Självsignerade certifikat: Vad är de och varför ska du använda dem?

I en tid då det är så viktigt att hålla data och användare säkra på internet har digitala certifikat använts för en rad olika ändamål. Digitala certifikat används för autentisering, säkra internetanslutningar, kodsignering med mera. Detta gör att data under överföring eller data i vila kan skyddas från externa angripare. Det finns ett antal olika certifikattyper, men vi kommer att titta på självsignerade certifikat idag. Den första frågan vi måste besvara är vad exakt är ett självsignerat certifikat?

Vad är ett självsignerat certifikat?

Beroende på vad certifikatet används till är ett självsignerat certifikat ett certifikat som signeras av samma användare eller enhet med det certifikatet. Detta fungerar för kod som signeras för internt bruk, eller för en applikation som används av skaparen, men inte för programvara som används av externa användare. Om en applikation eller programvara skickas till externa kunder måste en annan typ av certifikat användas. Anledningen till detta är att ett självsignerat certifikat inte kommer att kunna verifieras när en extern användare försöker använda programvaran som är kopplad till det certifikatet.

När en användare kör ett program eller en programvara autentiseras certifikatet som signerade den koden av operativsystemet. Du har förmodligen sett ett popup-fönster som visas när en ny programvara eller ett nytt program laddas ner och körs på din dator. Detta popup-fönster kontrollerar identiteten på utgivaren av certifikatet som är kopplat till programvaran. Dessutom kontrolleras certifieringssökvägen i certifikatet. Alla dessa detaljer kontrolleras för att autentisera utgivaren av programvaran. Om utgivarens identitet inte kan verifieras korrekt, kommer programvaran sannolikt att anses osäker att köras av användaren.

När man använder ett självsignerat certifikat för att signera programvara och applikationer, är det bara den enhet som signerade certifikatet som kan autentisera det. Det är därför självsignerade certifikat vanligtvis inte används för extern programvara eller applikationer. Istället använder programvaruutgivare en offentlig nyckelinfrastruktur med en extern och välkänd rotcertifikatutfärdare som skapar certifikat som genereras av certifikatutfärdaren (CA-genererade). Detta gör det möjligt för utgivaren att generera kodsigneringscertifikat som kan kännas igen av alla operativsystem, vilket autentiserar programvaran som skickas till en kund och låter dem lita tillräckligt på den programvaran eller applikationen för att laddas ner och användas på deras enhet.

För-och nackdelar

När man arbetar med självsignerade certifikat finns det många för- och nackdelar som bör beaktas innan man skapar den här typen av certifikat. Några av dessa har vi redan berört, och andra ska vi titta på nu.

Fördelar

• Självsignerade certifikat är mycket enkla att skapa jämfört med andra metoder för att skapa certifikat. Det finns ingen djupgående process, det är bara skapandet av ett nyckelpar och sedan skapandet av själva certifikatet. Andra processer kan kräva flera steg och åtkomst till en offentlig nyckelinfrastruktur (PKI) för att skapa certifikat.
• Självsignerade certifikat används bäst i testmiljöer eller för applikationer som bara behöver kännas igen privat. Applikationer som endast är avsedda för användning inom den organisation de skapas för använder huvudsakligen självsignerade certifikat.
• En annan anledning till att en organisation kan använda självsignerade certifikat är att de inte är beroende av en annan organisation för att certifikaten ska utfärdas eller nycklarna ska skyddas. Att skapa offentligt verifierbara certifikat med en välkänd PKI kan ta mycket tid för att ett certifikat ska utfärdas, vilket kan orsaka avbrott i publicering och distribution av programvara.

Nackdelar

• Det mest uppenbara problemet med att använda ett självsignerat certifikat för kodsigneringsapplikationer och programvara är att certifikatet inte kommer att kännas igen utanför organisationen. En självsignerad signatur känns bara igen av den enhet den signerades på, eller inom den organisation den genererades i.
• Självsignerade certifikat är inte lätta att spåra inom en organisation. Detta orsakar en mängd problem, särskilt när ett självsignerat certifikat komprometteras. Eftersom självsignerade certifikat kan skapas när som helst från vilken enhet som helst, kan det hända att certifikatet inte är känt för att vara komprometterat under en längre tid, vilket gör att hotet kan missbruka certifikatet för att passa sina behov.
• Självsignerade certifikat kan inte återkallas. Med CA-genererade certifikat är det enkelt att söka efter det privata nyckelpar som är kopplat till ett certifikat, men det är inte möjligt med självsignerade certifikat.

Slutsats

Det finns ett antal olika typer av certifikat tillgängliga för användare för ändamål som sträcker sig från autentisering och kommunikation till kodsignering. Dessa typer av certifikat tenderar att delas in i två olika kategorier, självsignerade och CA-genererade certifikat. Som tidigare nämnts används självsignerade certifikat huvudsakligen i testmiljöer eller för programvara och applikationer som används uteslutande inom en organisation. Av denna anledning föreslår vi på Encryption Consulting att organisationer som vill använda certifikat för kodsignering konfigurerar en PKI för sin organisation eller arbetar med en publik PKI för kodsigneringscertifikat. För att lära dig hur Encryption Consulting kan hjälpa din organisation att skapa en stark och säker Public Key Infrastructure för användning inom din organisation, besök vår webbplats på www.encryptionconsulting.com.