Quels sont les rôles des certificats et des autorités de certification ?
Какова роль сертификатов и центров сертификации?
Pour que la cryptographie à clé publique soit utile, les utilisateurs doivent être assurés que les autres parties avec lesquelles ils communiquent sont « en sécurité », c’est-à-dire que leurs identités et clés sont valides et dignes de confiance. Pour fournir cette assurance, tous les utilisateurs d’une PKI doivent avoir une identité enregistrée. Ces identités sont stockées dans un format de certificat de clé publique numérique X.509 standard. Les autorités de certification (AC) représentent les personnes, les processus et les outils pour créer des certificats numériques qui lient en toute sécurité les noms des utilisateurs à leurs clés publiques. Lors de la création de certificats, les AC agissent comme des agents de confiance dans une PKI. Tant que les utilisateurs font confiance à une AC et à ses stratégies d’émission et de gestion des certificats, ils peuvent approuver les certificats émis par l’AC. Il s’agit en fait de la confiance tierce. Les AC créent des certificats pour les utilisateurs en signant numériquement un ensemble de données qui comprend les informations suivantes (et des éléments supplémentaires) : Le nom de l’utilisateur au format d’un nom distinctif (ND). Le ND spécifie le nom de l’utilisateur et tous les attributs supplémentaires requis pour identifier l’utilisateur de manière unique (par exemple, le ND peut contenir le numéro d’employé de l’utilisateur). Une clé publique de l’utilisateur. La clé publique est requise pour que d’autres puissent effectuer le chiffrement pour l’utilisateur ou vérifier la signature numérique de l’utilisateur. La période de validité (ou durée de vie) du certificat (une date de début et une date de fin). Les opérations spécifiques pour lesquelles la clé publique doit être utilisée (que ce soit pour chiffrer des données, vérifier des signatures numériques ou les deux). La signature de l’AC sur un certificat signifie que toute falsification du contenu du certificat sera facilement détectée. La signature de l’AC sur un certificat est comme un sceau de détection des falsifications sur un flacon de pilules. Toute falsification du contenu d’un certificat est facilement détectée. Tant que la signature de l’AC sur un certificat peut être vérifiée, le certificat est intègre. L’intégrité d’un certificat peut être déterminée en vérifiant la signature de l’AC ; les certificats sont donc intrinsèquement sécurisés et peuvent être distribués de manière totalement publique (par exemple, via des systèmes de répertoires accessibles au public). Les utilisateurs qui récupèrent une clé publique à partir d’un certificat peuvent être assurés que la clé publique est valide. Autrement dit, les utilisateurs peuvent être sûrs que le certificat et sa clé publique associée appartiennent à l’entité spécifiée par le nom distinctif. Les utilisateurs peuvent également avoir confiance dans le fait que la clé publique est toujours dans sa période de validité définie. En outre, les utilisateurs sont assurés que la clé publique peut être utilisée en toute sécurité de la manière prévue par l’AC.
Для того чтобы криптография с открытым ключом была эффективной, пользователи должны быть уверены, что другие стороны, с которыми они общаются, «безопасные», то есть их личности и ключи действительны и заслуживают доверия. Для обеспечения такой гарантии все пользователи PKI должны иметь зарегистрированные личные данные. Эти данные хранятся в стандартном формате сертификата цифрового открытого ключа X.509. Центры сертификации (CA) представляют людей, процессы и инструменты для создания цифровых сертификатов, которые безопасно связывают имена пользователей с их открытыми ключами. При создании сертификатов CA выступают в качестве доверенных лиц в PKI. Пока пользователи доверяют CA и его бизнес-политикам выдачи и управления сертификатами, они могут доверять сертификатам, выданным CA. Такие CA называются доверительными третьими сторонами. CA создают сертификаты для пользователей путем цифровой подписи набора данных, который включает в себя указанную ниже информацию (и дополнительные элементы). Имя пользователя в формате уникального имени (DN). DN указывает имя пользователя и любые дополнительные атрибуты, необходимые для уникальной идентификации пользователя (например, DN может содержать номер сотрудника пользователя). Открытый ключ пользователя. Открытый ключ необходим, чтобы другие могли зашифровать для пользователя информацию или проверить цифровую подпись пользователя. Срок действия (или срок службы) сертификата (дата начала и дата окончания). Конкретные операции, для которых должен использоваться открытый ключ (шифрование данных, проверка цифровых подписей или и то, и другое). Подпись CA на сертификате означает, что любое вмешательство в содержимое сертификата будет легко обнаружено. Подпись CA на сертификате похожа на печать обнаружения несанкционированного доступа на медицинском тюбике — любое несанкционированное обращение с содержимым сертификата легко обнаруживается. До тех пор пока подпись CA на сертификате можно проверить, сертификат целый. Поскольку целостность сертификата можно определить с помощью проверки подписи CA, сертификаты безопасны и могут распространяться полностью открыто (например, через общедоступные системы каталогов). Пользователи, получающие открытый ключ сертификата, могут быть уверены, что открытый ключ действителен. То есть пользователи могут верить, что сертификат и связанный с ним открытый ключ принадлежат организации, указанной в уникальном имени. Пользователи также полагают, что открытый ключ все еще находится в пределах установленного срока действия. Кроме того, пользователи гарантируют, что открытый ключ может безопасно использоваться способом, для которого он был сертифицирован CA.