Überprüfen der RSA-Schlüsselverwendung für Serverzertifikate, die von lokalen Vertrauensankern ausgestellt wurden (veraltet)

VERALTET: Diese Richtlinie ist veraltet und funktioniert nach Microsoft Edge Version 135 nicht mehr.

Die X.509-Schlüsselverwendungserweiterung gibt an, wie der Schlüssel in einem Zertifikat
verwendet werden kann. Diese Anweisungen stellen sicher, dass Zertifikate nicht in einem unbeabsichtigten
Kontext verwendet werden. Dies schützt vor einer Reihe von protokollübergreifenden Angriffen über HTTPS und
andere Protokolle. HTTPS-Clients müssen überprüfen, ob die Serverzertifikate mit den
TLS-Parametern der Verbindung übereinstimmen.

Ab Microsoft Edge 124 ist diese
Überprüfung immer aktiviert.

Microsoft Edge 123 und früher haben das
folgende Verhalten:

Wenn diese Richtlinie aktiviert ist,
führt Microsoft Edge diese
Schlüsselüberprüfung aus. Dies hilft, Angriffe zu verhindern, bei denen ein Angreifer den Browser so manipuliert,
dass ein Schlüssel auf eine Art und Weise interpretiert wird, die der Zertifikatsinhaber nicht vorgesehen hat.

Wenn diese Richtlinie auf „Deaktiviert“ festgelegt ist,
überspringt Microsoft Edge diese Schlüsselüberprüfung in
HTTPS-Verbindungen, die TLS 1.2 aushandeln und ein RSA-Zertifikat verwenden, das
an einen lokalen Vertrauensanker gekoppelt ist. Beispiele für lokale Vertrauensanker sind
von der Richtlinie bereitgestellte oder vom Benutzer installierte Stammzertifikate. In allen anderen Fällen wird die
Überprüfung unabhängig von der Einstellung dieser Richtlinie durchgeführt.

Wenn diese Richtlinie nicht konfiguriert ist,
verhält sich Microsoft Edge so, als ob die
Richtlinie aktiviert ist.

Mit dieser Richtlinie erhalten Admins eine Vorschau auf das Verhalten einer
zukünftigen Version, in der diese Überprüfung standardmäßig aktiviert wird. Zu diesem Zeitpunkt wird diese
Richtlinie vorübergehend für Admins verfügbar bleiben, die mehr
Zeit benötigen, um ihre Zertifikate zu aktualisieren, damit sie den neuen RSA-Schlüsselverwendungsanforderungen entsprechen.

Verbindungen, die diese Überprüfung nicht bestehen, scheitern mit der Fehlermeldung
ERR_SSL_KEY_USAGE_INCOMPATIBLE. Websites, bei denen dieser Fehler auftritt, haben wahrscheinlich ein
falsch konfiguriertes Zertifikat. Moderne ECDHE_RSA-Chiffre-Suiten verwenden die
Schlüsselverwendungsoption „digitalSignature“, während ältere RSA-Entschlüsselungs-Chiffre-Suiten
die Schlüsselverwendungsoption „keyEncipherment“ verwenden. Im Zweifelsfall sollten Admins
beide RSA-Zertifikate für HTTPS einschließen.

Die Richtlinie ist ab Microsoft Edge Version 136 veraltet,
aber die Schlüsselüberprüfung ist seit Microsoft Edge Version 124 immer aktiviert.