Varmenneketju

Varmenneketju, tai trust chain, on X.509-sertifikaattien sarja, jonka tarkoituksena on todentaa varmenteen omistaja ja varmistaa luottamus yhteyden tai allekirjoituksen taustalla. Ketju alkaa lopullisesta varmenteesta (end-entity/leaf), jota seuraa yksi tai useampi välikerem varmenteita (intermediate CAs), ja päättyy juurivarmenteeseen (root CA), joka on itse-allekirjoitettu. Juuri tunnetaan ja luotettavana pidetty organisaation luottolistan kautta, kuten käyttöjärjestelmän tai selaimen istutetuissa juurivarmisteissa.

Järjestelmä käyttää ketjua todentamiseen siten, että jokainen varmenne on allekirjoitettu edellisen varmenteen yksityisellä avaimella. Kun asiakas, esimerkiksi verkkopalvelin, vastaanottaa varmenteen, se pyrkii rakentamaan polun ketjusta luotettuun juureen, ja tarkistaa kunkin varmenteen oikeellisuuden: allekirjoitukset, voimassaoloajan ja mahdolliset peruutukset (CRL tai OCSP). Polun pituus sekä mahdolliset rajoitteet (kuten path length constraints) otetaan huomioon.

Var\-menneketju on keskeinen osa PKI:tä ja sitä käytetään laajasti TLS/HTTPS-yhteyksissä, sähköpostin suojaamisessa (S/MIME) sekä ohjelmiston allekirjoituksissa. Ketjun epäonnistuminen voi ilmetä luotettavuuden menetyksenä tai yhteyden estymisenä, esimerkiksi jos jokin varmenteista on vanhentunut, peruutettu tai puuttuu välikäsiä. Ketjun hallinta ja päivittäminen ovat olennaisia osia turvallisessa varmentamisessa.