Sertifikaattijärjestelmät

Sertifikaattijärjestelmät (PKI) ovat kokonaisuus, jonka avulla hallitaan julkisen avaimen infrastruktuuriin perustuvia digitaalisia sertifikaatteja. Näiden sertifikaattien avulla vahvistetaan identiteettejä, mahdollistetaan salattu viestintä ja allekirjoitetaan tiedostoja. Keskeisiä osia ovat sertifikaattien myöntäjät (Certificate Authorities, CA), rekisteröintivastaavat (Registration Authorities, RA), sertifikaattivarastot sekä hallinnolliset käytännöt ja politiikat (Certificate Policies ja Certification Practice Statements). Turvallisuutta ylläpidetään usein laitepohjaisilla turvallisuusmoduuleilla (HSM) sekä kattavilla avainten hallintaprosesseilla.

Luottamus perustuu luottamusketjuun: luotettu root-CA ja mahdollisesti väli-CA:t, joiden allekirjoituksilla sertifikaatit voidaan luoda ja vahvistaa. Sertifikaatin elinkaari kattaa hakemisen, todentamisen, myöntämisen, käytön, uusimisen ja peruutuksen sekä vanhentumisen. Peruutukset ovat saatavilla CRL- ja OCSP-palveluiden kautta, jotta käyttäjät voivat tarkistaa sertifikaatin voimassaolon reaaliajassa. Hallinnollisia vaatimuksia ja käytäntöjä ohjataan CP- ja CPS-dokumenteilla, ja avainten suojaus sekä elinkaarihallinta toteutetaan tiukasti, usein HSM-laitteistojen avulla.

Käyttökohteita ovat TLS-salauksen mahdollistaminen verkkopalveluissa, sähköpostin S/MIME-turva sekä ohjelmistojen ja asiakirjojen allekirjoitukset. Sertifikaattijärjestelmien ja PKI:n standardit liittyvät X.509-sertifikaatteihin sekä PKI/TLS-standardien piiriin (esimerkiksi RFC 5280 X.509, RFC 6960 OCSP sekä TLS-standardit). Hallinnollisesti PKI määrittelee CP- ja CPS-dokumentaation ja noudattaa soveltuvia lainsäädäntövaatimuksia sekä organisaation omia turvallisuuspolitiikkoja.