Download - Svetlin Nakov

верификация на сигнатури – от сертификата на изпращача се извлича
публичният му ключ и се проверява дали сигнатурата на получения
документ е направена със съответния му личен ключ.
3.3.2. Система за верификация на сертификати
Проверката на получения сертификат има за цел да установи дали
публичният ключ, записан в него, е наистина собственост на лицето, на
което сертификатът е издаден, т. е. дали потребителят е наистина този, за
когото се представя при подписването. Тази проверка е по-сложна и изисква
предварителна подготовка.
Верификация на цифрови сертификати
Има няколко механизма за верификация на цифрови сертификати. Ние ще
разгледаме два от тях. При PKI инфраструктурата класическият механизъм
за проверка на сертификат изисква да се провери сертификационната му
верига. За да се провери една сертификационна верига, всички
сертификати, които я изграждат трябва да са налични. В противен случай
проверката не може да се извърши. Другият вариант е да се провери
директно сертификатът дали е подписан от друг сертификат, на който имаме
доверие.
В нашата система потребителят използва при подписването стандартни
защитени хранилища за ключове и сертификати, записани в PFX файлове.
Както знаем, тези файлове обикновено съдържат сертификат и съответстващ
му личен ключ. В повечето случаи сертификатът е придружен от пълната му
сертификационна верига, но понякога такава верига не е налична.
Например, когато потребителят използва за подписване на документи
саморъчно-подписан сертификат, този сертификат няма сертификационна
верига. Следователно е възможно при получаването на подписан файл на
сървъра да се получи сертификатът на потребителя заедно с пълната му
сертификационна верига, но е възможно също да се получи само
сертификата без никаква сертификационна верига.
Проверка на сертификационната верига
Ако е налична сертификационната верига на използвания при подписването
сертификат, тази верига може да се провери по класическия начин – чрез
проверка на всеки от сертификатите, които я изграждат, проверка на
валидността на връзките между тях и проверка на Root-сертификата, от
който започва веригата.
За целта може да се използват средствата на Java Certification Path API и
алгоритъмът PKIX, който е реализиран стандартно в JDK 1.4. Необходимо е
единствено приложението да поддържа множество от Root-сертификати на
сертификационни органи от първо ниво, на които безусловно вярва (trusted
CA root certificates).
71