Download - Svetlin Nakov

списъка на Root-сертификатите, на които безусловно се вярва. За всеки от
сертификатите се проверява допълнително срокът му на валидност и дали
има право да подписва други сертификати [RFC 3280, раздел 6].
Доверени Root-сертификати
Всеки софтуер за проверка на сертификационни вериги поддържа списък от
доверени Root-сертификати (trusted root CA certificates), на които вярва
безусловно. Това са най-често Root-сертификатите на утвърдените глобални
(световни) сертификационни органи.
Например уеб браузърът Microsoft Internet Explorer идва стандартно със
списък от около 150 доверени Root-сертификата, а браузърът Mozilla при
първоначална инсталация съдържа около 70 доверени сертификата.
Процесът на верификация на сертификационна верига
Проверката на една сертификационна верига включва не само проверка на
това дали всеки сертификат е подписан от следващия и дали сертификатът в
края на тази верига е в списъка на доверените Root-сертификати.
Необходимо е още да се провери дали всеки от сертификатите във веригата
не е с изтекъл срок на валидност, а също дали всеки от сертификатите без
първия има право да бъде използван за подписване на други сертификати.
Ако проверката на последното условие бъде пропусната, ще стане възможно
краен клиент да издава сертификат на името на когото си поиска и
верификацията на издадения сертификат да преминава успешно.
При проверката на дадена сертификационна верига се проверява и дали
някой от сертификатите, които я съставят, не е анулиран (revoked). На
процеса по анулиране на сертификати ще се спрем малко по-късно.
Съвкупността от всички описани проверки има за цел да установи дали на
един сертификат може да се вярва. Ако проверката на една сертификационна
верига не е успешна, това не означава непременно, че има опит за
фалшификация. Възможно е списъкът на доверените Root-сертификати,
използван при верификацията, да не съдържа Root-сертификата, с който
завършва веригата, въпреки че той е истински.
В общия случай един сертификат не може да бъде верифициран по описания
начин, ако не е налична цялата му сертификационна верига или ако Rootсертификатът,
с който започва веригата му, не е в списъка на доверените
сертификати. Сертификационната верига на един сертификат може да се
построи и програмно, ако не е налична, но за целта трябва да са налични
всички сертификати, които участват в нея.
1.2.3. Хранилища за сертификати
В системите за електронно подписване на документи се използват защитени
хранилища за ключове и сертификати (protected keystores). Едно такова
хранилище може да съдържа три типа елементи – сертификати,
сертификационни вериги и лични ключове.
31