Якорь задаёт исходное доверие, построитель ищет путь к доступному якорю. Поиск не имеет права создать новый якорь из любого присланного сертификата.
PKI и жизненный цикл сертификатов
Якорь доверия
Определение
Якорь доверия — заранее доверенные сведения о CA и его открытом ключе, с которых проверяющая сторона начинает проверку пути сертификации.
Также ищут: Trust anchor · trusted root key · trust root
Зачем это знать
Неожиданный сертификат в соединении не должен менять исходное доверие клиента. При расхождении двух сред проверяют их якоря и правила, а не объявляют сертификат безусловно доверенным.
Связи из словаря
Карта понятия
Доказательная часть
Что подтверждено
Якорь доверия входит в исходные данные проверки пути и включает доверенное имя издателя, алгоритм, открытый ключ и при необходимости ограничения.
Граница применимости: Исходные данные проверки пути по RFC 5280.
Самоподпись корневого сертификата не создаёт доверие: проверяющая сторона получает якорь через отдельную настройку или доверенный канал распространения.
Граница применимости: Различие между самоподписью корня и настроенным доверием.
Корневой или промежуточный сертификат, присланный сервером, не становится якорем только из-за присутствия в сообщении. Доверенный ключ и ограничения должны прийти из настроенного источника доверия проверяющей стороны.
Граница применимости: Проверка PKIX с локально заданными якорями; отдельно согласованное изменение доверия не выводится из содержимого соединения.
Если якорь передан средству проверки в виде самоподписанного сертификата, этот сертификат не входит в проверяемый путь алгоритма RFC 5280: доверенные имя и открытый ключ используются как исходные данные.
Граница применимости: RFC 5280, раздел 6.1.1. Это не отменяет отдельную политику платформы по срокам, ограничениям и обновлению якорей.
При одинаковом конечном сертификате и промежуточных сертификатах клиент с подходящим якорем может принять путь, а клиент без него — не построить доверенный путь. Приём первым клиентом не переносит его доверие второму.
Граница применимости: Условный пример: остальные проверки проходят, иных путей и якорей нет; хранилища A и B различаются только нужным якорем.
Граница терминов
Не путать
Якорь — вход алгоритма, путь — проверяемая последовательность. Самоподписанный сертификат якоря не является обычным сертификатом внутри этого пути.
Перед спецификацией
Что проверить
- Найдите источник локального доверия.
- Сверьте доверенный открытый ключ.
- Проверьте ограничения якоря.
- Отделите присланные сертификаты от настроенных якорей.
- Сопоставьте хранилища двух сред.
- Учтите отдельную политику обновления якорей.
- Не добавляйте якорь только потому, что его прислал проверяемый сервер.
Открытые основания
Первоисточники
- Recommendation for Key Management: Part 2 — Best Practices for Key Management Organizations
Описывает organizational key-management practices, CA/RA roles, PKI operations и certification path building.