Windows

Un’autorità di certificazione (CA) è un’azienda o un’organizzazione che agisce per convalidare le identità di entità (come siti web, indirizzi e-mail, aziende o singole persone) e legarle a chiavi crittografiche attraverso l’emissione di documenti elettronici noti come certificati digitali.

Un certificato digitale fornisce:
Autenticazione, servendo come credenziale per convalidare l’identità dell’entità a cui viene rilasciato.
Crittografia, per una comunicazione sicura su reti insicure come Internet.
Integrità dei documenti firmati con il certificato in modo che non possano essere alterati da terzi durante il trasporto.

Come fa un’autorità di certificazione a convalidare un certificato?

Di solito, un richiedente di un certificato digitale genera una coppia di chiavi che consiste in una chiave privata e una chiave pubblica, insieme a una richiesta di firma del certificato (CSR). Una CSR è un file di testo codificato che include la chiave pubblica e altre informazioni che saranno incluse nel certificato (ad esempio il nome del dominio, l’organizzazione, l’indirizzo e-mail, ecc.) La generazione della coppia di chiavi e della CSR si fa di solito sul server o sulla stazione di lavoro dove sarà installato il certificato, e il tipo di informazioni incluse nella CSR varia a seconda del livello di convalida e dell’uso previsto del certificato. A differenza della chiave pubblica, la chiave privata del richiedente è tenuta al sicuro e non dovrebbe mai essere mostrata alla CA (o a chiunque altro).

Dopo aver generato la CSR, il richiedente la invia a una CA, che verifica in modo indipendente che le informazioni in essa contenute siano corrette e, in caso affermativo, firma digitalmente il certificato con una chiave privata di emissione e lo invia al richiedente.

Quando il certificato firmato viene presentato a una terza parte (come quando questa persona accede al sito web del titolare del certificato), il destinatario può confermare crittograficamente la firma digitale della CA tramite la chiave pubblica della CA. Inoltre, il destinatario può usare il certificato per confermare che il contenuto firmato è stato inviato da qualcuno in possesso della chiave privata corrispondente, e che l’informazione non è stata alterata da quando è stata firmata. Una parte fondamentale di questo aspetto del certificato è qualcosa chiamato catena di fiducia.

Cos’è una chain of trust?

In SSL/TLS, S/MIME, firma del codice e altre applicazioni di certificati X.509, si usa una gerarchia di certificati per verificare la validità dell’emittente di un certificato. Questa gerarchia è conosciuta come catena di fiducia. In una catena di fiducia, i certificati sono emessi e firmati da certificati che si trovano più in alto nella gerarchia.

Una chain of trust consiste di diverse parti:

1. Un’ancora di fiducia, che è l’autorità di certificazione originaria (CA).
2. Almeno un certificato intermedio, che serve da “isolamento” tra la CA e il certificato dell’entità finale.
3. Il certificato dell’entità finale, che è usato per convalidare l’identità di un’entità come un sito web, un’azienda o una persona.

È facile vedere una catena di fiducia ispezionando il certificato di un sito web HTTPS. Quando si controlla un certificato SSL/TLS in un browser web, si trova una ripartizione della catena di fiducia di quel certificato digitale, compresa l’ancora di fiducia, qualsiasi certificato intermedio e il certificato dell’entità finale. Questi vari punti di verifica sono sostenuti dalla validità del livello precedente o “link”, che risale all’ancora di fiducia.

Cos’è una trust anchor?

L’autorità di Autorità Certificate(CA) serve come ancora di fiducia in una catena di fiducia. La validità di questa ancora di fiducia è vitale per l’integrità dell’intera catena. Se la CA è pubblicamente fidata , i certificati della CA radice sono inclusi dalle maggiori società di software nei loro browser e nel software del sistema operativo. Questa inclusione assicura che i certificati in una catena di fiducia che porta a qualsiasi certificato radice della CA saranno fidati dal software.

Cos’è un certificato intermedio?

La CA radice o ancora di fiducia ha la capacità di firmare ed emettere certificati intermedi. I certificati intermedi (conosciuti anche come CA intermedie, subordinate o emittenti) forniscono una struttura flessibile per conferire la validità dell’ancora di fiducia a ulteriori certificati intermedi e di entità finale nella catena. In questo senso, i certificati intermedi servono una funzione amministrativa; ogni intermedio può essere usato per uno scopo specifico – come l’emissione di certificati SSL/TLS o di firma del codice – e può anche essere usato per conferire la fiducia della CA radice ad altre organizzazioni.

I certificati intermedi forniscono anche un buffer tra il certificato di entità finale e la CA radice, proteggendo la chiave radice privata dalla compromissione. Per le CA di fiducia pubblica, i requisiti di base del forum CA/Browser proibiscono effettivamente l’emissione di certificati di entità finale direttamente dalla CA radice, che deve essere tenuta in modo sicuro offline. Questo significa che la catena di fiducia di qualsiasi certificato pubblicamente affidabile includerà almeno un certificato intermedio.

Cos’è un certificato di identità finale?

Il certificato di entità finale è l’ultimo anello della catena di fiducia. Il certificato di entità finale (a volte conosciuto come certificato foglia o certificato sottoscrittore), serve a conferire la fiducia della CA radice, attraverso qualsiasi intermediario nella catena, a un’entità come un sito web, una società, un governo o una persona individuale.

Un certificato di entità finale differisce da un’ancora di fiducia o da un certificato intermedio in quanto non può emettere ulteriori certificati. È, in un certo senso, l’anello finale per quanto riguarda la catena. :

Perché una catena di fiducia o chain trust è importante?

Una catena di fiducia assicura sicurezza, scalabilità e conformità agli standard per le CA. Assicura anche la privacy, la fiducia e la sicurezza per coloro che si affidano ai certificati di entità finale, come gli operatori di siti web e gli utenti.

È importante che i proprietari di siti web e altri utenti di certificati di entità finale capiscano che una catena di fiducia completa è necessaria affinché il loro certificato conferisca la fiducia di una CA con successo. Per informazioni su come diagnosticare e risolvere gli errori del browser derivanti da una catena di fiducia incompleta, consultate il nostro articolo sull’installazione dei certificati intermedi e la guida ai messaggi di errore del browser.