Структура сертифікату відкритого ключа Х.509 та списку CRL

Date: 2015-10-07; view: 492.

Таблиця 11.1 Сертифікат відкритого ключа Х.509 версії 3

Доповнення (розширення) сертифікату X.509 версії 3 являє собою структуру, що містить:

- ідентифікатор доповнення;

- ознаку "критичне/не критичне" доповнення;

- значення доповнення, що представляється в бінарному вигляді.

Всі доповнення можливо розділити на дві категорії: обмежуючи та інформаційні. Обмежуючи доповнення обмежують сферу застосування ключа, що визначений сертифікатом, або обмежують сферу застосування самого сертифікату. Інформаційні доповнення містять додаткову інформацію, яка може використовуватися в системі.

До обмежуючих доповнень, наприклад, відносяться:

- сфера використання ключа;

- обмеження імен.

До інформаційних обмежень, наприклад, відносяться:

- ідентифікатори ключів;

- точка розповсюдження списків відкликаних сертифікатів (адреса сервера, тощо).

Разом з цим, стандарт X.509 дозволяє визначити інші доповнення, необхідність яких визначається при використанні в конкретній системі.

Навіть якщо строк дії сертифікату не вийшов, він може бути розглянутий як недійсний або непридатний, наприклад він може бути більш не потрібний володарю, таємний ключ може бути скомпрометований, тощо.

Процедура блокування або скасування сертифікату призводить до внесення сертифікату до ССС - списку скасованих сертифікатів (Certificate Revocation List - CRL). Основним форматом ССС на даний час визнано так званий формат ССС Х.509 версії 2.

Список скасованих сертифікатів випускається (тобто є дійсним) на певний період. Він створюється у каталозі і містить перелік серійних номерів анульованих сертифікатів, підписаний ЦП центру сертифікації, що його сформував. Користувач може звертатися до каталогу задля отримання кодів причин скасування.

Передбачено також метод онлайнової верифікації статусу сертифікату, наприклад, сервер ЦС, відомий як OCSP-респондер (відповідач), у режимі реального часу обробляє звернення прикладних об'єктів та надсилає дані щодо статусу сертифікатів, завірені цифровим підписом.

Таблиця 11.2 Список скасованих сертифікатів Х.509 версії 2

Несвоєчасність призупинення дії сертифіката підвищує ризики фальсифікації підпису, транзакцій, або порущення конфіденційності.

Якщо користувач сам несе відповідальність за безпеку засобів генерації параметрів цифрового підпису, то існує потенційний ризик їх компрометації і несанкціонованого використання сертифікатів. У відповідних випадках центр сертифікації відкликає сертифікати, тобто тимасово припиняє дію сертифікатів, або скасовує їх. Аналогічно, відкликати сертифікати необхідно за бажанням власника, по закінченні строку дії сертифікату, тощо.

При несвоєчасному моніторингу може виконуватися автентифікація повідомлень чи транзакцій, завірених ключами підпису прострочених сертифікатів.

Невдало розроблені політики і процедури ІВК щодо моніторингу статусу сертифікатів та керування списком скасованих сертифікатів є джерелом стратегічного ризику, а неправильно реалізовані - піддають центр сертифікації операційному ризику і ризику втрати ділової репутації.

Таким чином, можна зробити висновок, що нереально сподіватися на реалізацію універсального мкханізму забезпечення користувачів ІВК.

Звідси випливає, що більш перспективним підходом з розподіл користувачів на категорії і створення механізму обмежень, що визначають ту, чи іншу категорію та відображаються у сертифікатах.