Сертификат открытого ключа
Простыми словами
Сертификат помогает ответить, с кем связан предъявленный открытый ключ и для каких задач его разрешено использовать. Для X.509 это определяют данные владельца, имя издателя, срок и расширения сертификата.
Сам файл не гарантирует доверие. Проверяющая система должна принять издателя или точку доверия и убедиться, что сертификат подходит конкретной операции. Копия сертификата не равна возможности владеть закрытым ключом.
Как применяется
Сертификаты используют при защищённых соединениях, идентификации участников и проверке подписи. Правила различаются по назначению: сертификат сервера не следует автоматически считать подходящим для подписи документов или другой операции.
При проверке учитывают цепочку, срок, назначение и ограничения, а также статус отзыва по принятой политике. Для TLS-сервера отдельно проверяют соответствие имени. Корректная подпись издателя не заменяет все остальные проверки.
Пример применения
Для внутреннего HTTPS-сервиса организация выдаёт сертификат на конкретное имя от корпоративного УЦ. Клиентам устанавливают доверие к нужному центру, а закрытый ключ остаётся под контролем сервиса.
При приёмке проверяют соединение по правильному имени, затем по другому имени и с истёкшим тестовым сертификатом. Во втором и третьем случаях ожидают отказ. Дополнительно проверяют отзыв, если его учёт обязателен для этой системы.
Не путать с
- Закрытый ключСекретная часть пары, позволяющая выполнять определённые криптографические операции. В сертификате находится открытая часть.
- Запрос CSRЗапрос на выдачу сертификата с ключом и данными заявителя. Он ещё не является сертификатом, выпущенным издателем.
- Самоподписанный сертификатПроверяется своим собственным ключом. Его доверие должно быть установлено отдельно и не возникает из одной подписи.
Как это работает
- Подготовить ключ и данныеОпределяют субъект и назначение, создают или используют разрешённую ключевую пару и формируют запрос.
- Получить сертификатИздатель проверяет заявку по своей процедуре и подписывает сертификат с необходимыми сроком и ограничениями.
- Настроить использованиеУстанавливают сертификат и цепочку, обеспечивают доступ к закрытому ключу только нужному сервису, задают доверие клиентам.
- Проверять и обновлятьКонтролируют срок и статус, тестируют условия доверия, своевременно обновляют сертификат и при необходимости ключевую пару.
Продолжить изучение
Связанные термины
Частые вопросы
Нет. Формат сертификата открытого ключа содержит открытую часть. Некоторые файлы-контейнеры могут объединять сертификат и закрытый ключ, поэтому формат контейнера проверяют отдельно.
Правильная подпись УЦ означает, что любой клиент примет сертификат?Нет. Клиент учитывает настроенное доверие, цепочку, срок и ограничения. Для сервера проверяется также имя; могут действовать дополнительные правила приложения.
Можно использовать один сертификат для всех задач?Только если это соответствует его назначению, ограничениям и принятой политике. Общее применение без проверки повышает последствия компрометации и может не поддерживаться клиентами.