Центр принимает решения о выпуске и подписи, а процедура создания ключа регулирует получение и защиту его ключевого материала. Эти роли не сводятся к покупке устройства.
PKI и жизненный цикл сертификатов
Создание ключа центра сертификации
Определение
Создание ключа центра сертификации — контролируемая процедура получения ключевой пары, которой центр будет подписывать сертификаты. По правилам публичной PKI её ведут в защищённой среде и внутри криптографического модуля, под контролем нескольких доверенных сотрудников и с записью в журнал.
Также ищут: CA key pair generation · церемония ключа CA · ключ центра в криптографическом модуле
Зачем это знать
Наличие устройства само не описывает всю процедуру. Нужно установить, кто участвует, каким требованиям отвечает модуль, как фиксируются действия и как защищается материал вне него.
Связи из словаря
Карта понятия
Создание ключа центра сертификации
Доказательная часть
Что подтверждено
Ключевую пару CA создают внутри криптографического модуля, соответствующего применимым техническим и организационным требованиям, указанным в политике или регламенте центра. Пункт 6.1.1.1 сам не задаёт марку устройства или числовой уровень FIPS.
Граница применимости: CA/Browser Forum, 6.1.1.1, пункт 3. Этот пункт не является полным перечнем требований к модулю: специальные уровни требуют отдельного чтения 6.2.7.
Центр обязан вести журнал действий по созданию своей ключевой пары. Для корневой пары и пары подчинённого центра вне группы оператора корня предусмотрены дополнительные материалы церемонии: сценарий, наблюдение аудитора либо полная видеозапись и заключение аудитора.
Граница применимости: CA/Browser Forum, 6.1.1.1 в проверенной редакторской выписке; дополнительные условия относятся к указанным ролям центров, а не к каждому конечному сертификату.
Защита закрытого ключа CA вне указанной правилами проверенной системы или устройства должна предотвращать раскрытие ключа. Раздел 6.2 допускает физическую защиту, шифрование либо их сочетание; это не безусловное требование одновременно применить оба способа.
Граница применимости: CA/Browser Forum, 6.2. Условия допустимости конкретного экспорта, резервного копирования и режима модуля должны проверяться по полному применимому профилю отдельно.
Сведения о модуле подтверждают только часть организации защиты ключа. Полномочия участников, профиль выпуска, журнал и процедуры управления проверяют отдельно; само наличие модуля не доказывает невозможность ошибочно разрешённой подписи.
Граница применимости: Практический вывод из обязательных отдельных мер CA/Browser Forum 6.1.1.1 и управления ключами NIST SP 800-57 Part 2. Не утверждает неизвлекаемость ключа без проверки конкретного режима.
Граница терминов
Не путать
Запрос конечного заявителя и создание ключа CA относятся к разным участникам. Требования к церемонии ключа центра не переносятся автоматически на любой CSR.
Перед спецификацией
Что проверить
- Определите профиль PKI и роль центра.
- Сверьте требования с политикой и регламентом центра.
- Проверьте защищённую среду, доверенные роли и контроль несколькими участниками.
- Зафиксируйте модель, версию и применимый режим модуля.
- Проверьте журнал и требуемые материалы церемонии.
- Установите разрешённую защиту материала вне модуля.
- Проверяйте полномочия на подпись отдельно от защиты ключевых байтов.
Открытые основания
Первоисточники
- Recommendation for Key Management: Part 2 — Best Practices for Key Management Organizations
Описывает organizational key-management practices, CA/RA roles, PKI operations и certification path building.
Утверждения: 05
- Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List Profile
Определяет Internet X.509 certificate и CRL profiles, PKI entities, extensions и certification path validation.
- PKCS #10: Certification Request Syntax Specification Version 1.7
Определяет структуру PKCS #10 CSR и подпись request information private key заявителя.