Certifikatutfärdare

Introduktion: Behovet av certifikatutfärdare

I tidigare artiklar har vi sett hur digitala certifikat är en av de grundläggande byggstenarna i Public Key Infrastructure (PKI)Certifikat används på flera sätt – för att fastställa identitet, för att möjliggöra säker webbkommunikation eller för att bevisa äganderätt och integritet för programvara genom kodsignering.
Den viktigaste frågan som uppstår är dock: medan certifikatet hjälper till att fastställa tillförlitligheten hos viss annan information (såsom identitet eller bevis på äganderätt till programvara), vem garanterar tillförlitligheten hos informationen i själva certifikatet? Hur vet en användare om ett certifikat kan litas på eller inte och om den offentliga nyckeln i certifikatet faktiskt tillhör den angivna ägaren?

Det är här en certifikatutfärdare eller certifieringsutfärdare (CA) kommer in i bilden. CA:n är en enhet som utfärdar digitala certifikat, men gör det först efter att ha utfört en uppsättning valideringar av organisationen som ansöker om det digitala certifikatet – till exempel bekräftat att organisationen är den faktiska ägaren av den offentliga nyckeln som kommer att inkluderas i det digitala certifikatet.

Exempel på några välkända certifikatutfärdare är Comodo, Symantec, GoDaddy, GlobalSign, DigiCert, Let's Encrypt och Entrust. Certifikatutfärdare är kärnan i PKI som en betrodd tredjepartsenhet: de är betrodda både av certifikatansökarna och av användarna (enheter, operativsystem, webbläsare) som tar emot certifikatet och bestämmer om de ska fortsätta med transaktionen eller inte.

Funktioner hos en CA

Funktionerna hos en typisk CA inkluderar att ta emot förfrågningar om digitala certifikat, behandla dessa förfrågningar inklusive att utföra bakgrundsverifieringar av sökande, godkänna och avvisa förfrågningarna, faktiskt utfärda certifikaten samt hantera och återkalla certifikat. Dessa förklaras nedan.

1. Ta emot en begäran om certifikatsignering (CSR)Den sökande som behöver ett digitalt certifikat genererar ett offentligt-privat nyckelpar och skickar den offentliga nyckeln till CA tillsammans med grundläggande information som behövs för att CA ska kunna utfärda certifikatet.
2. Bearbeta informationen i CSR:nCA: Behandlar informationen i CSR:n, inklusive vilken typ av certifikat som behövs och detaljer om det sökande företaget. Beroende på vilken typ av certifikat som behövs utför CA en uppsättning valideringar, enligt beskrivningen i nästa avsnitt.
3. Godkänn/avvisa CSR och utfärda certifikatetNär valideringar är klara utfärdar CA certifikatet. CA signerar certifikatet med sin privata nyckel, vilket ger en "äkthetsstämpel" för certifikatet och certifikatägarens publika nyckel.
4. Hantera och återkalla certifikatCA hanterar även certifikat – till exempel förnyar utgångna certifikat baserat på förfrågningar från certifikatägare. Om en certifikatägares privata nyckel komprometteras kan CA ogiltigförklara eller återkalla ett certifikat. Återkallelse hjälper till att varna användare om att certifikatet inte längre kan litas på och hjälper till att begränsa effekterna av ett intrång.

Valideringar utförda av en CA

Varje certifikatutfärdare utför en uppsättning valideringar innan certifikat utfärdas. De typer av valideringar som utförs är:

• Domain Validation (DV)Detta innebär kontroller för att säkerställa att organisationen (eller personen) som ansöker om ett digitalt certifikat (för en domän) är den faktiska ägaren (eller representerar ägaren) av domännamnet. Inga identitetskontroller utförs i detta fall.
• Organisation Validation (OV)Detta inkluderar ytterligare kontroller (förutom verifiering av domännamnsägande) såsom validering av själva organisationen och kontroll av om sökanden är behörig av organisationen att ansöka om ett certifikat.
• Extended Validation (EV)Detta innebär valideringar på högsta nivå, inklusive detaljerad granskning av företaget som ansöker om certifikatet, såsom kontroll av företagets registrerade namn, verksamhetsort och andra juridiska detaljer.

Förtroendehierarkier och rotcertifikat

Varje CA har ett huvudcertifikat som kallas ett betrott rotcertifikat, vilket är föräldern till alla digitala certifikat som utfärdas av den CA:n och fungerar som den yttersta grunden för förtroendet för själva CA:n. Rotcertifikat är vanligtvis förinstallerade i enhetens operativsystem och i webbläsare. Rotcertifikat används för att skapa mellanliggande certifikat, dessa mellanliggande certifikat används av CA:n för att faktiskt signera de digitala certifikat som utfärdas av CA:n.

Denna "kedja" av certifikat till en förälder som går hela vägen tillbaka till rotcertifikatet för den CA:n, kallas också för en förtroendehierarki eller certifikathierarki. Denna hierarkiska metod är användbar för att skala ut PKI-infrastrukturen överlag – där en förälder-CA auktoriserar andra CA:er att utfärda certifikat genom att signera rotcertifikatet för den andra CA:n. Vid behov kan certifikat som utfärdats av den andra CA:n spåras tillbaka till rotcertifikatet för den förälder-CA:n.

CA-säkerhet

Eftersom CA och dess rotcertifikat är grunden för förtroendet för hela PKI-infrastrukturen, behöver CA:er ha betydligt högre säkerhetsnivåer jämfört med andra organisationer. Dessa inkluderar fysiska kontroller, logiska kontroller och användning av hårdvarusäkerhetsmoduler (HSM) för nyckelhantering. Om en CA inte uppfyller eller överträffar de förväntade säkerhetsstandarderna kan dess rotcertifikat tas bort från systemförrådet av webbläsare, operativsystem och enhetsleverantörer.

Detta kommer att resultera i en omedelbar varning till slutanvändaren om att certifikatet för den aktuella transaktionen inte kan litas på och sannolikt kommer att påverka användaren att avbryta transaktionen, vilket resulterar i en negativ inverkan på verksamheten. För att standardisera de säkerhetskrav som en CA måste följa har branschorganisationer som CA/Browser-forumet bildats.

CA / Browser Forum

Detta är en frivillig grupp av CA:er och webbläsarleverantörer som har gått samman för att bilda en branschorganisation med syftet att utveckla riktlinjer för CA-förtroendesystem. Detta inkluderar rekommendationer för valideringsprocedurer, nyckellängder, nyckelhantering och krypteringsalgoritmer . Två viktiga riktlinjer från forumet inkluderar Baseline Requirements (BR) och Extended Validation (EV) Guidelines.

Baskrav är de grundläggande regler som en CA måste följa för att utfärda alla typer av digitala certifikat. Riktlinjer för EV-certifikat ger ytterligare säkerhets-, tekniska och autentiseringskrav som en CA måste följa för att utfärda EV-certifikat.