X.509-certifikatets struktur

Ett X.509-certifikat är ett standardiserat digitalt dokument som kopplar en publik nyckel till en identitet. X.509-standarden (som definieras i RFC 5280) anger det format, de fält och de tillägg som används i digitala certifikat över hela världen. Alla TLS/HTTPS-certifikat, S/MIME-e-postcertifikat, kodsigneringscertifikat och certifikat för klientautentisering följer X.509-formatet. Genom att förstå strukturen hos ett X.509-certifikat blir det lättare att läsa certifikatinformation, felsöka certifikatfel och fatta välgrundade beslut om hur certifikat distribueras och valideras.

De första fälten i ett X.509-certifikat fastställer dess grundläggande identitet. Version: X.509 v3 är den aktuella standarden (v3 lade till tillägg). Serienummer: ett unikt heltal som tilldelas av den utfärdande CA:n och identifierar just det här certifikatet — används i CRL:er (spärrlistor) för att återkalla enskilda certifikat. Signaturalgoritm: anger vilken algoritm CA:n använde för att signera certifikatet (t.ex. sha256WithRSAEncryption eller ecdsa-with-SHA256). Det här fältet förekommer två gånger: en gång i TBSCertificate och en gång i det yttre signaturomslaget — de måste överensstämma.

Två av de viktigaste fälten i ett certifikat fastställer vilka parter som berörs. Fältet Issuer identifierar den CA som signerade certifikatet (t.ex. CN=DigiCert Global CA G2, O=DigiCert Inc, C=US). Fältet Subject identifierar den enhet som certifikatet utfärdades till (t.ex. CN=*.example.com, O=Example Corp, C=US). För ett TLS-certifikat anger Common Name (CN) i Subject eller tillägget Subject Alternative Name (SAN) vilka domännamn certifikatet gäller för. Webbläsare jämför det begärda värdnamnet med dessa fält.

Giltighetsperioden anger när certifikatet är aktivt. Den består av två tidsstämplar: notBefore (certifikatet är ännu inte giltigt före detta datum) och notAfter (certifikatet har gått ut efter detta datum). TLS-klienter kontrollerar att den aktuella tiden ligger inom detta intervall. Certifikat som används utanför sin giltighetsperiod orsakar ett certifikatfel i webbläsare och måste förnyas. Modern bästa praxis är att utfärda kortlivade certifikat (90 dagar, som Let's Encrypt gör) för att begränsa exponeringen om en privat nyckel komprometteras mellan utfärdandet och utgångsdatumet.

Certifikatets centrala innehåll är fältet Subject Public Key Info, som innehåller den publika nyckel som certifieras och anger vilken algoritm den används med. För ett RSA-certifikat innehåller det här fältet modulen och exponenten för RSA:s publika nyckel samt dess bitlängd (2048, 4096). För ett ECC-certifikat innehåller det kurvans namn (t.ex. prime256v1) och den publika nyckelpunkten. CA:n genererar inte detta nyckelpar — certifikatbegäraren genererar sitt eget nyckelpar och skickar endast den publika nyckeln i en Certificate Signing Request (CSR).

X.509 v3 införde tillägg som utökar certifikatens funktioner avsevärt. Tillägg kan vara kritiska (en klient som inte kan behandla tillägget måste avvisa certifikatet) eller icke-kritiska (kan ignoreras om de inte förstås). Viktiga tillägg är bland andra: Subject Alternative Name (SAN) — ytterligare domännamn eller IP-adresser som certifikatet omfattar; Key Usage — begränsar vilka åtgärder nyckeln får användas för (digital signatur, nyckelkryptering); Extended Key Usage — begränsar användningsområdet ytterligare (TLS-serverautentisering, klientautentisering, kodsignering); och Basic Constraints — anger om subjektet är en CA.

Historiskt användes fältet Common Name (CN) i Subjects distinguished-fält för det primära domännamnet. Moderna certifikat använder i stället Subject Alternative Names (SAN), eftersom webbläsare har fasat ut CN-baserad matchning (RFC 2818) till förmån för SAN. SAN gör det möjligt för ett enda certifikat att omfatta flera domäner (multi-SAN-certifikat) eller alla underdomäner till en domän (wildcard-certifikat: *.example.com). SAN-wildcards omfattar endast en nivå — *.example.com omfattar www.example.com men inte sub.www.example.com.

Två viktiga tillägg talar om för klienter hur de ska kontrollera om ett certifikat har återkallats före utgångsdatumet. CRL Distribution Points (CDP): innehåller URL:er där CA:ns Certificate Revocation List kan hämtas. Authority Information Access (AIA): innehåller URL:en till CA:ns OCSP-responder (Online Certificate Status Protocol) för kontroll av återkallelse i realtid. Moderna klienter föredrar OCSP framför nedladdning av CRL:er, eftersom CRL:er kan vara stora filer. CA:ns digitala signatur på OCSP-svar säkerställer att klienterna får äkta information om återkallelsestatus.

X.509-certifikat finns i flera kodningsformat som Ni kommer att stöta på i praktiken. PEM (Privacy Enhanced Mail): base64-kodat DER omslutet av rubrikerna -----BEGIN CERTIFICATE-----. Läsbart för människor och används i Linux/Apache/nginx. DER (Distinguished Encoding Rules): binärt format. Används i Java-applikationer och i vissa Windows-sammanhang. PFX/PKCS#12: ett containerformat som samlar certifikatet, dess kedja och den privata nyckeln i en lösenordsskyddad fil. Används i Windows IIS och när certifikat exporteras tillsammans med sina privata nycklar. P7B/PKCS#7: innehåller endast certifikatkedjan, ingen privat nyckel, och används i Windows certifikatarkiv.

Certificate Transparency (CT) är ett ramverk som kräver att CA:er loggar alla utfärdade certifikat i offentligt granskbara loggar. Det gör det möjligt för vem som helst att övervaka om obehöriga certifikat utfärdas för deras domäner. Chrome och Safari kräver att TLS-certifikat finns med i CT-loggar. SCT (Signed Certificate Timestamp) är ett bevis på att certifikatet finns med i en logg och bäddas in i certifikatet eller levereras via ett TLS-tillägg. CT-loggar avslöjar felaktigt utfärdade certifikat snabbt — om en CA felaktigt utfärdar ett certifikat för er domän ser Ni det i loggar som crt.sh innan angripare hinner utnyttja det.

Den sista komponenten i ett X.509-certifikat är CA:ns digitala signatur. CA:n hashberäknar alla certifikatdata (TBSCertificate) och signerar hashen med sin egen privata nyckel. Det är denna signatur som gör certifikatet tillförlitligt — vem som helst kan verifiera den med CA:ns publika nyckel, som finns i CA:ns eget certifikat. Den signaturalgoritm som används (och anges i signaturfältet) måste överensstämma med det som anges tidigare i certifikatet. Alla ändringar av certifikatet efter signeringen gör signaturen ogiltig och säkerställer därmed certifikatets integritet.

I den här lektionen har Ni lärt er att ett X.509-certifikat innehåller version, serienummer, utfärdare, subjekt, giltighetsperiod, publik nyckel och v3-tillägg; SAN-tillägget styr vilka värdnamn certifikatet omfattar; CDP- och AIA-tillägg pekar på slutpunkter för kontroll av återkallelse; och CT-loggar tillhandahåller offentliga granskningsspår för certifikatutfärdande. Härnäst utforskar vi certifikatets livscykel och återkallelse.