Автономный корневой центр сертификации - Offline root certificate authority

An автономный корневой центр сертификации это центр сертификации (как определено в X.509 стандарт и RFC  5280 ), который изолирован от доступа к сети и часто находится в выключенном состоянии.

В инфраструктура открытого ключа, цепочка доверенных органов начинается с корневой центр сертификации (корневой ЦС). После установки корневого центра сертификации и его корневой сертификат создается, следующее действие, предпринимаемое администратором корневого ЦС, - это выдача сертификатов, разрешающих промежуточные (или подчиненные) ЦС. Это создает возможность выпускать, распространять и отзывать цифровые сертификаты без прямого действия корневого CA.

Потому что последствия взломанного корневого ЦС такие классные (вплоть до необходимости перевыпускать каждый сертификат в PKI), все корневые центры сертификации должны быть защищены от несанкционированного доступа. Распространенным методом обеспечения безопасности и целостности корневого ЦС является его хранение в не в сети штат. Он запускается только тогда, когда это необходимо для конкретных, нечастых задач, обычно ограниченных выдачей или повторной выдачей сертификатов, разрешающих промежуточные центры сертификации.

Недостатком работы в автономном режиме является то, что хостинг список отзыва сертификатов корневым центром сертификации невозможно (поскольку он не может отвечать на запросы CRL через такие протоколы, как HTTP, LDAP или OCSP ). Однако можно перенести функцию проверки сертификатов в специальный орган проверки авторизован автономным корневым центром сертификации.

Чтобы лучше понять, как автономный корневой ЦС может значительно улучшить безопасность и целостность PKI, важно понимать, что CRL является специфическим для ЦС, выдавшего сертификаты из списка. Таким образом, каждый ЦС (корневой или промежуточный) отвечает только за отслеживание отзыва сертификатов, выданных им самим.

Рассмотрим сценарий, в котором корневой ЦС выдает сертификаты трем промежуточным ЦС: A, B и C.

  • Корневой ЦС выдал всего три сертификата.

Затем вновь созданные промежуточные центры сертификации выдают свои собственные сертификаты:

  • Промежуточный ЦС «А» выдает 10 000 сертификатов.
  • Промежуточный ЦС "B" выдает 20 000 сертификатов.
  • Промежуточный ЦС "C" выдает 30 000 сертификатов.

Если бы каждый промежуточный ЦС отозвал все выпущенные им сертификаты, максимальный размер CRL, специфичный для каждого промежуточного ЦС, был бы:

  • Промежуточный CA «A»: 10 000 записей CRL
  • Промежуточный CA "B": 20 000 записей CRL
  • Промежуточный CA "C": 30 000 записей CRL

Однако, поскольку корневой ЦС выдал только три сертификата (каждому из промежуточных ЦС), максимальный размер его CRL составляет:

  • Корневой ЦС: 3 записи CRL

Таким образом, общая нагрузка по поддержке и размещению CRL, относящегося к корневому ЦС, сводится к минимуму за счет использования промежуточных ЦС, а также бремени поддержки связанного орган проверки.

Смотрите также

использованная литература