Varmentajat ja luottamusketjut

Epäsymmetrinen salaus on hyödyllistä vain, jos voitte luottaa siihen, että julkinen avain todella kuuluu henkilölle tai taholle, jolle luulette sen kuuluvan. Ilman luottamusmekanismia hyökkääjä voi siepata pyyntönne jonkun julkisesta avaimesta ja korvata sen omallaan – kyseessä on klassinen välistävetohyökkäys. Julkisen avaimen infrastruktuuri (Public Key Infrastructure, PKI) ratkaisee tämän luottamusongelman ottamalla käyttöön varmentajan (Certificate Authority, CA) – luotetun kolmannen osapuolen, joka allekirjoittaa digitaalisesti varmenteita ja sitoo julkiset avaimet varmennettuihin henkilöllisyyksiin. Jos luotatte varmentajaan, voitte luottaa kaikkiin, joiden varmenteet se on myöntänyt.

Varmentaja (Certificate Authority, CA) on organisaatio, joka myöntää digitaalisia varmenteita varmennettuaan varmenteen pyytäjän henkilöllisyyden. CA allekirjoittaa jokaisen varmenteen omalla yksityisellä avaimellaan, joten kaikki CA:han luottavat voivat tarkistaa varmenteen aitouden CA:n julkisella avaimella. Varmentajia on kahta tyyppiä: julkiset varmentajat (kuten DigiCert, GlobalSign ja Let's Encrypt), joiden juurivarmenteet on asennettu valmiiksi käyttöjärjestelmiin ja selaimiin, sekä yksityiset (sisäiset) varmentajat, joita organisaatiot ylläpitävät itse sisäisten varmenteiden myöntämistä varten (VPN:t, sisäiset palvelut ja laitevarmenteet).

Juurivarmentaja (Root CA) on PKI-hierarkian ylin auktoriteetti. Juurivarmenteet ovat itseallekirjoitettuja – niiden aitoutta ei ole vahvistamassa ylempää auktoriteettia. Juurivarmenteisiin luotetaan sen sijaan siksi, että käyttöjärjestelmien toimittajat (Microsoft, Apple ja Mozilla) arvioivat juurivarmentajat perusteellisilla auditoinneilla ja asentavat niiden varmenteet valmiiksi luotettujen varmenteiden säilöihin. Tyypillisen selaimen luotettujen varmenteiden säilössä on noin 130–150 luotettua juurivarmentajaa. Jos juurivarmentaja vaarantuu, kaikkia sen koskaan myöntämiä varmenteita on pidettävä epäilyttävinä. Siksi juurivarmentajien yksityiset avaimet säilytetään offline-tilassa ja fyysisesti eristetyissä laitteistoturvamoduuleissa (HSM).

Juurivarmentajat myöntävät harvoin varmenteita suoraan loppuentiteeteille. Sen sijaan ne luovat välivarmentajia (Intermediate CA) myöntämällä varmenteita välivarmentajien ylläpitäjille. Välivarmentajat myöntävät sitten loppuentityjen varmenteita (kuten HTTPS-palvelinvarmenteita). Tämä delegointihierarkia palvelee useita tarkoituksia: se suojaa juurivarmentajan yksityisiä avaimia pitämällä ne offline-tilassa (jos välivarmentaja vaarantuu, vain sen varmennusketju kumotaan, ei koko juurta); se mahdollistaa eri käyttötarkoituksiin erikoistuneet varmentajat (koodin allekirjoittaminen verrattuna TLS:ään); ja se mahdollistaa organisaatiohierarkian yksityisessä PKI:ssä.

Varmenneketju (tai luottamusketju) on varmenteiden sarja loppuentityn varmenteesta takaisin luotettuun juurivarmentajaan. Tyypillisellä HTTPS-sivustolla ketju on: loppuentityn varmenne (esim. *.google.com) → välivarmentajan varmenne (esim. Google Trust Services WR2) → juurivarmentajan varmenne (esim. Google Trust Services LLC). Kun selaimenne avaa sivuston, se tarkistaa koko ketjun: se varmistaa, että kunkin varmenteen allekirjoitti sitä ylemmällä tasolla oleva varmenne ja että juuri löytyy luotettujen varmenteiden säilöstä. Mikä tahansa katkos tässä ketjussa aiheuttaa varmennevirheen.

Kun kaksi erillistä PKI-hierarkiaa tarvitsee keskinäisen luottamuksen, ne käyttävät ristiinvalidointia. Kumpikin varmentaja myöntää varmenteen toisen juurelle, mikä muodostaa luottamuksen molempiin suuntiin. Siltavarmentaja (Bridge CA) on keskitetty solmukohtana toimiva varmentaja, joka tekee ristiinvalidoinnin useiden toimialueiden varmentajien kanssa ja luo luottamusverkon eri organisaatioiden tai virastojen välille. Yhdysvaltain liittovaltion siltavarmentaja yhdistää useita liittovaltion hallinnon PKI-järjestelmiä. Ristiinvalidointia on monimutkaista hallita, mutta sitä tarvitaan organisaatioiden yhdistyessä tai virastojen välistä luottamusta perustettaessa ilman, että kaikki alistetaan yhdelle hierarkialle.

Rekisteröintiviranomainen (Registration Authority, RA) on taho, joka tarkistaa henkilöllisyyden CA:n puolesta mutta ei itse myönnä varmenteita. RA vastaanottaa varmennuspyynnöt, tarkistaa hakijan henkilöllisyyden (varmenteen tyypin mukaan esimerkiksi asiakirjojen tarkistuksella, toimialueen validoinnilla tai henkilökohtaisella tunnistamisella) ja välittää hyväksytyt pyynnöt CA:lle allekirjoitettaviksi. Tämän delegoinnin ansiosta CA:t voivat kasvattaa myöntämiskapasiteettiaan tekemättä itse kaikkia tarkistuksia. Yrityksen PKI:ssä RA voi olla esimerkiksi henkilöstöosasto tai IT-tukipalvelu, joka vahvistaa työntekijöiden varmennuspyynnöt.

CA:t tarjoavat varmenteita eri validointitasoilla sen mukaan, kuinka perusteellisesti pyytäjän henkilöllisyys on tarkistettu. Toimialueen validointi (Domain Validation, DV): CA tarkistaa vain, että pyytäjä hallitsee toimialuetta (automaattinen prosessi, kestää minuutteja, käytössä esimerkiksi Let's Encryptillä). Organisaation validointi (Organization Validation, OV): CA tarkistaa organisaation oikeudellisen olemassaolon (1–3 arkipäivää). Laajennettu validointi (Extended Validation, EV): perusteellisin tarkistus – oikeudellinen henkilöllisyys, fyysinen osoite ja toiminnan olemassaolo (1–2 viikkoa; käytettiin aiemmin vihreän yritysnimen näyttämiseen selaimen osoiterivillä). DV riittää perustason salaukseen; EV soveltuu arvokkaille kohteille, kuten pankkisivustoille.

Varmenteen kiinnitys on tekniikka, jossa sovellus ohjelmoidaan luottamaan vain tiettyyn varmenteeseen tai CA:han minkä tahansa luotetun juurivarmentajan myöntämän varmenteen sijaan. Tämä estää välistävetohyökkäykset, vaikka hyökkääjä hankkisi vilpillisen varmenteen luotetulta CA:lta. Mobiilisovellukset ja tietoturvan kannalta herkät sovellukset käyttävät kiinnitystä varmistaakseen, että ne hyväksyvät vain omien palvelintensa varmenteet. Haittapuolena on, että jos kiinnitetty varmenne vanhenee tai vaihdetaan, sovellus lakkaa toimimasta, kunnes se päivitetään. HPKP (HTTP Public Key Pinning) oli selainpohjainen kiinnitysmekanismi, jonka käyttö on lopetettu virheellisten käyttöönottojen riskien vuoksi.

Organisaatiot ylläpitävät omaa yksityistä CA:ta sisäisiä varmennetarpeita varten – VPN-asiakkaiden todentamiseen, sisäisten HTTPS-palveluiden varmenteiden myöntämiseen, koodin allekirjoittamiseen ja laitteiden todentamiseen. Microsoftin Active Directory Certificate Services (AD CS) on yleisin yritysten yksityinen CA. Sisäisen CA:n varmenteet on jaettava kaikille laitteille ja selaimille, joiden on luotettava sisäisesti myönnettyihin varmenteisiin, yleensä ryhmäkäytännön avulla. Yksityiset CA:t eivät voi myöntää varmenteita, joihin julkinen internet luottaa – niiden käyttö rajoittuu organisaation laitteisiin, joihin yksityisen CA:n juurivarmenne on asennettu.

DigiNotarin vaarantuminen (2011) on tärkein CA-incidentti, joka Security+ -kokelaiden tulee tuntea. Alankomaalainen CA DigiNotar joutui hyökkäyksen kohteeksi, ja hyökkääjät myönsivät vilpillisiä varmenteita Googlen, Mozillan ja hallinnon toimialueille. Niitä käytettiin Iranissa kansalaisiin kohdistuneisiin välistävetohyökkäyksiin. Seurauksena kaikki merkittävät selain- ja käyttöjärjestelmätoimittajat poistivat DigiNotarin välittömästi luotettujen juurivarmenteiden säilöistään, mikä mitätöi kaikki DigiNotarin koskaan myöntämät varmenteet. DigiNotar ajautui konkurssiin muutamassa viikossa. Tapaus osoitti, että CA:n vaarantuminen on katastrofaalista, ja siksi CAA DNS -tietueita, Certificate Transparency -järjestelmää ja monivaiheista tunnistautumista CA-järjestelmissä edellytetään nykyään.

Tällä oppitunnilla opitte, että varmenteiden myöntäjät yhdistävät julkiset avaimet varmennettuihin identiteetteihin; luottamusketju kulkee loppuentiteetistä välittäjien CA:iden kautta itse allekirjoitettuun juurivarmenteeseen; juuri-CA:t säilytetään offline-tilassa HSM-laitteissa, ja käyttöjärjestelmät luottavat niihin ennalta; lisäksi CA:n vaarantuminen (DigiNotar) voi mitätöidä miljoonia varmenteita. Seuraavaksi tutustumme aiheeseen X.509-varmenteen rakenne.