juurisertifikaattien

Juurisertifikaatit ovat PKI-järjestelmän luottamusperusta. Ne ovat itsensä allekirjoittaneita sertifikaatteja, joiden julkinen avain ja identiteetti muodostavat luottamuksen ankkurin koko sertifikaattiketjulle. Juurisertifikaatti toimii luottamusankkurina: kun se on hyväksytty järjestelmän trust storeen, sen allekirjoittamat tai sitä seuraavat välitasoisten CA-sertifikaattien sekä lopullisten varmenteiden luottamus voidaan todentaa, kun sertifikaattiketju on valideerattu eikä peruutettu.

Rakenne ja todentaminen: juurisertifikaatti allekirjoittaa yhden tai useamman välitasoisen CA-sertifikaatin. Nämä välitasoiset sertifikaatit voivat signoida edelleen lopulliset sertifikaatit, kuten verkkopalvelinten TLS-sertifikaatit. Sertifikaattiketju muodostaa todentamisen polun, jota sovellukset ja selaimet käyttävät kohdesertifikaatin luotettavuuden vahvistamiseen.

Jakelu ja hallinta: juurisertifikaatit toimitetaan ja ylläpidetään käyttöjärjestelmien sekä selainten trust-storeissa. Näihin varastoihin sisältyvät tietyt juurisertifikaatit, jotka päivitetään järjestelmä- ja ohjelmistopäivitysten yhteydessä. Koska juurisertifikaattien voimassaolo on pitkä, niiden hallinta korostaa tiukkaa valvontaa ja turvallista jakelua.

Turvallisuus ja peruutus: root-avain on yleensä pidetty offline-tilassa ja sitä käytetään vain poikkeustilanteissa uuden juurisertifikaatin luomiseen tai välituotteiden signaamiseen. Jos juurisertifikaatti kompromettoituu, se poistetaan luotusta listasta ja luottamusketjuun liittyviä sertifikaatteja ne uusintalistetaan. Peruutus on tärkeä erityisesti välitasoisten CA-sertifikaattien osalta; itse juurisertifikaatin peruutus voi vaatia laajaa trust-store-päivitystä.

Käyttökohteet ja hallinnointi: juurisertifikaatit mahdollistavat TLS/HTTPS-varmennuksen, sähköpostin S/MIME -alle sekä ohjelmistojen allekirjoituksen. Niiden hallinta ja hyväksyntä perustuvat kansainvälisiin standardeihin ja alan käytäntöihin, kuten CA/Browser Forum -yhteistyöhön, ja ne ovat osa suurten käyttöjärjestelmien sekä selainten trust-storeja.