Доверие центру сертификации

В основе доверия центрам сертификации лежит старый вопрос sed quis custodiet ipsos custodes — «Кто охраняет самих охранников?» В нашем случае вопрос звучит так: «Кто сертифицирует центры сертификации?».

В PKI каждый промежуточный центр сертификации сертифицируется корневым центром. Пока все хорошо. Но каждый корневой центр сертификации сертифицирует сам себя, выдавая себе собственный корневой открытый ключ и связывая его с собственным корневым сертификатом, - краеугольный камень системы доверия PKI. Другими словами, вам нужно доверять корневым центрам сертификации, чтобы использовать PKI, поскольку все остальные в РК1 доверяют им, а сами корневые центры сертификации доверяют друг другу. В книге «Безопасность данных в цифровом мире» (Secrets and Lies) Брюса Шнаера, ведущего криптографа, рассказывается, что хотя центры сертификации отвечают за выдачу сертификатов, они не несут ответственности за то, что содержат выдаваемые ими сертификаты. Большинство центров сертификации, которые выдают сертификаты SSL-серверов, не несет ответственности за назначение DNS-имен, указанное в сертификатах серверов. Шнаер говорит: «По сути, сертификаты защищают вас только от тех, с кем отказались иметь дело представители РКІ».

Замечание Доверие является меньшей проблемой для сертификатов, выданных внутри компании. К примеру, вы можете доверять персоналу и знать, что владелец сертификата - именно тот, за кого он себя выдает.

Вам нужно доверять центру сертификации, чтобы проверить личность владельца сертификата на достаточном уровне. К примеру, если вы используете сертификаты для удостоверения личности отправителя электронного сообщения, можно ограничиться средним уровнем достоверности, тогда'как если вы покупаете у него программное обеспечение, скорее всего, потребуется более высокий уровень достоверности.

Но большинство проверок проводятся через кого-то, поскольку центр сертификации полагается на существующие способы идентификации (кредитные карты, списки агентств кредитования для частных лиц или списки Dun&Bradsheet для компаний) вместо проведения идентификации напрямую. Почти никто из центров сертификации не работает напрямую с национальными или государственными агентствами — организациями, которым доверяют идентификацию людей и компаний с высокой степенью точности. Подумайте, сколько проблем с неточными отчетами о кредитоспособности и как мало проблем, связанных с неточностями в паспортных данных. У кого вы будете получать сертификаты, которым можно доверять, — у агентства кредитования или у тех, кто занимается паспортами?