Digitální certifikát

Z Wikipedie, otevřené encyklopedie

Skočit na: Navigace, Hledání
Faktická přesnost tohoto článku je zpochybněna. Relevantní diskuse je na diskusní stránce.
Informace pro vkladatele šablony: Vložte prosím na diskusní stránku zdůvodnění vložení šablony.


Digitální certifikát vydává certifikační autorita a používá se v asymetrické kryptografii. Je to digitálně podepsaný veřejný klíč, který se uchovává ve formátu podle standardu X.509. Certifikát (resp. v něm umístěný digitální podpis) lze kryptograficky ověřit a využívat tak veřejné klíče umístěné v systému PKI (Public Key Infrastructure) na základě principu přenosu důvěry.

Obsah

[editovat] Certifikační autorita

Certifikační autorita je subjekt, který vydává certifikáty a zaručuje totožnost jeho majitele a pravdivost údajů, které jsou uvedeny ve veřejném klíči.

Podrobnější informace naleznete v článku Certifikační autorita.

[editovat] Vydání certifikátu

Vygenerování páru klíčů
Digitální certifikát je založen na matematické podstatě, která je základem šifrování. Aby mohlo k šifrování dojít je potřeba mít pár klíčů (jeden soukromý a druhý veřejný).
Žádost o certifikát
Údaje které je potřeba vyplnit, jsou závislé na typu certifikátu, např. jméno osoby, název firmy, název serveru, email atd. K této žádosti je přidán veřejný klíč žadatele. Žádost je následovně poslána certifikační autoritě. V některých případech pro zvýšení bezpečnosti je soubor s žádostí nahrán na flash disk. Ten pak musí žadatel osobně doručit certifikační autoritě. Odeslání vytvořené žádosti certifikační autoritě a vygenerování páru klíčů se provádí automaticky přes webové stránky CA nebo pomocí některých pragramů.
Ověření autenticity
Certifikační autorita si ověřuje pravdivost vyplněných údajů pomocí telefonu, osobní návštěvy, hashe klíče, klíče označeného jako důvěryhodný. V případě serverových certifikátů ověřuje kromě identity žadatele ještě vlastnictví domény, pro kterou je certifikát vystaven. Ověření totožnosti a kontrola elektronické žádosti se také provádí v takzvaných registračních autoritách, což je síť poboček certifikační autority. Žadatel tak nemusí chodit do sídla certifikační autority, ale stačí když navštíví jednu z těchto poboček registračních autorit.

Tento postup vydání certifikátu se týká většiny certifikátů, např. zde zmiňovaných kvalifikovaných a nekvalifikovaných.

[editovat] Ověření platnosti certifikátu

CRL (seznam zneplatněných certifikátů)

Jedná se o seznam certifikátů, u kterých byla předčasně ukončená platnost. CRL seznamy jsou pravidelně zveřejňovány po určité době a nebo ihned po zrušení certifikátu. CRL seznam by měl být dostupný dvěma na sobě nezávislými způsoby. Aby nemohlo dojít ke zfalšování CRL, je tento seznam obvykle opatřen digitálním podpisem spojený s CA. Ke znehodnocení certifikátů dochází především ze dvou důvodů: při změně uvedených údajů a při kompromitaci soukromého klíče.
Existují dva druhy zrušených certifikátů:

  • Odstraněný - Certifikát je nenávratně zrušen. K tomu dochází při nesprávném vydání certifikátu, při kompromitaci soukromého klíče a nebo po nedodržení podmínek certifikační politiky.
  • Uchován - Certifikát je zneplatněn pouze dočasně.


On-line Certifikát Status protokolu (OCSP)

Byl vytvořen jako alternativa k CRL a řeší problémy spojené s použitím CRL a PKI (infrastrukturou veřejného klíče). Informace v OCSP jsou kódovány v ASN.1 a jsou zobrazovány pomocí HTTP.

Porovnání OCSP s CRL

OCSP poskytuje aktuálnější informace týkající se zrušení certifikátu, protože obsahuje méně informací než CRL. Při použití OCSP nemusejí klienti sami analyzovat CRL. OSSP dokáže odhalit, když se certifikát používá jen na určitou dobu. OSCP využívá menší šířku pásma sítě a nepoužívá šifrování. Umožňuje komunikaci v reálném čase.


Základní PKI implementace

1. Alice a Petr mají veřejný klíč certifikátu, který je ověřen CA.
2. Alice s Petrem chtějí provést transakci. Nejprve Alice pošle Petrovi svůj veřejný klíč certifikátu.
3. Petr si chce ověřit, zda není ohrožen soukromý klíč a proto pošle certifikační autoritě OCSP dotaz, který obsahuje sériové číslo certifikátu.
4. CA zkontroluje jestli se nenachází v seznamu stornovaných certifikátů ve vlastní Certifikační databázi (pomocí sériového čísla certifikátu, který zadal Petr).
5. CA potvrzuje, že certifikát Alice je v pořádku a posílá Petrovi podepsanou úspěšnou OCSP odpověď.
6. Petr si kryptograficky ověří podepsanou odpověď.
7. Petr uskuteční transakci s Alicí.

Vlastnosti protokolu

V odpovědi OSCP může být, že je certifikát: v „pořádku“, „zrušený“ nebo „neznámý“.

  • Formát umožňuje další rozšíření, které umožňuje rosáhlé úpravy v PKI.
  • Je částečně odolné proti replay útokům.
  • Může podporovat více než jednu úroven CA.
  • Klíč, kterým je podepsána odpověď, nemusí být stejný jako ten, který podepsal certifikát.

[editovat] Náležitosti certifikátu

Data v certifikátu jsou napsána v jazyku ASN.1. Výhody toho jazyku spočívají v nezávislost na počítačové platformě a dobré čitelnosti pro člověka. K převodu do binární podoby se používá kódování DER nebo CER a následovně ještě Base64. Základem všech formátů a kódů je nutnost, se shodovat s mezinárodními normami a díky nim je zaručená bezproblémová komunikace mezi programem a digitálním certifikátem.

Soubor s digitálním certifikátem je po otevření zobrazen v čitelné podobě, což umožňuje si přečíst údaje o odesílateli.

Povinné

  • Sériové číslo
  • Identifikační údaje majitele certifikátu.
  • Identifikační údaje vydavatele certifikátu.
  • Veřejný klíč, jeho bitová délka je závislá na druhu použitého šifrování.
  • Typ algoritmu, který je pro podepisování použit.
  • Datum počátku a konce platnosti certifikátu. Jeden z důvodů omezení platnosti, je odhalení párového klíče pomocí metody hrubé síly. Doba platnosti je závislá na síle klíče a tedy na době trvání případného prolomení pomocí výpočetní techniky. Nejběžnější doba platnosti je jeden rok. Certifikát se může vytvářet kdykoliv po dobu jeho platnosti.

Nepovinné

  • Seznam omezení a konkrétních práv, které upřesňují, v jakých situacích a za jakých podmínek lze certifikát použít.
  • Cesty k certifikátům a seznamu zneplatněných certifikátů.

K podepisování se používají následující algoritmy:

[editovat] Druhy certifikátů

Existuje veliké množství certifikátů. Jsou odlišovány v závislosti na účelu použití a jedinci, kterému je určen.
Zde jsou uvedeny pouze ty základní.

Kvalifikovaný certifikát

  • Používají se tam, kde by měl elektronický podpis nahradit fyzický. Podle dané normy by měl být kvalifikovaný certifikát použit pouze k elektronickému podpisu viditelné datové struktury (data, která se podepisují, musí být zobrazena před podpisem v čisté podobě). Což umožňuje uživateli interaktivně odsouhlasit použití certifikátu.
  • Vzhledem k omezení identifikačních atributů uživatele, není tento certifikát vhodný pro autentizaci. Mohlo by dojít k ohrožení bezpečnosti certifikátu.
  • Je vhodný ke komunikaci občanů se státní správou, správou sociálního zabezpečení, finančními úřady, zdravotními pojišťovnami, celním úřadem atd. Občanovi tak ušetří čas, protože si může vyřídit spoustu věcí z domova.
  • Používá se k vytváření a ověření elektronického podpisu.
  • Je ze zákona akceptován stejně jako občanský průkaz a je obecně platný.
  • Slouží k zajištění integrity zprávy (jestli nebyla zpráva pozměněna).
  • Je dán normou, kterou musí striktně dodržovat (zákon č. 227/2000 Sb., o elektronickém podpisu).

Nekvalifikovaný certifikát

  • Jsou svým použitím vhodné v uzavřených systémech.
  • Mají širší oblast použití než kvalifikované certifikáty. Nejsou automaticky uznávány. Nejprve se musejí obě komunikující strany dohodnout o důvěře nekvalifikovaný certifikační autoritě. Poté se uzavře smlouva, která mimo jiné řeší i podmínky komunikace.
  • Mohou být vydány nejen osobám, ale i aplikacím, hardwaru nebo serverům.
  • Využívají se k ověření elektronických podpisů, zajištění šifrované komunikace a autentizaci uživatelů.
  • Na rozdíl od kvalifikovaného certifikátu ho nemusejí všechny subjekty akceptovat.

Self-signed certifikát

  • Self-signed certifikáty slouží k podepisování vlastních produktů.
  • Používá se k podepisování serverů, aplikací, osob atd.
  • Slouží k bezpečné komunikaci webového prohlížeče se serverem.
  • Tento certifikát si může vytvořit každý sám - má nejnižší úroveň zabezpečení.
  • Používá se často pro testovací účely.
Podrobnější informace naleznete v článku Osobně podepsaný certifikát.

[editovat] Související články

[editovat] Zdroje

♠

Citováno z „http://cs.wikipedia.org/wiki/Digit%C3%A1ln%C3%AD_certifik%C3%A1t“