Urzędy certyfikacji

Urząd certyfikacji (CA) to zaufana organizacja, która wystawia i podpisuje cyfrowo certyfikaty.

Podpisując certyfikat, urząd certyfikacji potwierdza: zweryfikowaliśmy tę tożsamość, więc można zaufać temu kluczowi publicznemu.

Przeglądarki i systemy operacyjne zawierają wbudowaną listę zaufanych głównych urzędów certyfikacji.

Ponieważ wszyscy ufają już tym certyfikatom głównym, certyfikat podpisany przez jeden z nich jest automatycznie uznawany za zaufany, bez konieczności ręcznej konfiguracji.

Urzędy certyfikacji działają hierarchicznie:

• Główny urząd certyfikacji jest przechowywany offline i rzadko używany; stanowi ostateczną kotwicę zaufania.
• Pośrednie urzędy certyfikacji są podpisywane przez urząd główny i zajmują się codziennym podpisywaniem.

Chroni to cenny klucz główny przed ujawnieniem.

Urzędy certyfikacji weryfikują tożsamość na różnych poziomach rygoru:

• Weryfikacja domeny (DV) potwierdza tylko kontrolę nad domeną.
• Weryfikacja organizacji (OV) potwierdza, że organizacja istnieje.
• Rozszerzona weryfikacja (EV) obejmuje szczegółową weryfikację prawną.

W przypadku weryfikacji domeny urząd certyfikacji prosi o potwierdzenie kontroli nad domeną, często przez udostępnienie tokenu pod adresem URL lub dodanie rekordu DNS.

Publiczny urząd certyfikacji (na przykład dostawca komercyjny) jest globalnie zaufany przez przeglądarki.

Prywatny urząd certyfikacji jest prowadzony wewnętrznie przez organizację na potrzeby jej własnych urządzeń i usług. Jego certyfikat główny trzeba ręcznie zainstalować na każdym kliencie, który powinien mu ufać.

Let's Encrypt to bezpłatny, zautomatyzowany publiczny urząd certyfikacji. Wykorzystuje protokół ACME, dzięki czemu klienci mogą żądać certyfikatów i odnawiać je bez udziału człowieka.

Lista zaufanych głównych urzędów certyfikacji znajduje się w magazynie zaufania.

• Systemy operacyjne utrzymują systemowy magazyn zaufania.
• Przeglądarki mogą korzystać z własnego magazynu.

W wielu systemach Linux można wyświetlić zaufane certyfikaty główne.

Jeśli klucz podpisujący urzędu certyfikacji zostanie skradziony lub urząd wystawi fałszywe certyfikaty, cały model zaufania przestaje działać.

Wcześniejsze incydenty doprowadziły do wycofania zaufania do całych urzędów certyfikacji przez przeglądarki, co natychmiast unieważniło wszystkie ich certyfikaty. Dlatego bezpieczeństwo urzędów certyfikacji ma kluczowe znaczenie.

Certificate Transparency (CT) wymaga od urzędów certyfikacji rejestrowania każdego wystawionego certyfikatu w publicznych dziennikach, do których można tylko dopisywać.

Dzięki temu właściciele domen mogą wykrywać certyfikaty wystawione dla ich domen bez zezwolenia, a także wykrywać certyfikaty wystawione nieprawidłowo lub przez nieuprawnione podmioty.

Przy wyborze urzędu certyfikacji należy uwzględnić:

• Zakres zaufania w przeglądarkach i na urządzeniach
• Obsługę automatyzacji (ACME)
• Wymagany poziom weryfikacji (DV/OV/EV)
• Koszt i pomoc techniczną

Dlaczego używa się pośrednich urzędów certyfikacji zamiast podpisywać wszystko głównym urzędem certyfikacji?

Wiesz już, że urzędy certyfikacji wystawiają i podpisują certyfikaty, którym ufają przeglądarki.

• Zaufanie przepływa z przechowywanych offline certyfikatów głównych przez certyfikaty pośrednie.
• Weryfikacja obejmuje poziomy DV, OV i EV.
• Certificate Transparency pomaga wykrywać nieprawidłowe wystawienia certyfikatów.

Następnie prześledzimy łańcuch zaufania od certyfikatu końcowego do certyfikatu głównego.