Οι αρχές έκδοσης πιστοποιητικών (CA) αποτελούν το θεμέλιο της ασφάλειας στο διαδίκτυο τις τελευταίες δύο δεκαετίες και τα ψηφιακά πιστοποιητικά εξακολουθούν να αποτελούν μια αξιόπιστη μέθοδο για να διασφαλιστεί ότι οι συναλλαγές και οι ταυτότητες είναι ασφαλείς. Σε θεμελιώδες επίπεδο, τα πιστοποιητικά με υπογραφή CA είναι πολύτιμα εργαλεία που πιστοποιούν ταυτότητες στο διαδίκτυο. επιτρέψτε την ασφαλή, κρυπτογραφημένη επικοινωνία σε διαφορετικά μη ασφαλή δίκτυα. και επιβεβαιώστε την ακεραιότητα των υπογεγραμμένων εγγράφων επιβεβαιώνοντας ότι δεν έχουν τροποποιηθεί από τρίτο μέρος.
Όμως, η αξία των ΑΠ εκτείνεται πέρα από την άμεση πρακτική τους χρησιμότητα. Αυτό που είναι μια πολύ απλή διαδικασία επαλήθευσης για τον χρήστη υποστηρίζεται από ένα πλέγμα εργασίας και μια αλυσίδα εμπιστοσύνης που ξεπερνά έναν απλό έλεγχο γεγονότων.
Τι κάνουν οι ΑΑ;
Οι προμηθευτές προγράμματος περιήγησης και λειτουργικού συστήματος εμπιστεύονται δημόσιες ΑΠ (όπως SSL.com) για να επαληθεύσουν:
- Έλεγχος ονομάτων τομέα
- Η νομιμότητα των οργανισμών και των αντιπροσώπων τους
- Στοιχεία επικοινωνίας, όπως διευθύνσεις email
Οι ΑΠ εκδίδουν πολλούς τύπους πιστοποιητικών, όλα βασισμένα στο X.509 πρότυπο. Τα πιστοποιητικά που εκδίδονται από την CA διασφαλίζουν ότι οι συναλλαγές ιστότοπων είναι ασφαλείς, προστατεύουν από κακόβουλα προγράμματα και πιστοποιούν έγγραφα και ανταλλαγές email. Η καθιέρωση ταυτοτήτων στο Διαδίκτυο γίνεται μέσω ποικίλων διαδικασιών, διαδικασιών και πρωτοκόλλων, όλα διασφαλισμένα από τις αρμόδιες αρχές. Για παράδειγμα:
- SSL /TLS παρέχει ένα αξιόπιστο και κρυπτογραφημένο μέσο για πρόσβαση στον Παγκόσμιο Ιστό μέσω προγραμμάτων περιήγησης - το οποίο προστατεύει προσωπικές πληροφορίες και συναλλαγές.
- Ψηφιακές υπογραφές παρέχετε επικυρωμένα ψηφιακά έγγραφα.
- Υπογραφή κώδικα επιτρέπει την ασφαλή διανομή λογισμικού στο Διαδίκτυο.
- S/MIME επιτρέπει την επικυρωμένη και κρυπτογραφημένη διεύθυνση ηλεκτρονικού ταχυδρομείου.
- Έλεγχος ταυτότητας πελάτη Τα πιστοποιητικά προστατεύουν την πρόσβαση σε υπολογιστές και εφαρμογές.
Όλα αυτά γίνονται μέσω πιστοποιητικών που είναι αγκυρωμένα σε ένα δημόσιο πιστοποιητικό ρίζας CA και συνδέονται μεταξύ τους μέσω ενός "αλυσίδα εμπιστοσύνης"
Γιατί είναι τόσο δύσκολο να είσαι δημόσια αξιόπιστη ΑΠ;
Όπως περιγράφεται παραπάνω, οι ΑΠ εμπιστεύονται τα λειτουργικά συστήματα και άλλο λογισμικό για την επαλήθευση της ταυτότητας των ιστότοπων, των εταιρειών και των ατόμων. Μόλις δημιουργηθεί μια δημόσια ΑΠ και κερδίζει την εμπιστοσύνη των προμηθευτών λογισμικού και άλλων παικτών, τα ψηφιακά πιστοποιητικά της είναι ένας άμεσος, ασφαλής και αξιόπιστος τρόπος για να βεβαιωθείτε ότι οι πληροφορίες δεν είναι ψευδείς. Η διαδικασία δημιουργίας ενός αυτο-υπογεγραμμένου ριζικού CA είναι σχετικά απλή - ειλικρινά θα μπορούσε να δημιουργηθεί από οποιονδήποτε διαθέτει λογισμικό ευρέως διαθέσιμο, χαμηλού ή χωρίς κόστος. Ωστόσο, στην πραγματικότητα δεν υπάρχουν πάρα πολλές δημόσιες αρχές έκδοσης πιστοποιητικών. Στην πραγματικότητα, υπάρχουν μόνο σήμερα 52 μέλη της CA του CA / Browser Forum, και η συντριπτική πλειοψηφία του SSL /TLS Τα πιστοποιητικά προέρχονται από μικρότερο αριθμό από αυτόν. Γιατί λοιπόν δεν τα καταφέρνουν όλοι;
Ο λόγος που οι δημόσιες αρχές έκδοσης πιστοποιητικών είναι τόσο αποκλειστικός σύλλογος είναι ότι το να γίνεις δημόσιος ΑΑ και να κερδίσεις και να διατηρείς την καθολική εμπιστοσύνη για να το διατηρήσεις λειτουργικό είναι πολλή δουλειά. Η συμπερίληψη σε όλα τα προγράμματα περιήγησης και τα λειτουργικά συστήματα είναι απρόσκοπτη στο τέλος του χρήστη, αλλά απαιτεί χρόνια δουλειάς πίσω από τα παρασκήνια. Όταν αγοράζετε έναν νέο υπολογιστή ή εγκαθιστάτε λογισμικό όπως πρόγραμμα περιήγησης ιστού ή πρόγραμμα-πελάτη ηλεκτρονικού ταχυδρομείου, περιλαμβάνεται ήδη μια λίστα αξιόπιστων πιστοποιητικών CA root. Αλλά η προσθήκη σε αυτήν τη λίστα δεν είναι κάτι που συμβαίνει μόνο μια μέρα στην άλλη, και η διαμονή εκεί είναι επίσης μια πρόκληση.
Για να παραμείνει σε πιστοποιητικά πώλησης επιχειρήσεων, μια ΑΠ πρέπει να πληροί τις απαιτήσεις των προμηθευτών λογισμικού, οι οποίοι προσπαθούν όλοι να διασφαλίσουν μια ασφαλή και αξιόπιστη εμπειρία για τους χρήστες τους. Κάθε μεγάλος προμηθευτής προγράμματος περιήγησης και λειτουργικού συστήματος έχει το δικό του σύνολο κριτηρίων που πρέπει να πληρούν οι ΑΠ και να συμβαδίζουν με τις αλλαγές. Το κόστος για να μην το κάνετε αυτό είναι υψηλό: εάν μια ΑΠ δεν περιλαμβάνεται σε κανένα από τα βασικά προγράμματα, είτε οφείλεται σε παραβίαση της εμπιστοσύνης είτε λόγω αποτυχίας να μείνετε ενημερωμένοι με τις αλλαγές πολιτικής, θα σήμαινε καταστροφή για το ολόκληρη την επιχείρηση. Καμία εταιρεία δεν αναζητά πιστοποιητικό SSL ιστότοπου που να λειτουργεί με το Safari αλλά όχι το Chrome. Λίγοι παραγωγοί λογισμικού θα ήθελαν ένα πιστοποιητικό υπογραφής κώδικα που δεν εμπιστεύονται τα Windows.
Εκτός από τη διατήρηση αυτής της λεπτής ισορροπίας με προγράμματα περιήγησης, λειτουργικά συστήματα και άλλους παρόχους λογισμικού, οι αρχές έκδοσης πιστοποιητικών υπόκεινται σε αυστηρούς εξωτερικούς ελέγχους. Βλέπετε αυτά τα σήματα στο κάτω μέρος αυτού του ιστότοπου; Κάθε μία από αυτές τις σφραγίδες αντιπροσωπεύει έναν έλεγχο και κάθε ένας από αυτούς τους ελέγχους πραγματοποιείται ετησίως. Σε περίπτωση που οποιαδήποτε ΑΠ αποτύχει σε έλεγχο (ή δεν πληροί τις απαιτήσεις προγράμματος ρίζας) ότι τα πιστοποιητικά της CA θα μπορούσαν να εξαιρούνται από κρίσιμα ριζικά καταστήματα, κάτι που θα τα καθιστούσε άχρηστα.
Τα μέλη της CA της Φόρουμ CA / Browser (μια κοινοπραξία ΑΑ και πωλητών της PKI-Ενεργοποιημένο λογισμικό όπως προγράμματα περιήγησης και λειτουργικά συστήματα) δραστηριοποιούνται στην ανάπτυξη και την επιβολή δεκάδων βιομηχανικών προτύπων και στον καθορισμό του CA / B Forum Απαιτήσεις βασικής γραμμής. Τα μέλη συμμετέχουν σε εκπαιδευτικούς και ερευνητικούς οργανισμούς και συνεργάζονται με τους ενδιαφερόμενους για την ενίσχυση της ασφάλειας του Διαδικτύου, αναλαμβάνοντας συχνά το προβάδισμα στην πρόταση και την υιοθέτηση νέων προτύπων. Οι ΑΠ έχουν το μεγαλύτερο ενδιαφέρον να διασφαλίσουν το SSL /TLS το σύστημα λειτουργεί και η φήμη του είναι καλή, πράγμα που σημαίνει απαραίτητα ότι παίρνουν μια προληπτική και επιθετική αντιμετώπιση στην ασφάλεια των συστημάτων τους και των συστημάτων με τα οποία συνεργάζονται.
Εκτός από την τήρηση αυτών των προτύπων, οι αρχές έκδοσης πιστοποιητικών υποχρεούνται να διατηρούν και να διαθέτουν λίστες διαφάνειας πιστοποιητικών (δημόσια αρχεία όλων των εκδοθέντων πιστοποιητικών), καθώς και λίστες ανάκλησης πιστοποιητικών (CRL) και ανταποκριτές OCSP, οι οποίοι παρακολουθούν τα ανακληθέντα πιστοποιητικά. Είναι υψίστης σημασίας να βεβαιωθείτε ότι λογίζονται όλα τα πιστοποιητικά και ότι η εμπιστοσύνη που υποστηρίζει τα πιστοποιητικά δεν σπάει ποτέ.
Πώς να επιλέξετε ΑΠ
Γνωρίζοντας λοιπόν όλη τη δουλειά που απαιτείται για τη διατήρηση και τη λειτουργία μιας δημόσιας αρχής έκδοσης πιστοποιητικών, πώς καθορίζει ποια ΑΠ είναι η καλύτερη για τις ανάγκες τους;
Παρόλο που υπάρχουν τώρα χαμηλού κόστους (ή ακόμη και δωρεάν) επιλογές CA, είναι σημαντικό να γνωρίζετε τι εμπορεύεται για αυτό το μειωμένο κόστος. Σε γενικές γραμμές, οι δωρεάν CA δεν προσφέρουν τα ίδια επίπεδα επικύρωσης με τις εμπορικές CA και δεν προσφέρουν οτιδήποτε άλλο εκτός από τον ιστότοπο SSL /TLS πιστοποιητικά. Για παράδειγμα, μπορούν να δείξουν ότι ένας υποψήφιος για ιστότοπο SSL /TLS το πιστοποιητικό ελέγχει αυτόν τον τομέα (επικύρωση τομέα), αλλά δεν κάνουν το επιπλέον βήμα για να επιβεβαιώσουν ποιος είναι αυτός ο κάτοχος. Ανάλογα με την προβλεπόμενη περίπτωση χρήσης, το DV μπορεί να είναι καλό (όλες οι εμπορικές αρχές, συμπεριλαμβανομένου του SSL.com, το προσφέρουν επίσης), αλλά εάν χρειάζεστε πιστοποιητικό υπογραφής κώδικα, ψηφιακές υπογραφές για Adobe PDF ή έγκυρες πληροφορίες σχετικά με την επιχείρησή σας που περιλαμβάνονται στο πιστοποιητικό ιστότοπου, πρέπει να μεταβείτε σε μια εμπορική αρχή CA
Για περισσότερες πληροφορίες σχετικά με την επιλογή μιας αξιόπιστης ΑΠ, ρίξτε μια ματιά στο Οδηγός βέλτιστων πρακτικών.
