Цифровые сертификаты

При использовании асимметричных методов шифрования (и, в частности, электронной цифровой подписи) необходимо иметь гаран­тию подлинности пары (имя пользователя, открытый ключ пользовате­ля). Для решения этой задачи в спецификациях Х.509 вводятся понятия цифрового сертификата и удостоверяющего центра.

Удостоверяющий центр — это компонент глобальной службы ката­логов, отвечающий за управление криптографическими ключами поль­зователей. Открытые ключи и другая информация о пользователях хра­нятся удостоверяющими центрами в виде цифровых сертификатов, имеющих следующую структуру:

• порядковый номер сертификата;

• идентификатор алгоритма электронной подписи;

• имя удостоверяющего центра;

• срок годности;

• имя владельца сертификата (имя пользователя, которому при­надлежит сертификат);

• открытые ключи владельца сертификата (ключей может быть несколько);

• идентификаторы алгоритмов, ассоциированных с открытыми ключами владельца сертификата;

• электронную подпись, сгенерированную с использованием сек­ретного ключа удостоверяющего центра (подписывается ре­зультат хэширования всей информации, хранящейся в серти­фикате).

Цифровые сертификаты обладают следующими свойствами:

• любой пользователь, знающий открытый ключ удостоверяю­щего центра, может узнать открытые ключи других клиентов центра и проверить целостность сертификата;

• никто, кроме удостоверяющего центра, не может модифициро­вать информацию о пользователе без нарушения целостности сертификата.

В спецификациях X.509 не описывается конкретная процедура гене­рации криптографических ключей и управления ими, однако даются не­которые общие рекомендации. В частности, оговаривается, что пары ключей могут порождаться любым из следующих способов:

• ключи может генерировать сам пользователь; в таком случае секретный ключ не попадает в руки третьих лиц, однако нужно решать задачу безопасной связи с удостоверяющим центром;

• ключи генерирует доверенное лицо; здесь приходится решать задачи безопасной доставки секретного ключа владель­цу и предоставления доверенных данных для создания серти­фиката;

• ключи генерируются удостоверяющим центром, в данном случае остается только задача безопасной передачи ключей владельцу.

Цифровые сертификаты в формате Х.509 версии 3 стали не только формальным, но и фактическим стандартом, поддерживаемым много­численными удостоверяющими центрами.

Следует отметить, что криптографические методы используются также для контроля целостности информации и программ. Для этого применяется шифрованная контрольная сумма исходного текста (имитоприставка), вычисленная с применением секретного ключа. В отличие от традиционной контрольной суммы (используемой для защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает практически абсолютную защиту как от непреднамеренной, так и преднамеренной модификации данных или программы.