Самоподписанный сертификат
Простыми словами
Такой сертификат подписывает собственный владелец ключа. Подпись позволяет проверить целостность сертификата, но сама по себе не доказывает, что ключ принадлежит нужной организации или серверу.
Доверие устанавливают отдельно. Самоподписанный корневой сертификат может быть доверенным основанием PKI, если его безопасно передали и явно настроили у клиентов. Случайный файл из сетевого соединения таким основанием не становится.
Как применяется
Самоподписанные сертификаты встречаются в тестовых средах, ограниченных соединениях с заранее настроенным доверием и в корневых точках доверия. Выбор зависит от возможностей клиента и принятой модели проверки.
При использовании фиксируют, кто подтвердил ключ и как его обновлять. Проверку имени, срока и назначения не отключают ради устранения предупреждения. Для многих внутренних сервисов удобнее управляемая выдача от внутреннего удостоверяющего центра.
Пример применения
Команда создаёт тестовый сервис и отдельный самоподписанный сертификат. Ответственный администратор передаёт проверенный сертификат тестовому клиенту по независимому защищённому каналу и настраивает ограниченное доверие.
При тесте подмены предъявляют другой сертификат с тем же именем: клиент должен отказать. После окончания работы тестовое доверие удаляют. Сертификат из непроверенного соединения не добавляют в общесистемное хранилище ради удобства.
Не путать с
- Сертификат внутреннего УЦПодписан ключом корпоративного центра. Клиенту настраивают доверие к этому центру и проверяют цепочку.
- Сертификат публичного УЦОпирается на принятую клиентом цепочку публичных центров. Самоподписанный сертификат не получает такое доверие автоматически.
- PKIВключает правила выдачи, проверки и жизненного цикла. Наличие одного самоподписанного файла не создаёт полноценную систему управления сертификатами.
Как это работает
- Определить назначениеРешают, для какого ограниченного применения нужен сертификат и какой клиент будет его проверять.
- Создать ключ и сертификатГенерируют защищённую ключевую пару, задают необходимые имя, срок и назначение, затем формируют собственную подпись.
- Настроить довериеНезависимо подтверждают правильный ключ и передают доверенные сведения предусмотренным способом. Ограничивают область доверия.
- Проверить и обновлятьТестируют правильный сертификат и подмену. Планируют замену, окончание срока и удаление временного доверия.
Продолжить изучение
Связанные термины
Частые вопросы
Это неверно. Он может участвовать в защищённом соединении, но ключевой вопрос — корректная аутентификация стороны. Шифрование без подтверждённого доверия не устраняет риск подмены.
Почему корневой сертификат самоподписан?Корень может служить заранее настроенной точкой доверия. Доверие возникает из процедуры его принятия, а не из того, что сертификат подписал сам себя.
Можно отключить проверку сертификата в рабочей системе?Это устраняет важную проверку подлинности стороны. Вместо отключения настраивают подходящее доверие, правильные имена и жизненный цикл сертификатов.