Rodcertifikater er en af grundpillerne i internetsikkerhed. De er grundlaget for validering af websteders identitet gennem SSL/TLS certifikater, levere digitale signaturer og meget mere. Men hvordan fungerer de præcist, og hvorfor er de så vigtige? Denne artikel vil forklare alt, hvad du behøver at vide om rodcertifikater.
Hvad er et rodcertifikat?
Et rodcertifikat er et særligt digitalt certifikat, der er udstedt og digitalt underskrevet af en certifikatmyndighed (CA) såsom SSL.com. Det repræsenterer det øverste niveau af tillid i et certifikathierarki. Rodcertifikater kaldes nogle gange tillidsankre, fordi de er den ultimative kilde til verifikation af udstedte certifikater.
Når en CA udsteder et certifikat til en enhed som et websted, skal det valideres ved at spore det tilbage til en pålidelig rod. Rodcertifikatet indeholder den offentlige nøgle, der er nødvendig for at bekræfte denne tillidskæde. Rodcertifikater er typisk selvsignerede, hvilket betyder, at deres signatur genereres med certifikatets egen private nøgle.
Alle større webbrowsere og operativsystemer leveres med et forudinstalleret sæt af pålidelige rodcertifikater fra større certifikatmyndigheder. Dette giver dem mulighed for automatisk at bekræfte SSL/TLS certifikater, der bruges til at sikre og identificere webservere, hvorefter browseren viser, at certifikatet er tillid til, og webserveren er sikret. På samme måde opretholder Adobe et tillidslager af rødder, der er tillid til digitale signaturer, og Microsoft opretholder et tillidslager af rødder, der er tillid til kodesignaturer.
Tillidshierarki
Root-CA'er er øverst i et certificeringshierarki, der går ned i mellemliggende certifikater og slutenhedscertifikater:
- Rodcertifikater såsom SSL.com's – selvsigneret rod, repræsenterer ultimativ tillid.
- Mellemliggende certifikater – underskrevet af rod-CA.
- Slutenhedscertifikater – udstedt til brugere og servere, underskrevet af mellemled
Ved at adskille opgaver kan mellemliggende CA'er, også kendt som "udstedende CA'er", udstede certifikater dagligt uden at få adgang til de stærkt beskyttede rodnøgler. Rodnøglerne kan holdes offline og bruges kun lejlighedsvis til at generere mellemliggende CA'er og andre specialcertifikater, såsom tidsstempling eller CRL'er.
Når en mellemliggende myndighed udsteder et digitalt certifikat, indeholder det den udstedende CA-signatur og en kæde af certifikater, der linker tilbage til roden. Denne kæde følges for at verificere slutcertifikatet.
Betydningen og funktion af rodcertifikater
Rodcertifikater har flere afgørende funktioner:
- Tillidsanker – De er tillidsankeret, der etablerer en tillidskæde. Alle certifikater udstedt af PKI kan valideres ved at spore tilbage til roden.
- Sikker webbrowsing – Aktiverer sikre HTTPS-forbindelser. Browsere bekræfter webstedscertifikater ved at kæde dem op til en pålidelig rod.
- Bekræft software – Bruges til at autentificere digitalt signeret software som OS-opdateringer, apps, hjælpeprogrammer osv. Signaturer kontrolleres mod roden.
- Krypter kommunikation – Tillader sikker e-mail og dataoverførsel ved at aktivere kryptering parret med rodens signatur.
- Uden rodcertifikater ville der ikke være nogen centraliseret mekanisme til at etablere tillid til certifikater og offentlige nøgler. De leverer den autoritative tillidskilde, der understøtter offentlig nøglekryptografi.
Større rodcertifikatmyndigheder
Der er omkring 60 myndigheder, der driver offentligt betroede rodcertifikatprogrammer. SSL.com, er et førende eksempel, der fungerer som en root-CA. Vi bruger omfattende valideringsprocedurer, før vi udsteder mellemliggende CA-certifikater til domæneejere, der har brug for SSL-certifikater. Vores rodnøgler er beskyttet af hardware og software i sikre faciliteter.
Større organisationer som Microsoft, Apple, Mozilla og Oracle beslutter, hvilke rod-CA'er, de vil stole på som standard i deres software. På samme måde har Adobe et trust-lager af rødder, der er betroet til at udstede dokumentsigneringscertifikater, hvis signaturer anerkendes af Adobe-læsere som gyldige. Ud over deres browsersoftware vedligeholder Microsoft også et tillidslager af rødder, hvis kodesigneringscertifikater er tillid til. En CA som SSL.com skal opfylde strenge krav for at blive en Publicly Trusted Certification Authority, der er indlejret i rodbutikker. Ved at fungere som en rod-CA kan vi udstede Trusted-certifikater uden at være afhængig af en ekstern rodautoritet. Vores rodcertifikat fungerer som tillidsankeret for vores hierarki.
Browsere og rodcertifikater
Webbrowsere er forudindlæst med et tillidslager, der indeholder over 100 betroede rodcertifikater fra større CA'er. Dette giver dem mulighed for at validere SSL/TLS certifikater, der bruges til HTTPS-websteder problemfrit.
Når du besøger et websted, der er sikret med SSL/TLS, vil browseren:
- Modtag hjemmesidens certifikat og kæde af mellemliggende certifikater.
- Valider tillidskæden tilbage til et indbygget betroet rodcertifikat.
- Tjek, at domænenavnet matcher webstedscertifikatet.
- Vis ikonet for sikker lås og tillad en krypteret forbindelse.
Det vil advare brugeren, hvis browseren støder på et ugyldigt certifikat, en rod, der ikke er tillid til, eller et domænenavn, der ikke stemmer overens.
Browsere har også certifikatstyringsværktøjer til at se root-CA'er og træffe tillidsbeslutninger. Chrome, Firefox, Edge og Safari giver brugerne mulighed for at se, eksportere eller deaktivere rodcertifikater.
Installation og administration af rodcertifikater
Selvom OS og browsere leveres med forudinstallerede rødder, kan det være nødvendigt at installere yderligere rodcertifikater i nogle tilfælde:
- At stole på din virksomheds private PKI certifikatkæde
- Hvis du bruger en ny eller ukendt certifikatmyndighed
- Ved fejlfinding af "ikke-pålidelige certifikat"-fejl
Rodcertifikater kan installeres globalt på OS-niveau eller lokalt på browser- eller applikationsniveau. På Windows håndterer Certificate Manager pålidelige rødder. På Mac er rødderne placeret i Keychain Access. I Linux går de under /etc/ssl. SSL.com leverer sine rod- og mellemliggende certifikater til download på vores hjemmeside.
Når du installerer en ny rod, er det vigtigt at kontrollere, at den er gyldig og kommer fra en velrenommeret kilde. Når først de er installeret, kan ugyldige eller kompromitterede rødder ikke være tillid til eller slettes. Men tilbagekaldelse af tillid til en større offentlig rod kan forårsage omfattende applikationsbrud.
Udløb og fornyelse af rodcertifikater
Rodcertifikater har en lang levetid på 20 år eller mere. Men de udløber stadig i sidste ende af sikkerhedsmæssige årsager. Da rødder nærmer sig udløb, skal CA'er udrulle nye rødder og overføre brugere og software for at stole på de nye nøgler.
Nogle virkninger af udløbende, gamle eller upålidelige rodcertifikater omfatter:
- Ugyldige certifikatadvarsler i browsere
- Ødelagte certifikatkæder forårsager forbindelsesfejl
- Softwaren kan ikke validere signaturtjek
Bedste fremgangsmåder til at administrere root-udløb omfatter:
- Fornyelse af rodnøgler på en lang tidsramme med overlap
- Brug af parallelle rødder og overlappende gyldighedsperioder
- Få nye rødder distribueret i klientsoftwareopdateringer
- Tilbagekaldelse/fjernelse af gamle rødder efter overgangen er fuldført
Korrekt administration af rodcertifikatets livscyklus er afgørende for at undgå afbrydelser i pålidelig kommunikation og softwareverifikation.
Beskyttelse af rodcertifikatnøgler
På grund af deres grundlæggende rolle i at etablere tillid, skal de private nøgler, der er forbundet med rodcertifikater, være ekstremt højt beskyttede. Branchestandarder anbefaler:
- Holde nøgler offline i sikker opbevaring som et hardwaresikkerhedsmodul (HSM)
- Vedligeholdelse af omfattende fysisk sikkerhed og softwaresikkerhed
- Får kun adgang, når det er nødvendigt, ved hjælp af kontrolelementer fra flere parter
- Sletning af private nøgler fuldstændigt, når det ikke længere er nødvendigt
Efter strenge nøgleceremoniprocedurer og adskillelse af opgaver for rod-CA'er beskyttes PKI tillidsanker fra kompromis.
