Использование сертификата

Поскольку сертификаты обычно используются, чтобы установить идентификацию и создать доверительные отношения для безопасного обмена информацией, центры сертификации могут выпускать сертификаты для пользователей, для устройств (таких как компьютеры) и для служб, выполняющихся на компьютерах (таких как IPSec).

В некоторых случаях требуется обеспечить обмен информацией между компьютерами с высокой степенью уверенности в идентификации другого устройства, службы или пользователя, участвующего в транзакции. В некоторых случаях пользователю требуется обеспечить обмен информацией с высокой степенью уверенности в идентификации другого пользователя, компьютера или службы, участвующей в транзакции. Приложениям и службам, выполняющимся на компьютерах, также часто требуется проверка, что они получают доступ к информации из доверенного источника.

В ситуациях, когда два участника — такие как устройства, пользователи и приложения либо службы — пытаются установить идентификацию и доверительные отношения, доверительные отношения с одним центром сертификации позволяют установить взаимную идентификацию и доверительные отношения. После того как субъект представил сертификат, выпущенный доверенным центром сертификации, участник, пытающийся установить доверительные отношения, может продолжать обмен информацией, сохранив сертификат субъекта сертификации в собственном хранилище сертификатов, и, по мере применения, использовать открытый ключ, содержащийся в сертификате, для шифрования ключа сеанса, чтобы сделать безопасной всю последующую связь с субъектом сертификата.

Например, для интерактивных банковских операций через Интернет важно знать, что веб-обозреватель пользователя поддерживает прямую и безопасную связь с веб-сервером банка. Веб-обозреватель пользователя должен быть способен проверять идентификацию веб-сервера перед выполнением безопасной транзакции. Это означает, что веб-сервер должен доказать свою идентичность веб-обозревателю пользователя перед выполнением транзакции. Программа Microsoft Internet Explorer использует протокол SSL (Secure Sockets Layer) для шифрования сообщений и их безопасной передачи через Интернет, как это делает большинство современных веб-обозревателей и веб-серверов.

При подключении с помощью обозревателя с включенным SSL к интерактивному банковскому веб-серверу, имеющему сертификат сервера от центра сертификации, такого как Verisign, возникают следующие события.

• Пользователь получает доступ к собственной защищенной веб-странице входа в банк через веб-обозреватель. Если используется Internet Explorer, в правом нижнем углу окна в строке состояния обозревателя появляется значок висячего замка, показывающий, что обозреватель подключен к защищенному веб-узлу. Другие обозреватели могут обозначать защищенное подключение по-другому.

• Веб-сервер банка автоматически отправляет сертификат сервера вашему веб-обозревателю.

• Чтобы проверить подлинность веб-сервера, веб-обозреватель проверяет хранилище сертификатов на вашем компьютере. Если центр сертификации, выдавший сертификат банку, является доверенным, транзакция может выполняться и сертификат банка сохраняется в вашем хранилище сертификатов.

• Для шифрования всех операций связи с банковским веб-сервером ваш веб-обозреватель создает уникальный ключ сеанса. Веб-обозреватель пользователя шифрует ключ сеанса с помощью сертификата банковского веб-сервера таким образом, что только банковский веб-сервер может читать сообщения, отправленные вашим обозревателем. (Некоторые из этих сообщений будут содержать ваши имя пользователя и пароль, а также другие секретные сведения, поэтому такой уровень безопасности является необходимым.)

• Устанавливается защищенный сеанс, в котором секретная информация может передаваться между веб-обозревателем клиента и банковским веб-сервером в безопасном режиме.

Кроме того, сертификаты могут использоваться для проверки подлинности программного обеспечения, которое загружается из Интернета, устанавливается из интрасети организации или устанавливается на компьютер с компакт-диска. Неподписанное программное обеспечение — т. е. не имеющее действительного сертификата издателя — может представлять опасность для компьютера и сохраняемой на нем информации.

Когда программное обеспечение подписано с действительным сертификатом от доверенного центра сертификации, есть уверенность, что программное обеспечение не было искажено и его установка на компьютер является безопасной. В процессе установки программного обеспечения пользователю выводится приглашение подтвердить доверие к изготовителю программного обеспечения (например, корпорации Майкрософт). Иногда также предоставляется параметр, предлагающий всегда доверять программному обеспечению данного изготовителя. Если пользователь выбирает параметр доверия к содержимому от этого изготовителя, то сертификат изготовителя поступает в хранилище сертификатов пользователя и следующие операции установки программного обеспечения выполняются в условиях установленного доверия. В условиях установленного доверия пользователь может устанавливать программное обеспечение этого изготовителя без приглашения подтвердить доверие. Сертификат на компьютере пользователя устанавливает доверие к изготовителю программного обеспечения.

Что касается других сертификатов, то сертификаты, используемые для подтверждения подлинности программного обеспечения и идентификации изготовителя программного обеспечения, могут иметь другое предназначение. Например, когда оснастка «Сертификаты» устанавливается для просмотра сертификатов по назначению, папка «Подписывание кода» может содержать сертификат, выданный службе совместимости Microsoft Windows Hardware Compatibility центром Microsoft Root Authority. Сертификат имеет три назначения.

• Подтверждает поступление программного обеспечения от изготовителя.

• Защищает программное обеспечение от изменения после его публикации.

• Предоставляет проверку драйвера аппаратуры Windows.