Цифрові сертифікати

Одна з головних проблем асиметричних криптосистем полягає в тому, що користувачі повинні постійно стежити, зашифровують чи вони повідомлення істинними ключами своїх кореспондентів. У середовищі вільного обміну відкритими ключами через громадські сервери-депозитарії атаки за принципом «людина в середині» представляють серйозну потенційну загрозу. У цьому виді атак зловмисник підсовує користувачеві підроблений ключ з ім'ям передбачуваного адресата; дані зашифровуються підставним ключем, перехоплюються його власником-зловмисником, потрапляючи в підсумку в чужі руки.

У середовищі криптосистем з відкритим ключем критично важливо, щоб ви були абсолютно впевнені, що відкритий ключ, яким збираєтеся щось зашифрувати - не майстерна імітація, а справжня власність вашого кореспондента. Можна просто шифрувати тільки тими ключами, які були передані вам їх власниками з рук в руки на дискетах. Але припустимо, що потрібно зв'язатися з людиною, що живуть на іншому краю світу, з яким ви навіть незнайомі; як ви можете бути впевнені, що отримали його справжній ключ?

Цифрові сертифікати ключів спрощують завдання визначення приналежності відкритих ключів передбачуваним власникам.

Сертифікат є форма посвідчення. Інші види посвідчень включають ваші водійські права, державний паспорт, свідоцтво про народження, і т.п. Кожне з них несе на собі деяку ідентифікує вас інформацію і певний запис, що хтось інший (держструктура, приватна особа) встановив вашу особу. Деякі сертифікати, такі як паспорт, - самодостатнє підтвердження вашої особистості; буде досить кепсько, якщо хтось украде його, щоб видати себе за вас.

Цифровий сертифікат у своєму призначенні аналогічний фізичному. Цифровий сертифікат ключа - це інформація, прикріплена до відкритого ключа користувача, що допомагає іншим встановити, чи є ключ справжнім і вірним. Цифрові сертифікати потрібні для того, щоб зробити неможливою спробу видати ключ однієї людини за ключ іншого.

Цифровий сертифікат складається з трьох компонентів:

• відкритого ключа, до якого він прикладений;

• даних, або записів, сертифіката (відомості про особу користувача, як то, ім'я, електронна пошта і т.п., а також, за необхідності, додаткові відомості: права допуску, робочі ліміти та інше);

• однієї або декількох цифрових підписів, «зв'язують» ключ із сертифікатом.

Мета ЕЦП на сертифікаті - вказати, що відомості сертифіката були завірені довіреною третьою особою чи організацією. У той же час цифровий підпис не підтверджує достовірність сертифіката як цілого; вона є поручительством тільки того, що підписана запис сертифіката (ідентифікує інформація) пов'язані з даним відкритим ключем.

Таким чином, сертифікат, звичайно, - це відкритий ключ з прикріпленими до нього однією або декількома формами ID плюс відмітка підтвердження від довіреної особи, «зв'язує» ID і відкритий ключ.

Поширення сертифікатів

Сертифікати застосовуються, коли потрібно обмінятися з ким-небудь ключами. Невеликим групам людей, що потребують захищеного зв'язку, не складе труднощів просто передати один одному дискети або відправити електронні листи, що містять копії їх ключів.

Це - ручне поширення відкритих ключів, і воно ефективне тільки до певного етапу. Подальше - за межами можливостей даного методу, і тоді виникає необхідність розгортання системи, яка б забезпечувала достатню надійність і безпеку, надавала можливості зберігання і обміну ключами, так що колеги, бізнес-партнери або незнайомці змогли б відправляти один одному зашифровані повідомлення, якщо в тому виникне необхідність.

Така система може реалізуватися у формі простого сховища-депозитарію, званого сервером сертифікатів, або сервером-депозитарієм відкритих ключів, або мати складнішу і комплексну структуру, яка передбачає додаткові можливості адміністрування ключів, і звану інфраструктурою відкритих ключів (Public Key Infrastructure, PKI).