Центры сертификации

Центр сертификации (CA) — это доверенная организация, которая выдаёт сертификаты и подписывает их цифровой подписью.

Подписывая сертификат, CA заявляет: мы проверили эту идентичность, и Вы можете доверять этому открытому ключу.

Браузеры и операционные системы поставляются со встроенным списком доверенных корневых CA.

Поскольку все уже доверяют этим корневым центрам, сертификат, подписанный ими, автоматически считается доверенным без ручной настройки.

CA работают по иерархической структуре:

• Корневой CA хранится в автономном режиме и используется редко; это высший якорь доверия.
• Промежуточные CA подписаны корневым центром и выполняют повседневную работу по подписанию.

Это защищает ценный корневой ключ от раскрытия.

CA проверяют идентичность с разной степенью тщательности:

• Проверка домена (DV) подтверждает только контроль над доменом.
• Проверка организации (OV) подтверждает существование организации.
• Расширенная проверка (EV) включает тщательную юридическую проверку.

При проверке домена CA просит подтвердить контроль над доменом — обычно разместив токен по определённому веб-адресу или добавив запись DNS.

Общедоступный CA, например коммерческий поставщик, признаётся доверенным браузерами по всему миру.

Внутренний CA управляется организацией для собственных устройств и сервисов. Его корневой сертификат необходимо вручную установить на каждом клиенте, который должен ему доверять.

Let's Encrypt — это бесплатный автоматизированный общедоступный CA. Он использует протокол ACME, поэтому клиенты могут запрашивать и продлевать сертификаты без участия человека.

Список доверенных корневых CA хранится в хранилище доверия.

• Операционные системы поддерживают системное хранилище доверия.
• Браузеры могут использовать собственное хранилище.

Во многих системах Linux можно просмотреть доверенные корневые сертификаты.

Если ключ подписи CA украден или CA выдаёт мошеннические сертификаты, вся модель доверия разрушается.

Из-за инцидентов в прошлом браузеры начинали отвергать целые CA, немедленно делая недействительными все их сертификаты. Поэтому безопасность CA имеет первостепенное значение.

Прозрачность сертификатов (CT) требует от CA заносить сведения о каждом выданном сертификате в общедоступные журналы, в которые можно только добавлять записи.

Это позволяет владельцам доменов обнаруживать сертификаты, выданные для их домена без разрешения, и выявлять незаконные или ошибочно выданные сертификаты.

При выборе CA учитывайте:

• Охват доверия в браузерах и на устройствах
• Поддержку автоматизации (ACME)
• Необходимый уровень проверки (DV/OV/EV)
• Стоимость и поддержку

Почему используются промежуточные CA, а не всё подписывается корневым CA?

Вы узнали, что центры сертификации выдают и подписывают сертификаты, которым доверяют браузеры.

• Доверие передаётся от автономных корневых CA через промежуточные CA.
• Проверка бывает трёх уровней: DV, OV и EV.
• Журналы прозрачности сертификатов помогают обнаруживать ошибочную выдачу.

Далее мы проследим цепочку доверия от конечного сертификата до корневого.