Сертификат ca: Что такое корневой сертификат? | FirstSSL

12.01.2023 alexxlab

Содержание

Корневой сертификат СА: что это?

Помощь 0 Регистрация Вход

Домены
Хостинг
Сайты
Личный кабинет
VPS и серверы

SSL-сертификаты
- Общая информация по SSL
- 1 этап: Заказ SSL-сертификата
- 2 этап: Активация SSL-сертификата
- 3 этап: Установка SSL-сертификата
- Продление SSL-сертификата
- Проблемы с SSL-сертификатом
Общие вопросы

Что такое корневой сертификат
Как получить корневой сертификат
Как установить цепочку сертификатов

Что такое корневой сертификат

Корневой сертификат SSL (или CA certificate) — это цифровой документ, с помощью которого центры сертификации заверяют SSL-сертификаты при выдаче. Этим они гарантируют, что организации и пользователи, которые используют SSL, верифицированы — т.е. проверены и им можно доверять.

Корневые сертификаты могут быть именными и неименными. Именные CA используют центры с многолетней историей (например, Comodo, Symantec, GlobalSign). К неименным относят самоподписанные сертификаты безопасности (например, SSL Windows и Let’s Encrypt).

Если на сайте установлен именной сертификат, браузер определяет, что он выпущен доверенным «поручителем» и приступает к частной проверке сайта. Если информация о корневом сертификате отсутствует, браузер понимает, что у сайта нет «поручителя» и считает его небезопасным:

Помимо корневого сертификата, для полноценной защиты сайту нужен промежуточный сертификат и индивидуальный сертификат домена. Их также выдает центр сертификации при выпуске SSL. Совокупность этих цифровых документов называют цепочкой сертификатов. Если на сайте установлены все элементы цепочки, сайт надежно защищен сертификатом и безопасен.

Как получить корневой сертификат

Корневые сертификаты выдаются сертификационными центрами после заказа SSL. Например, если вы закажите сертификат в 2DOMAINS, то для активации SSL на ваш электронный адрес придет корневой сертификат от центра GlobalSign.

Можно ли создать корневой сертификат самостоятельно? Нет, создавать и выдавать сертификаты могут только сертификационные центры.

Как установить цепочку сертификатов

После заказа и активации SSL на контактный email придет письмо с данными для установки сертификата на сайт (в том числе цепочка сертификатов). Как проходит установка цепочки корневых сертификатов, мы подробно рассказали в статье Как установить SSL-сертификат.

Список доверенных сертификатов, использовавшихся для создания цепочки

Что такое корневой сертификат (СА)

Корневой сертификат (СА) — часть ключа, которым центры сертификации подписывают выпущенные SSL-сертификаты. Выдавая корневой сертификат, каждый такой центр гарантирует, что пользователи или организации, запросившие SSL, верифицированы и действия с доменом легальны.

Центры сертификации с двадцатилетней историей: GlobalSign, Comodo, Symantec, TrustWave, GeoTrust. Они используют «именные» корневые сертификаты, которые распознаются большинством современных браузеров.

Это значит: если на сайт установлен корневой сертификат GlobalSign, браузер идентифицирует его как выпущенный доверенным «поручителем» и приступает к частной проверке сайта.

Если информация о корневом сертификате центра отсутствует в браузере, у сайта нет «поручителя», и браузер считает его недостоверным. Так иногда происходит с самоподписанными сертификатами безопасности (например, Let’s Encrypt):

Читайте об этом в статье Браузер пишет, что подключение не защищено или соединение является недоверенным.

Однако одного корневого сертификата недостаточно. Чтобы конкретный домен считался защищенным, помимо корневого сертификата необходимы промежуточный сертификат и индивидуальный сертификат домена, которые так же выдаются центром сертификации при выпуске SSL. Достоверность промежуточных и «индивидуальных» сертификатов подтверждается корневым сертификатом. Цепочка сертификатов, установленных на сайт, дает основание считать его «защищенным SSL-сертификатом» в сети Интернет.

Где взять корневой сертификат?

Корневые сертификаты выдают сертификационные центры. REG.RU сотрудничает с шестью сертификационными центрами. Выберите SSL-сертификат, который подходит для ваших целей, и закажите его со страницы SSL-сертификаты.

Также вы можете воспользоваться специальным предложением REG.RU и получить бесплатный SSL-сертификат на 1 год при заказе домена или хостинга. Читайте об этом в статье: Как заказать бесплатный SSL-сертификат?

После заказа SSL и его активации на указанную контактную почту придет письмо с необходимыми данными для установки сертификата на сайт (в частности, корневой сертификат). Подробнее о содержимом письма в статье Где взять данные для установки SSL-сертификата.

Могу ли я создать корневой сертификат самостоятельно?

Чтобы создать корневой сертификат самому, нужно получить статус сертификационного центра. Эта процедура связана со значительными финансовыми затратами, поэтому в большинстве случаев мы рекомендуем обращаться к существующим центрам сертификации.

Установка цепочки сертификатов

Список доверенных сертификатов, использующихся для создания цепочки, приходит в информационном письме после выпуска и активации SSL. Для установки цепочки сертификатов (в том числе, корневого) воспользуйтесь подробными инструкциями справочного раздела: Установка SSL-сертификата.

Помогла ли вам статья?

Да

5 раз уже помогла

Что такое ЦС? Объяснение центров сертификации

Блог > Управление сертификатами > Что такое ЦС? Объяснение центров сертификации

Центр сертификации (ЦС) — это доверенная организация, которая выдает цифровые сертификаты для веб-сайтов и других объектов. Центры сертификации проверяют домен веб-сайта и, в зависимости от типа сертификата, права собственности на веб-сайт, а затем выдают сертификаты TLS/SSL, которым доверяют веб-браузеры, такие как Chrome, Safari и Firefox. Таким образом, ЦС помогают сделать Интернет более безопасным, проверяя веб-сайты и другие объекты, чтобы повысить доверие к онлайн-коммуникациям и транзакциям.

Какова роль ЦС?

Каждый раз, когда вы посещаете веб-сайт с HTTPS или видите маленький замок в адресной строке, вы используете сайт, проверенный центром сертификации. Кроме того, каждый раз, когда вы посещаете сайт с пометкой «небезопасный», вы знаете, что сайт не был проверен ЦС или срок его проверки истек.

Любой веб-сайт, который хочет отображать безопасный замок и включать HTTPS, должен получить сертификат TLS/SSL от ЦС. Перед выдачей сертификата ЦС проверит информацию о запросителе сертификата, такую как право собственности на сайт, имя, местоположение и многое другое. ЦС должны придерживаться строгих отраслевых стандартов, чтобы каждый ЦС выполнял одинаковые требования к проверке. Форум CA/Browser, состоящий из основных браузеров и центров сертификации, устанавливает стандарты шифрования TLS и цифровых сертификатов.

Зачем нужны центры сертификации?

Без центров сертификации покупки, банковские операции или просмотр в Интернете были бы менее безопасными. Данные, введенные в веб-форму, не будут защищены и потенциально могут быть захвачены хакером, который «обнюхивает» данные между браузером и сервером. Однако центры сертификации проверяют организации и отдельных лиц, чтобы убедиться, что сертификат TLS получают только законные веб-сайты. В мире существует более 100 различных центров сертификации, которые проверяют предприятия и сайты по всему миру.

Примечательно, что мошенники по-прежнему могут пытаться воспользоваться преимуществами сертификатов, поэтому веб-пользователи должны быть знакомы с индикаторами доверия к сайту, включая печати сайта, чтобы знать, безопасен ли веб-сайт. Кроме того, вы можете проверить идентифицирующую информацию о владельце сертификата, такую как название организации, местоположение и т. д., включенную в цифровые сертификаты с более высоким уровнем надежности.

Три основных типа сертификатов TLS

Существует три разных типа сертификатов TLS, выдаваемых ЦС: проверка домена (DV), проверка организации (OV) и расширенная проверка (EV). Центры сертификации проверяют каждый тип сертификата на разном уровне доверия пользователей, при этом EV является наивысшим доступным уровнем гарантии. Разница между OV и EV заключается в том, что ЦС предпринимает дополнительные шаги для проверки инициатора запроса сертификата, что дает конечным пользователям еще большую уверенность в легитимности веб-сайта.

DV — Владение подтвержденными сертификатами домена подтверждается тем, что заявитель подтверждает контроль над доменом. Однако сертификаты DV не содержат идентифицирующей информации об организации, поэтому их не рекомендуется использовать в коммерческих целях.
OV — Организация Проверенные сертификаты аутентифицируются ЦС в базах данных бизнес-регистров, размещенных государственными органами. Центры сертификации могут потребовать определенные документы и связаться с персоналом, чтобы гарантировать, что сертификаты OV содержат законную деловую информацию. Это стандартный тип сертификата, который требуется на коммерческих или общедоступных веб-сайтах.
EV — Сертификаты расширенной проверки обеспечивают высочайший уровень аутентификации для защиты брендов и пользователей. Согласно данным Comscore и Netcraft за 2019 год, их используют ведущие организации мира, в том числе более половины из 400 ведущих сайтов электронной коммерции.

Подробнее о том, как выбрать правильный тип сертификата для вашего сайта, читайте в другой записи блога.

Типы сертификатов, выдаваемых центрами сертификации

Несмотря на то, что центры сертификации в основном занимаются сертификатами TLS, они также выпускают различные цифровые сертификаты, в том числе:

Сертификаты подписи кода — используются для подписи выпусков программного обеспечения и проверки программного обеспечения от поставщика или разработчика.
Сертификаты электронной почты — Используя протокол S/MIME, электронные письма могут быть защищены и проверены, подтверждая авторство и предотвращая подделку.
Сертификаты для подписи документов — Подписывайте юридически обязывающие документы в Adobe, Microsoft и других программах, чтобы гарантировать их неизменность и надежность.
Сертификаты устройств — Может защитить устройства Интернета вещей (IoT).
Пользовательские или клиентские сертификаты — Используется для аутентификации отдельных лиц.

Как получить сертификат ЦС?

Чтобы получить сертификат от центров сертификации, таких как DigiCert, вам необходимо заполнить запрос на подпись сертификата (CSR) и заполнить форму заказа. Процесс одинаков независимо от типа заказанного вами TLS-сертификата; однако вам нужно будет предоставить дополнительные поля информации для сертификатов OV и EV. DigiCert может завершить вашу проверку менее чем за день, чтобы получить сертификат TLS в течение нескольких часов, а не дней.

Имейте в виду, что все общедоступные доверенные сертификаты TLS/SSL действительны в течение максимального периода в один год (398 дней), и вам необходимо каждый год проходить повторную проверку.

Как выбрать центр сертификации

При выборе центра сертификации вы должны учитывать несколько соображений, таких как доверие, обслуживание клиентов, узнаваемость торговой марки, стоимость и доступные инструменты. Выбор центра сертификации, которому вы можете доверять, имеет жизненно важное значение, поскольку ваши цифровые продукты и услуги, а также безопасность ваших конечных пользователей зависят от технологии, которую предоставляет ваш центр сертификации. Доверенные центры сертификации проходят регулярные проверки независимыми сторонами, следуют отраслевым рекомендациям и применяют передовые методы для защиты своей инфраструктуры. Кроме того, многие центры сертификации активно участвуют в отраслевых группах и разрабатывают отраслевые стандарты и являются лидерами мнений в своей области, предоставляя вам необходимые ресурсы. Не у каждого ЦС есть круглосуточная поддержка клиентов, которая поможет вам один на один. Наконец, на некоторых платформах есть список доверенных центров сертификации, которые вы можете использовать.

Подробнее о том, как правильно выбрать центр сертификации, читайте в другой записи блога.

Где купить TLS/SSL

Вы можете приобрести сертификат TLS/SSL в любом доверенном центре сертификации. Однако, поскольку вы здесь, вы должны знать, что DigiCert — один из лучших вариантов для приобретения сертификатов TLS/SSL.

Являясь одним из крупнейших ЦС в мире, DigiCert обладает почти двадцатилетним опытом предоставления надежных решений миллионам пользователей и устройств по всему миру, и в настоящее время у нас более 22 миллионов активных сертификатов TLS. Большинство компаний из списка Fortune 500 и многие компании из списка Global 2000 полагаются на DigiCert. Мы серьезно относимся к этой ответственности и принимаем ряд мер для обеспечения целостности наших сертификатов, в том числе ежегодно проводим более двух десятков аудитов. Мы также предлагаем круглосуточную пятизвездочную поддержку клиентов и внедряем инновационные решения, облегчающие управление сертификатами. DigiCert является активным и ведущим участником форума CA/B и разрабатывает инструменты, помогающие организациям соблюдать даже самые строгие мировые стандарты. Кроме того, DigiCert предлагает цифровые сертификаты для любых потребностей в области безопасности.

Узнайте больше об одном из крупнейших центров сертификации на сайте www.digicert.com или приобретите сертификат TLS сегодня.

Узнайте, почему PKI является логическим продолжением ваших инициатив TLS/SSL, из нашей электронной книги PKI.

Что такое центр сертификации (ЦС)?

Что такое ЦС?

Что такое центр сертификации (ЦС)?

Центр сертификации (CA) , также иногда называемый центром сертификации , представляет собой компанию или организацию, которая действует для проверки подлинности объектов (таких как веб-сайты, адреса электронной почты, компании или отдельные лица) и привязать их к криптографическим ключам посредством выпуска электронных документов, известных как цифровые сертификаты .

Цифровой сертификат обеспечивает:
Аутентификацию , выступая в качестве учетных данных для проверки подлинности объекта, которому он выдан.
Шифрование, для безопасной связи в незащищенных сетях, таких как Интернет.
Целостность документов , подписанных сертификатом, чтобы они не могли быть изменены третьей стороной при передаче.

Как правило, заявитель на цифровой сертификат создает 9Пара ключей 0097 , состоящая из закрытого ключа и открытого ключа вместе с запросом подписи сертификата (CSR) . CSR — это закодированный текстовый файл, содержащий открытый ключ и другую информацию, которая будет включена в сертификат (например, доменное имя, организацию, адрес электронной почты и т. д.). Генерация пары ключей и CSR обычно выполняется на сервере или рабочей станции, где будет установлен сертификат, а тип информации, включенной в CSR, зависит от уровня проверки и предполагаемого использования сертификата. В отличие от открытого ключа, закрытый ключ заявителя хранится в безопасности и никогда не должен показываться ЦС (или кому-либо еще).

После создания CSR заявитель отправляет его в ЦС, который самостоятельно проверяет правильность содержащейся в нем информации и, если это так, подписывает сертификат в цифровой форме с помощью выдающего закрытого ключа и отправляет его заявителю.

Когда подписанный сертификат предоставляется третьей стороне (например, когда это лицо получает доступ к веб-сайту держателя сертификата), получатель может криптографически подтвердить цифровую подпись ЦС с помощью открытого ключа ЦС. Кроме того, получатель может использовать сертификат для подтверждения того, что подписанное содержимое было отправлено кем-то, у кого есть соответствующий закрытый ключ, и что информация не была изменена с момента подписания. Ключевой частью этого аспекта сертификата является так называемая цепочка доверия.

Что такое цепочка доверия?

В SSL/TLS, S/MIME, подписи кода и других приложениях сертификатов X. 509 иерархия сертификатов используется для проверки действительности издателя сертификата. Эта иерархия известна как цепочка доверия . В цепочке доверия сертификаты выдаются и подписываются сертификатами, которые находятся выше в иерархии.

Цепочка доверия состоит из нескольких частей:

1. Якорь доверия , который является исходным центром сертификации (ЦС).
2. Как минимум один промежуточный сертификат , служащий «изоляцией» между ЦС и сертификатом конечного объекта.
3. Сертификат конечного объекта , который используется для проверки подлинности объекта, такого как веб-сайт, компания или физическое лицо.

Легко увидеть цепочку доверия, проверив сертификат веб-сайта HTTPS. Когда вы проверяете сертификат SSL/TLS в веб-браузере, вы обнаружите разбивку цепочки доверия этого цифрового сертификата, включая якорь доверия, любые промежуточные сертификаты и сертификат конечного объекта. Эти различные точки проверки подкрепляются достоверностью предыдущего уровня или «ссылки», восходящей к якорю доверия.

В приведенном ниже примере показана цепочка доверия от веб-сайта SSL.com, ведущая от сертификата конечного веб-сайта обратно к корневому ЦС через один промежуточный сертификат:

Что такое якорь доверия?

Корневой центр сертификации (ЦС) служит якорем доверия в цепочке доверия. Действительность этого якоря доверия жизненно важна для целостности цепочки в целом. Если ЦС является общедоступным доверенным (например, SSL.com), сертификаты корневого ЦС включаются крупными компаниями-разработчиками программного обеспечения в свои браузеры и программное обеспечение операционной системы. Это включение гарантирует, что сертификаты в цепочке доверия, ведущей к любому из корневых сертификатов ЦС, будут доверенными для программного обеспечения.

Ниже вы можете увидеть якорь доверия с веб-сайта SSL.com ( SSL.com EV Root Certification Authority RSA R2 ):

Что такое промежуточный сертификат?

Корневой ЦС или якорь доверия может подписывать и выдавать промежуточных сертификата . Промежуточные сертификаты (также известные как промежуточные , подчиненные или выдающие центры сертификации ) обеспечивают гибкую структуру для предоставления достоверности якоря доверия дополнительным промежуточным и конечным сертификатам в цепочке. В этом смысле промежуточные сертификаты выполняют административную функцию; каждое промежуточное звено может использоваться для определенной цели, например для выдачи сертификатов SSL/TLS или подписи кода, и даже может использоваться для предоставления доверия корневого ЦС другим организациям.

Промежуточные сертификаты также обеспечивают буфер между сертификатом конечного объекта и корневым ЦС, защищая закрытый корневой ключ от компрометации. Для общедоступных доверенных центров сертификации (включая SSL.com) базовые требования форума CA/Browser фактически запрещают выдачу сертификатов конечного объекта непосредственно из корневого центра сертификации, который должен безопасно храниться в автономном режиме. Это означает, что цепочка доверия любого публично доверенного сертификата будет включать как минимум один промежуточный сертификат.

В приведенном ниже примере SSL.com EV SSL Intermediate CA RSA R3 — единственный промежуточный сертификат в цепочке доверия веб-сайта SSL.com. Как следует из названия сертификата, он используется только для выдачи сертификатов EV SSL/TLS:

Что такое сертификат конечного объекта?

Сертификат конечного объекта является последним звеном в цепочке доверия. Сертификат конечного объекта (иногда известный как листовой сертификат или сертификат подписчика 9).0143), служит для предоставления доверия корневого ЦС через любых посредников в цепочке такому объекту, как веб-сайт, компания, правительство или физическое лицо.

Сертификат конечного объекта отличается от сертификата якоря доверия или промежуточного сертификата тем, что он не может выдавать дополнительные сертификаты.