Da es immer noch jede Menge IT-Profis gibt, die es nicht verstaden haben. Hier eine einfache Erklärung.

Die Zertifizierungsstelle (CA) stellt das offizielle Zertifikat (.crt) auf Basis des Server-Keys (.key) aus. Dieser private Schlüssel (.key) kann entweder direkt von der CA generiert oder vom Server an die CA übergeben werden. Sie prüft die Identität, bürgt mit ihrer eigenen Autorität für die Vertrauenswürdigkeit und signiert das Zertifikat (.crt).

Der Client holt sich dieses .crt vom Server, um die Daten vor dem Absenden zu verschlüsseln und somit abzusichern. Mit den in der Zertifikatsdatei enthaltenen öffentlichen Informationen verschlüsselt der Client die Nachricht, die er an den Server senden will.

Der Client wirft die verschlüsselten Daten über das Netzwerk beim Server ein.

Der Server entschlüsselt die Daten am Ende wieder mit seinem privaten Schlüssel (.key).

Ohne die CA gäbe es kein vertrauenswürdiges .crt – und ohne den passenden .key, der als einziges Gegenstück zum .crt existiert, kann der Server die Daten nicht entschlüsseln. Genau deshalb verweigert eine Appliance ohne die .key-Datei jede Zusammenarbeit, da sie die empfangenen Daten nicht entschlüsseln kann. Die Geburt des Zertifikats ist somit das Key-File des Servers. Das Key-File kann man am Server schon haben, oder lässte man von der CA erstellen und überträgt es dann an den Server.