022.1 Lecke 2

A Public Key Infrastructure (PKI) kulcsfontosságú a bizalom megteremtésében és a digitális kommunikáció biztosításában. Alapvetően a PKI strukturált keretet biztosít a digitális tanúsítványok és a publikus-privát kulcspárok kezeléséhez, amelyek elengedhetetlenek az identitások ellenőrzéséhez és az internetes adatcsere biztosításához. Amikor két entitásnak, például egy felhasználónak és egy weboldalnak biztonságosan kell kommunikálnia egymással, a PKI biztosítja, hogy mindkét fél biztos lehet a másik fél identitásában és a megosztott adatok sértetlenségében.

A PKI a nyilvános és a privát kulcspárok kezelésével lehetővé teszi a biztonságos kommunikációt. Az olyan entitások, mint például webhelyek, szerverek vagy magánszemélyek digitális tanúsítványt kapnak, amely identitásukat egy nyilvános kulcshoz köti.

A digitális tanúsítványok elektronikus “útlevélként” szolgálnak egy entitás számára — legyen az személy, eszköz vagy szolgáltatás. Ezt a tanúsítványt egy megbízható harmadik fél, az úgynevezett Certificate Authority (CA) állítja ki.

A tanúsítvány kiállítása előtt a CA alapos ellenőrzési folyamatot végez az entitás identitásának jogszerűségének megerősítése érdekében. Ez a folyamat megakadályozza, hogy a kártékony szereplők hamisan másnak adják ki magukat. A tanúsítvány kiadása után a tanúsítványt az entitás nyilvános kulcsával lehet használni az adatok titkosítására. Az adatokat csak a megfelelő, az entitás által biztonságosan tárolt privát kulcs tudja visszafejteni, így biztosítva, hogy az érzékeny információk bizalmasak és csak a címzett számára hozzáférhetőek maradnak.

A PKI középpontjában a Certificate Authority-k és a Trusted Root Certificate Authority-k állnak, amelyek a webböngészésben, a biztonságos e-mailben és más alkalmazásokban használt digitális tanúsítványok biztonságát alátámasztó bizalmi lánc (chain of trust) gerincét alkotják.

A CA-k kritikus szerepet játszanak a PKI-ban a digitális tanúsítványok kiadásával, érvényesítésével és kezelésével. A kiállítást követően a CA tekintélyére támaszkodó más felhasználók vagy rendszerek megbízhatnak a tanúsítványban.

A root CA-k alkotják a PKI bizalmi hierarchiájának csúcsát. A root CA-k tanúsítványokat állítanak ki a közvetítő CA-k (intermediate CA) részére, létrehozva egy bizalmi láncot, amely a végfelhasználói tanúsítványokig terjed. A root tanúsítványok előre telepítve vannak az operációs rendszerekben és a webböngészőkben, és a hierarchiában kiadott összes tanúsítvány alapját képezik.

Ez a bizalmi lánc alapvető fontosságú, hiszen hierarchikus kapcsolatot hoz létre a root CA-k, a köztes CA-k és az általuk kiállított tanúsítványok között. A láncban minden egyes tanúsítványt a felette lévő CA hitelesít, ami végül egy trusted (megbízható) Root CA-hoz vezet vissza. Ez a hierarchikus modell biztosítja, hogy a felhasználók és a rendszerek megbízhatnak a digitális interakciók során felmerülő tanúsítványokban.

Íme egy példa egy bizalmi láncra, amely egy Root CA-t, egy köztes CA-t és végfelhasználói tanúsítványokat (end-entity certificate) foglal magában.

Az X.509 tanúsítványok a nyilvános kulcsú infrastruktúrában (PKI) használt szabványos digitális tanúsítványformátumok, amelyek elengedhetetlenek a biztonságos kommunikációban részt vevő entitás identitásának ellenőrzéséhez. Gyakran “digitális útlevélként” is emlegetik ezeket a tanúsítványokat, amelyek megbízható kapcsolatot hoznak létre egy entitás identitása és nyilvános kulcsa között egy megbízható Certificate Authority (CA) általi tanúsítás révén.

Minden X.509 tanúsítvány tartalmaz olyan mezőket, amelyek részletezik az entitás nyilvános kulcsát, a kiállító CA nevét és olyan egyedi azonosító információkat, mint például az entitás domainneve vagy a szervezet neve. Ez a szabványosított formátum biztosítja, hogy az X.509 tanúsítványok a digitális alkalmazások széles körében egységes és megbízható módszert biztosítanak a szervezetek hitelesítésére.

Az X.509 tanúsítványok szerepének megértése alapvető fontosságú, mivel ezeket a tanúsítványokat számos alkalmazásban használják a védett kapcsolatok megkönnyítésére, beleértve a biztonságos webböngészéshez használt HTTPS-t, az adattitkosításhoz használt SSL/TLS-t, valamint az elektronikus dokumentumok hitelességének és integritásának ellenőrzéséhez használt digitális aláírásokat.

A tanúsítvány tartalmaz egy digitális aláírást, amelyet a CA a saját privát kulcsának felhasználásával állít elő, és amely a nyilvános kulcsot az entitás identitásához köti. Ezt a digitális aláírást bárki ellenőrizheti a CA nyilvános kulcsát használva, így biztosítva, hogy a tanúsítványt nem hamisították meg, és hogy az valóban a megbízható CA-tól származik.

A világon több tucat CA létezik, amelyek többsége fizetős tanúsítványkiállítási szolgáltatásokat kínál. A jól ismert CA-k közé tartozik a Let’s Encrypt, amely ingyenes, automatizált SSL/TLS tanúsítványokat biztosít, és elősegíti a HTTPS széles körű elterjedését.

A Let’s Encrypt ingyenes, automatizált SSL/TLS tanúsítványok biztosításával átalakította az X.509 tanúsítványok beszerzésének és kezelésének folyamatát. Ez a kezdeményezés elősegíti a HTTPS széles körű elterjedését, és a titkosítás akadályainak csökkentésével biztonságosabbá teszi az internetet.

A Let’s Encrypt előtt az SSL/TLS tanúsítványok beszerzése gyakran költséges és technikailag összetett folyamat volt. A Let’s Encrypt a tanúsítványok kiállításának és megújításának automatizálásával egyszerűsíti ezt a folyamatot, lehetővé téve a webhelyek számára, hogy egyszerűen és ingyenesen tegyék biztonságossá kommunikációjukat.

A Let’s Encrypt jelentős szerepet játszott a HTTPS elterjedésében, javítva a biztonságot és az adatvédelmet a világhálón. Fontos azonban megjegyezni, hogy a Let’s Encrypt Domain Validated (DV) tanúsítványokat állít ki, amelyek igazolják a domain tulajdonjogát, de nem nyújtanak olyan szintű biztosítékot, mint az Organization Validated (OV) vagy Extended Validation (EV) tanúsítványok.

A Let’s Encrypt tanúsítványok csak 90 napig érvényesek. Ez a rövid érvényességi idő biztosítja a tanúsítványok rendszeres frissítését, ami kompromittálódás esetén csökkenti a visszaélések kockázatát. A Let’s Encrypt tanúsítványok rövid élettartama miatt az automatikus megújítás elengedhetetlen a biztonság fenntartásához.