X509sertifikaatin

X509sertifikaatti, tai X.509-sertifikaatti, on digitaalinen sertifikaatti, joka käyttää X.509-standardia sitomaan julkisen avaimen identiteettiin. Sertifikaatit kuuluvat julkisen avaimen infrastruktuuriin (PKI) ja mahdollistavat luotettavan tunnistamisen sekä salausta.

Sertifikaatin perusrakenne v3-standardeissa sisältää sarjanumeron, allekirjoitusalgoritmin, myöntäjän (Issuer), voimassaoloajan, subjektin (Subject), julkisen avaimen tiedot sekä mahdolliset laajennukset. Sertifikaatit on yleensä DER-koodattuja ja esitetään usein PEM-muotona Base64-tekstissä.

Käyttökohteita ovat muun muassa TLS/HTTPS-palvelimet ja asiakkaat, S/MIME-sähköposti sekä ohjelmistojen ja ajureiden allekirjoitus. Näin varmistetaan sekä identiteetin todentaminen että salauskanava.

Sertifikaatit myöntää luotettava sertifikaattien myöntäjä (CA). Usein käytetään juurijausta sekä välivaiheita (intermediate CA). Luotettavuus perustuu järjestelmän luottamusvarmentamiin ja juuriluotettavuuteen, jotka tarjotaan käyttöympäristön trust storesta.

Elinkaarensa hallintaa ohjataan CSR-prosessin, voimassaoloajan, uusimisen ja mitätöinnin (CRL tai OCSP) kautta. Mikäli avainta on kompromettoitu tai omistaja ei enää valtuuta, sertifikaatti mitätöidään.

Tärkeää on suojata yksityinen avain, käyttää ajantasaisia algoritmeja ja avainkokoja (esim. RSA 2048 tai ECC P-256), sekä hallita sertifikaattien elinkaarta. X.509-v3-laajennukset, kuten SAN ja EKU, määrittelevät oikeudet.

Sertifikaatit ovat laajasti tuettuja eri järjestelmissä: TLS, sähköpostin suojaus ja ohjelmistoalustojen allekirjoitukset. Hallinta ja automatisointi ovat yleisiä käytäntöjä.