Bajecny svet elektronickeho podpisu | online podpora stejnojmenne knihy z Edice CZ.NIC

1.12.2     Vyjadřování důvěry v certifikát

Konkrétní způsob, jakým „na svém počítači“ vyjádříme důvěru konkrétnímu certifikátu, ať již kořenovému či jinému, je dán tím, jakým způsobem pracují s certifikáty nejrůznější programy: uchovávají si je ve speciálních úložištích certifikátů (anglicky certificate store).

V prvním přiblížení bychom mohli říct, že jde o úložiště důvěryhodných certifikátů, a že obecně platí, že když je nějaký certifikát uložen v takovémto úložišti, je považován za důvěryhodný.

Praxe je ovšem taková, že úložiště mohou být vnitřně strukturována do různých složek a různé složky mohou mít také různý význam. Většina z nich „vyjadřuje důvěru“ těm certifikátům, které jsou do příslušné složky přidány (uloženy, nainstalovány). Ale mohou existovat i složky s opačným významem: když do nich umístíme konkrétní certifikát, vyjadřujeme mu tím nedůvěru.

To je ostatně i příklad systémového úložiště certifikátů, které vytváří operační systém MS Windows a které má složku pro nedůvěryhodné certifikáty, viz obrázek.

Pro obrázek ve větší kvalitě klikněte na odkaz pod číslem obrázku v legendě

Příklad
dvou nedůvěryhodných certifikátů (umístěných v systémovém úložišti MS Windows,
v části pro nedůvěryhodné certifikáty)

Obrázek 1 - 23: Příklad dvou nedůvěryhodných certifikátů (umístěných v systémovém úložišti MS Windows, v části pro nedůvěryhodné certifikáty).

Správně tedy musíme rozlišovat, jak konkrétně je nějaké úložiště strukturováno a naplněno: je-li konkrétní certifikát umístěn v takové složce úložiště, která představuje vyjádření důvěry, pak je tento certifikát považován za důvěryhodný. Jde-li o kořenový certifikát, umístěný ve složce pro kořenové certifikáty, je za důvěryhodný považován celý příslušný strom certifikátů. A naopak: pokud je nějaký certifikát umístěn v takové složce, která představuje vyjádření nedůvěry, je za nedůvěryhodný považován jak tento certifikát, tak i celý jeho „podstrom“.

Pokud ale není konkrétní certifikát umístěn v žádné ze složek právě používaného úložiště certifikátů, nevyplývá z toho nic o jeho důvěryhodnosti! Takže program, který s daným úložištěm certifikátů pracuje, nemá podle čeho posoudit jeho důvěryhodnost. Jde tedy o třetí možnost v již dříve diskutovaném smyslu (že certifikát je buďto důvěryhodný, nebo nedůvěryhodný, nebo „nevíme“).

Pro obrázek ve větší kvalitě klikněte na odkaz pod číslem obrázku v legendě

Představa důvěryhodnosti certifikátů podle umístění v úložišti certifikátů

Obrázek 1 - 24: Představa důvěryhodnosti certifikátů podle umístění v úložišti certifikátů

Na adresu úložišť certifikátů si ještě řekněme, že každý uživatelský program (aplikace) může používat své vlastní úložiště certifikátů. Může, ale nemusí – některé programy totiž dokáží svá úložiště sdílet.

Například programy z produkce Microsoftu používají systémové úložiště certifikátů, které vytváří operační systém MS Windows. Jiné programy, jako třeba Adobe Reader, Adobe Acrobat  či browser Firefox, mají vlastní úložiště. Ale třeba právě Adobe Reader či Acrobat dokáží používat i systémové úložiště, podle toho jak jsou nastaveny.

Obecně tak musíme počítat s tím, že úložišť certifikátů je více a jako uživatelé se musíme starat o správné „naplnění“ všech těch úložišť, se kterými pracují námi používané programy.

Pro obrázek ve větší kvalitě klikněte na odkaz pod číslem obrázku v legendě

Představa více úložišť a potřeba jejich samostatného naplnění

Obrázek 1 - 25: Představa více úložišť a potřeba jejich samostatného naplnění

Vědět o existenci všech relevantních úložišť (a o tom, který program používá které úložiště), je pro běžnou praxi o to důležitější, že každé úložiště je nějak „předvyplněno“ takovými certifikáty, které autoři příslušných programů považují za důvěryhodné. Tím je fakticky předjímáno, co a jak má být považováno za důvěryhodné i uživateli. Což ale nemusí vždy a přesně odpovídat představám uživatelů.

Nejčastěji v tom smyslu, že uživatel má důvod považovat za důvěryhodné i další certifikáty (resp. celé stromy certifikátů), ale ty „od výrobce“ v příslušném úložišti obsaženy nejsou. Pak je na něm, aby si je do úložiště přidal.

Typickým a častým problémem je pak to, že v „počáteční výbavě“ úložišť certifikátů nebývají všechny kořenové certifikáty všech tuzemských akreditovaných certifikačních autorit. To ale způsobuje, že k hodnocení některých certifikátů, vydaných těmito akreditovanými certifikačními autoritami, nemají příslušné programy dostatek informací.



© Jiří Peterka, 2011, profil na Google+
Valid HTML 4.01 Transitional Ověřit CSS!
3A2E
5665
6E6F
7661
6E69
2E3A
0D0A
5475
746F
206B
6E69
6875
2076
656E
756A
6920
7376
6520
7A65
6E65
2049
7265
6E65
2C20
7379
6E6F
7669
204A
6972
696D
7520
6120
6463
6572
6920
4576
652E
0D0A
5620
5072
617A
652C
204C
5032
3031
3020
4A69
7269
2050
6574
6572
6B61