Инфраструктура открытых ключей (PKI)
Простыми словами
Проверяющей стороне недостаточно получить открытый ключ: нужно понять, кому он принадлежит и почему ему можно доверять. Сертификат связывает ключ с указанным субъектом, а инфраструктура обеспечивает выпуск и дальнейшую проверку этой связи.
PKI требует согласованных действий: проверки заявителя, защиты ключей, установки доверенных центров и своевременного отзыва. Если приложение не проверяет сертификат по установленным правилам, сам факт его выпуска не создаёт надёжного доверия.
Как применяется
PKI используют для аутентификации сервисов и устройств, защищённых соединений и систем подписи. Удостоверяющий центр (CA) подписывает сертификаты, регистрационный центр (RA), если выделен, проверяет заявки, а владельцы защищают свои закрытые ключи.
Проверяющее приложение строит цепочку к доверенному центру, учитывает срок действия, назначение сертификата и предусмотренную проверку отзыва. Для эксплуатации нужны учёт сертификатов, обновление до истечения срока и план действий при компрометации.
Пример применения
Например, компания выпускает сертификаты для внутренних сервисов. Уполномоченный сотрудник подтверждает заявку и имя сервиса. Закрытый ключ хранится у сервиса в предусмотренном защищённом хранилище, а клиентам устанавливают нужный доверенный корневой сертификат.
Перед окончанием срока сервис получает новый сертификат, и команда проверяет соединение с клиентами. При утечке ключа старый сертификат отзывают и обновляют сведения о статусе. Выпустить замену недостаточно, если клиенты продолжают принимать старую.
Не путать с
- Удостоверяющий центрCA — один из участников PKI, который выпускает и подписывает сертификаты. PKI также включает правила, проверку, владельцев и обслуживание сертификатов.
- СертификатЭто подписанный объект с открытым ключом и сведениями о субъекте. PKI обеспечивает процессы его выпуска, использования и прекращения доверия.
- OCSPOCSP сообщает статус сертификата. Он решает отдельную задачу проверки и не заменяет всю инфраструктуру доверия.
Как это работает
- Подтвердить заявкуПроверяют заявителя, имя и назначение сертификата. Устанавливают, кто вправе согласовать выпуск.
- Выпустить сертификатСоздают или используют ключевую пару по принятой процедуре. CA подписывает сертификат, а закрытый ключ защищают от постороннего использования.
- Настроить проверкуКлиентам задают доверенные центры и правила проверки цепочки, срока, назначения и статуса сертификата.
- Обслуживать жизненный циклУчитывают сроки, обновляют сертификаты и ключи, публикуют сведения об отзыве и проверяют реакцию клиентов на изменения.
Продолжить изучение
Связанные термины
Частые вопросы
Нет. Организация может использовать внутреннюю PKI для своих сервисов и устройств. Доверие к её центрам должно быть настроено у нужных клиентов.
Закрытый ключ хранится в сертификате?Нет. Сертификат содержит открытый ключ. Закрытый ключ хранится отдельно и требует собственной защиты; владение файлом сертификата не равно владению закрытым ключом.
Почему корректно подписанный сертификат не принимается?Возможны недоверенный центр, неполная цепочка, неподходящее имя или назначение, истёкший срок либо отзыв. Проверяют конкретную ошибку клиента, а не только подпись CA.