PKI softecture AG

Interne PKI der softecture AG. Hier liegen das Root-Zertifikat und die Zertifikatsketten der ausstellenden CAs. Wer dem Root-Zertifikat vertraut, vertraut allen Zertifikaten dieser PKI; installieren Sie es nur auf Geräten, die Dienste der softecture AG nutzen.

Root-Zertifikat

softecture Root CA, gültig bis 2044-10-16

Download: root.cer (DER) · root.pem (PEM)

SHA-256-Fingerprint:

49:DE:2A:0C:88:37:4F:26:C6:FD:D6:17:AA:B2:8F:46:A2:09:AE:81:51:FE:2D:8D:3D:05:55:67:74:21:58:E4

Vergleichen Sie den Fingerprint vor der Installation mit dem der heruntergeladenen Datei:

openssl x509 -in root.pem -noout -fingerprint -sha256
certutil -hashfile root.cer SHA256    (Windows, Ausgabe ohne Doppelpunkte)

Ketten der ausstellenden CAs

Jede Kette enthält das CA-Zertifikat und das Root-Zertifikat. Server liefern ihr eigenes Zertifikat zusammen mit der Kette ihrer CA aus.

CA	Status	gültig bis	Kette
softecture Email CA 2026	in Betrieb	2033-10-28	PEM · PKCS #7
softecture Software CA 2026	in Betrieb	2033-10-28	PEM · PKCS #7
softecture TLS CA 2026	in Betrieb	2033-10-28	PEM · PKCS #7

Root-Zertifikat installieren

Windows

root.cer öffnen, „Zertifikat installieren“, Speicherort „Lokaler Computer“, Speicher „Vertrauenswürdige Stammzertifizierungsstellen“. Oder in einer PowerShell als Administrator:

Import-Certificate -FilePath root.cer -CertStoreLocation Cert:\LocalMachine\Root

macOS

sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain root.cer

Linux (Debian, Ubuntu) und Proxmox VE

sudo cp root.pem /usr/local/share/ca-certificates/softecture-root.crt
sudo update-ca-certificates

Proxmox VE: zusätzlich auf jedem Knoten. Ein Serverzertifikat für die Weboberfläche wird unter „Knoten → System → Zertifikate → Eigenes Zertifikat hochladen“ mit der Kette der TLS-CA hinterlegt.

Linux (Fedora)

sudo cp root.pem /etc/pki/ca-trust/source/anchors/softecture-root.pem
sudo update-ca-trust

Firefox

Einstellungen → Datenschutz & Sicherheit → Zertifikate anzeigen → Zertifizierungsstellen → Importieren, root.pem wählen und „Dieser CA vertrauen, um Websites zu identifizieren“ setzen. Unter Windows und macOS übernimmt Firefox alternativ den Systemspeicher, wenn security.enterprise_roots.enabled aktiv ist.

Android

Einstellungen → Sicherheit → Verschlüsselung und Anmeldedaten → Zertifikat installieren → CA-Zertifikat, dann root.cer wählen (Menünamen je nach Hersteller). Apps vertrauen solchen Zertifikaten nur, wenn sie es vorsehen.

iOS und iPadOS

root.cer in Safari laden, unter Einstellungen → „Profil geladen“ installieren und danach unter Allgemein → Info → Zertifikatsvertrauenseinstellungen das volle Vertrauen einschalten.

Schlüssel und Zertifikatsantrag (CSR) erzeugen

Das System erzeugt keine Schlüssel. Erzeugen Sie Schlüssel und CSR auf dem Gerät, das das Zertifikat nutzt; der private Schlüssel verlässt dieses Gerät nicht. Den CSR reichen Sie in der PKI-Oberfläche ein.

OpenSSL (Linux, macOS)

openssl req -new -newkey rsa:3072 -noenc -keyout server.key -out server.csr -subj "/CN=server.home.lan"
chmod 600 server.key

Für einen ECDSA-Schlüssel: -newkey ec -pkeyopt ec_paramgen_curve:P-256 statt -newkey rsa:3072.

Windows (certreq)

Datei request.inf:

[NewRequest]
Subject = "CN=server.home.lan"
KeyAlgorithm = RSA
KeyLength = 3072
Exportable = FALSE
MachineKeySet = TRUE
RequestType = PKCS10

certreq -new request.inf server.csr

Das ausgestellte Zertifikat wird mit certreq -accept server.cer zum Schlüssel gespeichert.