cyfrowy certyfikat

/ digital certificate /

Elektroniczne zaświadczenie przyporządkowujące dane służące do weryfikacji podpisu elektronicznego określonemu użytkownikowi.

Cyfrowy certyfikat jest zapisywaną w pliku tekstowym porcją danych i stanowi rodzaj gwarancji przy wymianie informacji w niezabezpieczonej sieci (jaką jest np. Internet). Potwierdza tożsamość osoby bądź organizacji, bezpieczeństwo serwera lub witryny, autentyczność programu, dokumentu, wiadomości e-mail, itp.

Cyfrowe certyfikaty tworzone są w oparciu o silne metody »kryptograficzne zapewniając wysoki poziom pewności. Ich wydawaniem zajmują się »urzędy certyfikacji (ang. certification autohorities). Prestiż tych instytucji oraz dołączany do każdego wydawanego certyfikatu ich własny podpis elektroniczny stanową gwarancję prawdziwości certyfikatu.

Rodzaje certyfikatów

Wśród cyfrowych certyfikatów można wyróżnić:

certyfikaty urzędów certyfikacji;
certyfikaty serwerów;
certyfikaty osobiste;
certyfikaty producentów oprogramowania;

Przykładem zastosowania cyfrowego certyfikatu serwera może być płatny serwis internetowy wymagający od użytkownika podania numeru jego karty kredytowej. Transakcja taka może odbyć się tylko pod warunkiem istnienia pełnego zaufania do strony prowadzącej usługę, co możliwe jest dzięki certyfikatom. Jeżeli witryna posiada swój certyfikat, użytkownik w każdej chwili może sprawdzić jej autentyczność. Uzyskuje w ten sposób pewność, że połączył się z właściwą firmą lub instytucją wykluczając, nie zaś z podstawioną, fałszywą witryną, mającą na celu wykradanie ważnych danych.

Z kolei certyfikaty osobiste przydają się podczas wymiany informacji pocztą elektroniczną, gdzie sfałszowanie zwykłej wiadomości jest szczególnie łatwe. Dołączony do przesyłki e-mail certyfikat stanowi gwarancję, że dotarła ona niezmieniona oraz rzeczywiście została wysłana przez osobę podającą się za nadawcę.

Konstrukcja certyfikatum

Z cyfrowymi certyfikatami nieodłącznie związana jest niezwykle popularna w Internecie metoda szyfrowania opierająca się na idei »klucza publicznego (zob. »kryptografia asymetryczna). W rzeczywistości, certyfikaty zostały wprowadzone ze względu na jedyną wadę tej metody - możliwość wygenerowania kluczy i posługiwania się nimi przez podstawioną osobę (np. Jan Kowalski może utworzyć klucz na nazwisko George Bush ). Certyfikaty wykluczają taką możliwość, chroniąc klucze prywatne przed nieautoryzowanym użyciem przez osoby trzecie. Odbywa się to poprzez przyporządkowanie parze kluczy imienia i nazwiska właściciela oraz innych istotnych informacji identyfikujących.

Informacje, jakie najczęściej umieszczane są w poświadczeniu autentyczności to m.in.:
nazwa użytkownika, organizacji bądź serwera, dla których certyfikat został wystawiony;
dodatkowe informacje (np. adres);

klucz publiczny właściciela certyfikatu;
nazwa instytucji, która wydała certyfikat (np. VeriSign, AT&T, GTE);
unikalny numer seryjny certyfikatu;
okres ważności (data wygaśnięcia ważności certyfikatu);
cyfrowy podpis wydawcy certyfikatu;

Chociaż sam certyfikat jest jawny, to za sprawą kryptografii asymetrycznej nie jest możliwe korzystanie z niego bez posiadania klucza prywatnego powiązanego z zawartym w certyfikacie kluczem publicznym. Klucz prywatny jest dodatkowo chroniony hasłem. Z kolei, ponieważ klucz publiczny instytucji certyfikującej jest powszechnie dostępny, można za jego pomocą sprawdzić autentyczność certyfikatu.

Procedura wydawania certyfikatów

Certyfikaty wydawane są przez wyspecjalizowane instytucje publicznego zaufania – urzędy certyfikacji. Wydanie certyfikatu poprzedzone jest wieloma, niekiedy bardzo rygorystycznymi czynnościami mającymi na celu potwierdzenie tożsamości osoby bądź instytucji, dla której wydawany jest certyfikat. Certyfikaty wydawane przez podmioty spełniające przewidziane prawem warunki stawiane urzędom nazywany jest certyfikatem kwalifikowanym (ang. qualified certificate). Na czele hierarchii urzędów stoi główny urząd certyfikacji, podpisujący certyfikaty należące do stojących niżej w hierarchii urzędów, a także sygnujący swój własny certyfikat (nazywany certyfikatem głównym).

Przeglądarki firm Netscape i Microsoft posiadają wbudowane listy urzędów, pozwalając także uzyskać sam certyfikat. Po wygenerowaniu w przeglądarce niepowtarzalnej pary kluczy, do wybranego urzędu przesyłany jest klucz publiczny. Po sprawdzeniu tożsamości osoby starającej się o certyfikat i uzyskaniu pewności, że zamówienie pochodzi rzeczywiście od niej (procedura wygląda różnie w przypadku każdego urzędu), urząd wystawia indywidualny certyfikat - powiązany wewnętrznie z danym kluczem publicznym. Zostaje on zapisany w przeglądarce i jest gotowy do użycia.