sertifikaattiketju

Sertifikaattiketju tarkoittaa sarjaa varmenteita, jotka yhdessä todistavat varmenteen luotettavuuden. Ketju alkaa lopullisesta varmenteesta (leaf-sertifikaatti), sisältää yhden tai useamman väli- eli intermediate-varmenteen ja päättyy juurisertifikaattiin, joka on tavallisesti itseallekirjoitettu ja luotettavaksi määritelty. Jokainen varmenne on allekirjoitettu edellisen varmenteen toimesta.

Validointi toteutuu tarkistamalla jokaisen varmenteen allekirjoitus, voimassaolo sekä peruutukset (CRL tai OCSP). Ketju osoittaa, että lopullisen varmenteen luotettavuus voidaan todentaa liittämällä se luotettuun root-varmenteeseen. Usein TLS-palvelimet toimittavat ketjun osia väliin, jotta rootiin päästäisiin mahdollisimman suoraan.

Käytännössä TLS-palvelimet voivat tarjota ketjun, mutta asiakkaat voivat tarvita erikseen väli-varmenteita; puuttuva väli-sertifikaatti johtaa epävarmuuteen ja yhteyden epäonnistumiseen. Ketju voi sisältää ristiriitaisia tai vanhentuneita varmenteita, tai siinä voi olla useita päteviä polkuja, jolloin valinta riippuu luottamuslähteestä.

Sertifikaattiketjut ovat keskeisiä myös TLS:n lisäksi esimerkiksi S/MIME-allekirjoituksissa ja ohjelmistojen koodin allekirjoituksissa, joissa luottamus perustuu ketjun luottamukseen. Käyttäjien ja organisaatioiden luottamusmallit määrittävät, mille root-sertifikaateille annetaan luotto.