (KDC) verschlüsselt wird. Diesen temporär generierten Keys reicht es aus an einem selbst-signierten Zertifikat dran zu hängen, da muss also nichts am systemdefault oder kerberos.kdc Zertifikat was geändert werden. Da ist nix falsches dran.
Sollte trotzdem jemand was daran vermurkst haben, kann es passieren dass man für die diversen Dienste plötzlich nach seinem Passwort gefragt wird – da hilft dann leider nur noch ein Archive Install des Systems.
Asmus hat es genau getroffen.
Es gibt verschiedene Dienste auf jedem Mac, die sich selbst ein Zertifikat erzeugen, dass dann logischerweise nicht von einer offiziellen Autorisierungsinstanz zertifiziert sein kann. Dazu gehören die Kerberos-Zertifikate für die Verschlüsselung bestimmter Elemente im Netzwerkverkehr ebenso wie SSL-Zertifikate für den Apache Webserver oder Zertifikate die man sich selbst mit Hilfe des Schlüsselbunds erstellt.
Nachdem diese Zertifikate teilweise von der Installation des OS X abhängig sind, kann es je nach Installation und Patchlevel auch zu mehreren dieser Einträge kommen. Z.Bsp. wird nach einem größeren Update des Systems, bei dem auch Komponenten ausgetauscht werden, die auch solche Zertifikate zurückgreifen, das alte Zertifikat invalidiert und ein neues generiert.
Nicht zuletzt hat jedes dieser selbst-signierten Zertifikate auch eine gewisse Lebensdauer. Nach Ablauf dieser Zeit würde das Zertifikat automatisch ungültig. Löschen darf man es deshalb noch lange nicht, weil sonst Dokumente die darauf basieren (und nicht auf dem Nachfolger-Key) nicht mehr lesbar wären.
In der Realität ist der letzte Absatz allerdings eher theoretischer Natur, dann a) ist die Lebensdauer der meisten Zertifikate 20 Jahre (die vermutlich kein Gerät je erlebt, geschweige denn die Installation des Betriebssystems) und b) werden mit den selbst-signierten Zertifikaten keine Daten verschlüsselt, die ohne Schlüssel nicht mehr lesbaren wären. (Das passiert – meines Wissens – heute nur bei PGP – und deren Schlüsseln sind nicht selbst-signiert.)
Eine letzte Anmerkung: Wenn ein Zertifikat als nicht-vertrauenswürdig markiert ist und bei dem Punkt “Kritisch” (kurz vor dem Fingerprint gaanz unten) “JA” steht, *dann* sollte man sich doch eben mal kurz Gedanken machen, a) woher das Zertifikat kommt und b) welche Daten damit abgegriffen wurden. Das habe ich schon mehrfach gesehen und ist fast immer auf Phising zurückzuführen. Eine Übertragung von Daten wird mit einem seriös aussehenden selbst-signierten Zertifikat versehen, damit der Benutzer – der sich mit Zertifikaten im Regelfall nicht auskennt – die Übertragung durchwinkt.
(
@Asmus, Wolf: Vielen Dank für Eure hilfreichen Erläuterungen!