Vad är Trust Stores?

Trust Stores är en lagringsplats för rotcertifikatutfärdare som ett operativsystem, en webbläsare eller en applikation behandlar som i sig tillförlitliga, och utgör utgångspunkten för varje certifikatkedja innan den accepteras.

Ett förtroendearkiv innehåller den uppsättning rotcertifikatutfärdare som en enhet eller applikation litar på som standard. Vid validering av ett TLS-certifikat kontrollerar programvaran om certifikatet är kopplat till en rot som redan finns i dess förtroendearkiv. Om det gör det, och varje signatur- och giltighetskontroll godkänns, är anslutningen betrodd, annars avvisas den.

Key Takeaways

• Stora plattformar, inklusive Microsoft, Apple, Google och Mozilla, har var och en sin egen oberoende rotlagring med sina egna policyer för inkludering och borttagning.
• En CA måste genomgå en rigorös, ofta flerårig granskningsprocess för att få sitt rotcertifikat inkluderat i en större förtroendekatalog, eftersom inkludering ger certifikatet möjligheten att vara betrodd globalt.
• Betrodda butiker kan och tar bort roots: Symantec-utfärdade roots misstroddes av stora webbläsare 2018 efter felaktiga utfärdanden, vilket krävde att berörda webbplatser bytte CA.
• Företag kan lägga till sina egna interna rot-CA till hanterade enheters förtroendelager, vilket gör att internt utfärdade certifikat kan litas på utan att behöva validering av offentlig CA.
• Ett certifikat som är kedjat till en rot som inte finns i den förlitande partens förtroendearkiv misslyckas med validering oavsett hur korrekt det i övrigt utfärdades.

Varför har olika plattformar separata förtroendebutiker?

Microsoft, Apple, Google (Chrome) och Mozilla (Firefox) kör alla oberoende rotprogram med sina egna granskningskrav, inkluderingskriterier och borttagningsprocesser. Det betyder att en CA:s rotcertifikat kan vara betrott i en webbläsares arkiv men ännu inte i en annans, och det är därför organisationer ibland ser certifikatvarningar på en plattform men inte en annan under en CA:s inkluderings- eller borttagningsprocess.

Hur får en CA sitt rotcertifikat tillagt i en Trust Store?

1. CA skickar in en ansökan till rotprogrammet (t.ex. Microsoft, Apple, Mozilla, Chrome Root Program) tillsammans med sin certifikatpraxis.
2. En oberoende revisor utvärderar CA:s operativa, säkerhets- och utgivningspraxis mot programmets krav.
3. Rotprogrammet granskar granskningsresultaten och all feedback från allmänheten under kommentarsperioden.
4. Om det godkänns distribueras rotcertifikatet till plattformens användare, vanligtvis via en uppdatering av operativsystemet eller webbläsaren.
5. CA måste fortsätta att genomföra årliga revisioner för att förbli inkluderad; underlåtenhet att göra det kan leda till att de tas bort.

Vad händer när en rot tas bort från ett förtroendearkiv?

När en rotcertifikat saknas tilltro, slutar alla certifikat som är länkade till det att vara betrodda av den plattformen, även om dessa individuella certifikat var giltigt utfärdade. Detta hände 2018 när stora webbläsare misstrodde Symantec-utfärdade rootcertifikat efter upptäckter av felaktiga valideringsmetoder, vilket tvingade alla webbplatser som använde ett Symantec-kedjecertifikat att migrera till en annan certifikatutfärdare före misstrodatumet eller visa certifikatfel för besökare.

Kan en organisation lägga till sin egen rot-CA till en Trust Store?

Ja. Företag distribuerar ofta en intern rot-CA och skickar den till hanterade enheters förtroendelager via gruppolicy, hantering av mobila enheter eller liknande verktyg. Detta gör att internt utfärdade certifikat, till exempel för interna applikationer eller VPN-autentisering, kan litas på av företagets enheter utan att en offentlig CA behöver validera och utfärda dem, på bekostnad av att den roten bara är betrodd på enheter där den explicit har installerats.

Hur krypteringskonsulting hjälper

Hur krypteringskonsulttjänster hjälper PKI-as-a-Service utformar och driver interna rot- och utfärdande CA-hierarkier, inklusive distribution av interna rötter till hanterade enhetsförtroendelager, så att företagsutfärdade certifikat är betrodda exakt där de behöver vara. Stöds av ISO/IEC 27001:2022 och SOC 2-certifierade metoder.

Vanliga frågor om partihandel med mat och dryck

Vad är skillnaden mellan en trust store och en certifikatutfärdare?

En certifikatutfärdare utfärdar och signerar certifikat. Ett betrodd arkiv är den databas, som innehas av ett operativsystem, en webbläsare eller en applikation, för vars rotcertifikat utfärdaren behandlar som tillförlitliga. En utfärdares certifikat är endast automatiskt betrodda på plattformar vars betrodda arkiv inkluderar den utfärdarens rotcertifikat.

Varför visade vissa webbplatser certifikatfel efter att Symantecs roots inte litades på?

År 2018 tog stora webbläsare bort förtroendet för Symantec-utfärdade root-certifikat efter felaktiga utfärdanden. Alla webbplatser som fortfarande använde en certifikatkedja till en av dessa root-certifikat efter misstrodatumet visade ett certifikatfel tills den bytte till ett certifikat från en annan, fortfarande betrodd CA.

Kan jag lägga till en anpassad rot-CA till mitt företags enheter?

Ja. Organisationer distribuerar vanligtvis en intern rot-CA och distribuerar den till hanterade enheter via gruppolicy eller verktyg för hantering av mobila enheter, vilket gör att internt utfärdade certifikat kan litas på dessa enheter utan att behöva utfärdas av en offentlig CA.

Hur avgör en webbläsare om ett certifikat ska litas på?

En webbläsare kontrollerar om de presenterade certifikaten kedjor, genom noll eller fler mellanliggande certifikatutfärdare, upp till ett rotcertifikat som redan finns i dess förtroendearkiv. Om den kedjan validerar, och alla certifikat i den inte har gått ut och inte har återkallats, litar webbläsaren på anslutningen.

Distribuera betrodda certifikat exakt där du behöver dem

Ta nästa steg. PKI-as-a-Service utformar interna CA-hierarkier och hanterar distribution av trust store över hela din enhetsflotta. Utforska PKI-as-a-Service för att komma igång.