Welche Aufgabe haben Zertifikate und Zertifizierungsstellen?
Какова роль сертификатов и центров сертификации?
Damit das asymmetrische Kryptosystem sinnvoll ist, müssen die Benutzer sicher sein, dass die anderen Parteien, mit denen sie kommunizieren, "sicher" sind, also dass ihre Identitäten und Schlüssel gültig und vertrauenswürdig sind. Um diese Sicherheit zu gewährleisten, müssen alle Benutzer einer PKI eine registrierte Identität besitzen. Diese Identitäten werden in einem digitalen X.509-Standardformat für digitale öffentliche Schlüssel gespeichert. Zertifizierungsstellen (CAs) stellen die Personen, Prozesse und Werkzeuge zur Erstellung digitaler Zertifikate dar, die die Namen von Benutzern sicher mit ihren öffentlichen Schlüsseln verknüpfen. Bei der Erstellung von Zertifikaten haben Zertifizierungsstellen eine Vertrauensposition in einer PKI. Solange Benutzer einer Zertifizierungsstelle und ihren Geschäftsrichtlinien für die Ausstellung und Verwaltung von Zertifikaten vertrauen, können sie den von der Zertifizierungsstelle ausgestellten Zertifikaten vertrauen. Dies wird als Fremdvertrauen bezeichnet. Zertifizierungsstellen erstellen Zertifikate für Benutzer, indem sie einen Satz von Daten digital signieren, der die folgenden Informationen (und zusätzliche Elemente) enthält: Der Name des Benutzers im Format eines so genannten Distinguished Name (DN). Der DN gibt den Namen des Benutzers und alle zusätzlichen Attribute an, die zur eindeutigen Identifizierung des Benutzers erforderlich sind (der DN könnte z. B. die Mitarbeiternummer des Benutzers enthalten). Ein öffentlicher Schlüssel (Public Key) des Benutzers. Der öffentliche Schlüssel wird benötigt, damit andere etwas für den Benutzer verschlüsseln oder die digitale Signatur des Benutzers verifizieren können. Die Gültigkeitsdauer (oder Lebensdauer) des Zertifikats (ein Startdatum und ein Enddatum). Die spezifischen Vorgänge, für die der öffentliche Schlüssel verwendet werden soll (ob zum Verschlüsseln von Daten, zum Prüfen digitaler Signaturen oder für beides). Die Unterschrift der Zertifizierungsstelle auf einem Zertifikat bedeutet, dass jede Manipulation des Inhalts des Zertifikats leicht erkannt werden kann. Die Signatur der Zertifizierungsstelle auf einem Zertifikat ist wie der manipulationssichere Verschluss eines Tablettenbehälters. Jede Manipulation des Inhalts eines Zertifikats wird sofort erkannt. Solange die Signatur der Zertifizierungsstelle auf einem Zertifikat überprüft werden kann, ist das Zertifikat integer. Da die Integrität eines Zertifikats durch die Überprüfung der Signatur der Zertifizierungsstelle festgestellt werden kann, sind Zertifikate inhärent sicher und können auf völlig öffentliche Weise verteilt werden (z. B. über öffentlich zugängliche Verzeichnissysteme). Benutzer, die einen öffentlichen Schlüssel aus einem Zertifikat abrufen, können sicher sein, dass der öffentliche Schlüssel gültig ist. Das heißt, die Benutzer können darauf vertrauen, dass das Zertifikat und der zugehörige öffentliche Schlüssel zu der durch den Distinguished Name angegebenen Entität gehören. Die Benutzer vertrauen auch darauf, dass der öffentliche Schlüssel noch innerhalb seiner definierten Gültigkeitsdauer ist. Darüber hinaus wird dem Benutzer zugesichert, dass der öffentliche Schlüssel unbedenklich in der Weise verwendet werden kann, für die er von der Zertifizierungsstelle zertifiziert wurde.
Для того чтобы криптография с открытым ключом была эффективной, пользователи должны быть уверены, что другие стороны, с которыми они общаются, «безопасные», то есть их личности и ключи действительны и заслуживают доверия. Для обеспечения такой гарантии все пользователи PKI должны иметь зарегистрированные личные данные. Эти данные хранятся в стандартном формате сертификата цифрового открытого ключа X.509. Центры сертификации (CA) представляют людей, процессы и инструменты для создания цифровых сертификатов, которые безопасно связывают имена пользователей с их открытыми ключами. При создании сертификатов CA выступают в качестве доверенных лиц в PKI. Пока пользователи доверяют CA и его бизнес-политикам выдачи и управления сертификатами, они могут доверять сертификатам, выданным CA. Такие CA называются доверительными третьими сторонами. CA создают сертификаты для пользователей путем цифровой подписи набора данных, который включает в себя указанную ниже информацию (и дополнительные элементы). Имя пользователя в формате уникального имени (DN). DN указывает имя пользователя и любые дополнительные атрибуты, необходимые для уникальной идентификации пользователя (например, DN может содержать номер сотрудника пользователя). Открытый ключ пользователя. Открытый ключ необходим, чтобы другие могли зашифровать для пользователя информацию или проверить цифровую подпись пользователя. Срок действия (или срок службы) сертификата (дата начала и дата окончания). Конкретные операции, для которых должен использоваться открытый ключ (шифрование данных, проверка цифровых подписей или и то, и другое). Подпись CA на сертификате означает, что любое вмешательство в содержимое сертификата будет легко обнаружено. Подпись CA на сертификате похожа на печать обнаружения несанкционированного доступа на медицинском тюбике — любое несанкционированное обращение с содержимым сертификата легко обнаруживается. До тех пор пока подпись CA на сертификате можно проверить, сертификат целый. Поскольку целостность сертификата можно определить с помощью проверки подписи CA, сертификаты безопасны и могут распространяться полностью открыто (например, через общедоступные системы каталогов). Пользователи, получающие открытый ключ сертификата, могут быть уверены, что открытый ключ действителен. То есть пользователи могут верить, что сертификат и связанный с ним открытый ключ принадлежат организации, указанной в уникальном имени. Пользователи также полагают, что открытый ключ все еще находится в пределах установленного срока действия. Кроме того, пользователи гарантируют, что открытый ключ может безопасно использоваться способом, для которого он был сертифицирован CA.