Autoridades certificadoras

Uma Autoridade de Certificação (CA) é uma organização confiável que emite e assina certificados digitalmente.

Quando uma CA assina um certificado, ela está afirmando: verificamos esta identidade, e você pode confiar nesta chave pública.

Navegadores e sistemas operacionais vêm com uma lista integrada de CAs raiz confiáveis.

Como todos já confiam nessas raízes, um certificado assinado por elas é automaticamente confiável, sem configuração manual.

As CAs operam em uma hierarquia:

• A CA raiz é mantida desconectada e raramente usada; ela é a âncora de confiança definitiva.
• As CAs intermediárias são assinadas pela raiz e realizam as assinaturas do dia a dia.

Isso protege a valiosa chave raiz contra exposição.

As CAs verificam a identidade com diferentes níveis de rigor:

• A Validação de Domínio (DV) prova apenas o controle de um domínio.
• A Validação da Organização (OV) verifica se a organização existe.
• A Validação Estendida (EV) realiza uma verificação jurídica aprofundada.

Para a Validação de Domínio, a CA solicita que você prove que controla o domínio, geralmente disponibilizando um valor de verificação em uma URL ou adicionando um registro DNS.

Uma CA pública, como um provedor comercial, é confiável para navegadores em todo o mundo.

Uma CA privada é administrada internamente por uma organização para seus próprios dispositivos e serviços. Sua raiz deve ser instalada manualmente em todo cliente que deva confiar nela.

Let's Encrypt é uma CA pública gratuita e automatizada. Ela usa o protocolo ACME para que os clientes possam solicitar e renovar certificados sem interação humana.

A lista de CAs raiz confiáveis fica em um repositório de confiança.

• Os sistemas operacionais mantêm um repositório de confiança do sistema.
• Os navegadores podem usar o próprio repositório.

Você pode inspecionar as raízes confiáveis em muitos sistemas Linux.

Se a chave de assinatura de uma CA for roubada ou se ela emitir certificados fraudulentos, todo o modelo de confiança será comprometido.

Incidentes anteriores levaram os navegadores a deixar de confiar em CAs inteiras, invalidando instantaneamente todos os seus certificados. Por isso, a segurança das CAs é primordial.

A Transparência de Certificados (CT) exige que as CAs registrem cada certificado emitido em registros públicos aos quais só é possível adicionar entradas.

Isso permite que os proprietários de domínios detectem certificados emitidos para seus domínios sem autorização, identificando certificados fraudulentos ou emitidos incorretamente.

Ao escolher uma CA, considere:

• Abrangência da confiança entre navegadores e dispositivos
• Suporte à automação (ACME)
• Nível de validação necessário (DV/OV/EV)
• Custo e suporte

Você aprendeu que as Autoridades de Certificação emitem e assinam certificados nos quais os navegadores confiam.

• A confiança parte das raízes desconectadas e passa pelas intermediárias.
• A validação tem os níveis DV, OV e EV.
• Os registros de Transparência de Certificados identificam emissões incorretas.

A seguir, acompanharemos a cadeia de confiança de um certificado folha até a raiz.