Рейтинг:1

Что такое перекрестная подпись корневых сертификатов и как она помогает при истечении срока действия корневого сертификата?

флаг sg

Я узнал, что корневые центры сертификации имеют перекрестную подпись, поэтому во время истечения срока действия сертификата не будет сбоев. Однако я не могу найти никаких хороших документов, объясняющих, как работает перекрестная подпись и как она предотвращает сбои, когда срок действия сертификата корневого ЦС истекает в ближайшем будущем?

Во время исследования я нашел следующее на ssltrust.in:

«Перекрестная подпись — это просто когда между корневым сертификатом и сертификатом узла существует несколько действительных путей. Это может быть выгодно по ряду причин. Иногда срок действия сертификата в цепочке истекает.Хотя было бы неплохо, если бы каждая часть программного обеспечения часто обновлялась и поставлялась с актуальной копией хранилища корневого ЦС, в реальном мире это не так. Многие устройства по ряду причин не подлежат регулярному обновлению. Стратегическое перекрестное подписание промежуточных сертификатов из более старого корневого сертификата (поэтому с большей вероятностью присутствующего на большем количестве устройств в дикой природе) «выигрывает время».

Означает ли это, что промежуточные ЦС имеют перекрестную подпись (подписаны более чем одним корневым ЦС, так что даже если срок действия одного из корневых ЦС истекает, все равно будет действующая цепочка доверия), а не корневые ЦС?

Кроме того, кросс-сертификат отличается от кросс-подписания? На этой странице Microsoft - https://docs.microsoft.com/en-us/windows-hardware/drivers/install/cross-certificates-for-kernel-mode-code-signing

«Кросс-сертификат — это цифровой сертификат, выданный одним центром сертификации (ЦС), который используется для подписи открытого ключа для корневого сертификата другого центра сертификации. Кросс-сертификаты предоставляют средства для создания цепочки доверия из одного, доверенный, корневой ЦС для нескольких других ЦС».

Таким образом, кажется, что кросс-сертификаты и кросс-подпись различны, и почему упоминается, что «кросс-сертификат — это цифровой сертификат, выданный одним центром сертификации (CA), который используется для подписи открытого ключа для корневого сертификата другой центр сертификации». Разве корневые сертификаты не являются самоподписанными?

Рейтинг:2
флаг cn

Нет, перекрестные сертификаты и перекрестная подпись на самом деле не разные вещи, и это правда, что как промежуточные ЦС, так и то, что мы обычно называем корневыми ЦС, могут проходить перекрестную сертификацию.

Ваше замешательство может быть связано с тем, что неясно, что такое корень. Существует множество ЦС, которые хотят быть корневыми, выдают себя за корневые, публикуют корневые сертификаты, подают заявки на включение в программы корневых сертификатов и т. д. Но каждый доверяет, т.е.каждый из нас в конечном счете решает, каким ЦС мы доверяем как корневым, хотя большинство из нас просто принимают значения доверия по умолчанию, установленные поставщиками браузеров или систем (Microsoft, Apple, Mozilla/Firefox, Sun/Oracle/Java, Goolge/Chrome и Android и т. д.). ). Выглядит ли данный ЦС как корень, может зависеть от того, кто его ищет. Например, у GeoTrust долгое время был свой опубликованный корень, но также были кросс-сертификаты для одного и того же ЦС (может быть, несколько, точно помню только один) от Equifax. Некоторые люди или системы доверяли корневым центрам GeoTrust и рассматривали их как корневые центры сертификации; некоторые этого не сделали, но доверяли Equifax и, таким образом, доверяли GeoTrust как подчиненному ЦС Equifax. Так в той ситуации GeoTrust был рутом или нет?

Более актуальный и сложный пример — LetsEncrypt. Когда они начали работу, они создали свой собственный корень «ISRG» и начали подавать заявки на его принятие, но изначально у них были два промежуточных (подчиненных) ЦС LetsEncrypt X3 и LetsEncrypt X4 (я сокращаю имена для удобства), подписанные корнем DST. X3, установленный корень, чтобы позволить им быстро начать, не дожидаясь, пока их собственный корень будет принят. (Технически они начали с промежуточных продуктов X1 и X2, но их быстро заменили X3 и X4 из-за проблемы, которую я не помню, например, они не работали с MSIE или что-то в этом роде.) Только в этом году, примерно через 5 лет. благодаря усилиям они, наконец, добились того, что ISRG Root X1 был принят настолько широко, что они могли переключиться на его использование; тем временем они добавили ISRG Root X2, который AFAICT еще не так широко принят. Так что теперь они используют эта трастовая структура:

  • промежуточные соединения R3 и R4 представляют собой в первую очередь привязаны (темные линии) к ISRG Root X1, но они также может быть привязанным (серые линии) к DST Root X3, если хотите

  • для тех (несколько) систем, которые не доверяют ISRG X1, все еще существует перекрестный (также называемый мостовым) сертификат от DST X3.

  • промежуточные соединения E1 и E2 связаны с ISRG X2, который может быть корневым, но для (многих) систем, которые не доверяют ISRG X2, он также перекрестно сертифицирован ISRG X1 (и, следовательно, косвенно DST X3, если необходимо)

Это осложняется тем, что DST X3 сертификат истекает через несколько недель (2021-09-30). Стандартные правила не говорят, должна ли проверка цепочки с использованием корневого сертификата с истекшим сроком действия завершаться неудачей, отчасти потому, что они вообще не указывают корневой сертификат, а только определенные поля; почти во всех программах удобно использовать сертификат в качестве структуры данных для корневого (также называемого привязкой) идентификатора и ключа, но это не обязательно. Таким образом, цепочки, использующие DST X3, могут вскоре стать недействительными, а могут и не стать, в зависимости от факторов, которые большинство пользователей не смогут понять, что не очень хорошо.

корень сертификат всегда самоподписывается, да. (Это показано стрелками замкнутого контура на диаграмме LetsEncrypt.) Однако ЦС, имеющий корневой сертификат, может также иметь перекрестный сертификат или даже несколько, которые не являются самоподписанными, но предназначены для ЦС, который можно помечать и рассматривать как корневой ЦС. Прозрачный как грязь?

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.