Sertifika Yetkilileri

Sertifika Yetkilisi (CA), sertifikaları düzenleyen ve dijital olarak imzalayan güvenilir bir kuruluştur.

Bir CA sertifikayı imzaladığında şu güvenceyi verir: bu kimliği doğruladık ve bu açık anahtara güvenebilirsiniz.

Tarayıcılar ve işletim sistemleri, güvenilir kök CA'lerin yerleşik bir listesiyle birlikte gelir.

Herkes bu köklere zaten güvendiği için bunlar tarafından imzalanan bir sertifikaya elle yapılandırma yapılmadan otomatik olarak güvenilir.

CA'ler bir hiyerarşi içinde çalışır:

• Kök CA çevrimdışı tutulur ve nadiren kullanılır; nihai güven çapasını oluşturur.
• Ara CA'ler kök tarafından imzalanır ve günlük imzalama işlemlerini gerçekleştirir.

Bu yapı, değerli kök anahtarın açığa çıkmasını önler.

CA'ler kimlikleri farklı titizlik düzeylerinde doğrular:

• Alan Adı Doğrulaması (DV) yalnızca bir alan adının denetiminin sizde olduğunu kanıtlar.
• Kuruluş Doğrulaması (OV) kuruluşun var olduğunu doğrular.
• Genişletilmiş Doğrulama (EV) kapsamlı bir hukuki inceleme gerçekleştirir.

Alan Adı Doğrulaması için CA, alan adını denetlediğinizi kanıtlamanızı ister. Bu işlem genellikle bir URL'de belirteç sunarak veya bir DNS kaydı ekleyerek yapılır.

Genel bir CA (ticari bir sağlayıcı gibi) dünya genelindeki tarayıcılar tarafından güvenilir.

Özel bir CA, bir kuruluş tarafından kendi cihazları ve hizmetleri için kurum içinde işletilir. Bu CA'nin kökü, ona güvenmesi gereken her istemciye elle yüklenmelidir.

Let's Encrypt ücretsiz ve otomatik bir genel CA'dir. İstemcilerin insan müdahalesi olmadan sertifika talep edip yenileyebilmesi için ACME protokolünü kullanır.

Güvenilir kök CA'lerin listesi bir güven deposunda bulunur.

• İşletim sistemleri bir sistem güven deposu tutar.
• Tarayıcılar kendi güven depolarını kullanabilir.

Birçok Linux sistemindeki güvenilir kökleri inceleyebilirsiniz.

Bir CA'nin imzalama anahtarı çalınırsa veya CA sahte sertifikalar düzenlerse tüm güven modeli çöker.

Geçmişteki olaylar, tarayıcıların CA'lerin tamamına güvenmemesine ve bu CA'lerin tüm sertifikalarını anında geçersiz kılmasına yol açtı. CA güvenliğinin en üst düzeyde önem taşımasının nedeni budur.

Sertifika Şeffaflığı (CT), CA'lerin düzenledikleri her sertifikayı herkese açık ve yalnızca ekleme yapılabilen kayıtlara kaydetmesini gerektirir.

Bu sayede alan adı sahipleri, alan adları için izinsiz düzenlenen sertifikaları tespit edebilir ve kötü amaçlı veya hatalı düzenlenen sertifikaları yakalayabilir.

Bir CA seçerken şunları değerlendirin:

• Tarayıcılar ve cihazlar genelindeki güven kapsamı
• Otomasyon desteği (ACME)
• Gerekli doğrulama düzeyi (DV/OV/EV)
• Maliyet ve destek

Sertifika Yetkililerinin, tarayıcıların güvendiği sertifikaları düzenleyip imzaladığını öğrendiniz.

• Güven, çevrimdışı köklerden ara yetkililere doğru ilerler.
• Doğrulama DV, OV ve EV düzeylerinde yapılır.
• Sertifika Şeffaflığı kayıtları hatalı düzenlemeleri yakalar.

Sırada, yaprak sertifikadan köke uzanan güven zincirini izleyeceğiz.