7 Důvěra a revokační informace
7.1 Odkud pochází důvěra
Kotvy důvěry pocházejí z evropských důvěryhodných seznamů (LOTL/EUTL) — kolem třiceti národních seznamů a několika tisíc certifikátů. Uloží se do místní mezipaměti, takže start aplikace nečeká na síť; čerstvost se dokontroluje na pozadí a seznam jde kdykoli načíst znovu ručně.
Aplikace si přitom pamatuje, co ze seznamu plyne: nejen že je certifikát důvěryhodný, ale i jakou službu poskytuje, pod jakým poskytovatelem a do kdy byla služba v seznamu vedena. Bez toho by se nedalo posoudit časové razítko od služby, která mezitím ze seznamu zmizela.
Pro navazování zabezpečeného (TLS) spojení (např. pro stahování revokačních informací on-line) čerpá aplikace důvěru i od operačního systému Windows.
7.2 Revokační informace
Stav certifikátu se zjišťuje živě — napřed OCSP, pak CRL jako záloha — a doplňuje se o to, co dokument nese sám. U každého údaje aplikace sleduje, odkud pochází: z dokumentu, z vlastního úložiště, nebo ze sítě. Právě to rozhoduje, jestli půjde závěr zopakovat i jinde a později, a proto se to v Průběhu ověřování uvádí u každého využitého údaje zvlášť.
Údaje se rozdělují do tří skupin, protože „přípustný“ a „využitý“ není totéž: o které se závěr opřel, které standardy připouštějí, ale závěr na nich nestojí, a které použít nešlo — u každého z nich i proč. Tam, kde se na stav revokace správně vůbec nikdo neptal (certifikát je sám kotvou důvěry), řekne se i to; jinak by poctivé „nic se nezjišťovalo, a správně“ vypadalo jako chyba.
7.3 Vlastní zásoby
- Vlastní úložiště CRL — seznamy, které si uživatel nashromáždil. Hodí se u starých podpisů, kde už vydavatel nic nezveřejňuje. Je to záložní zdroj: sáhne se po něm tehdy, když se použitelný údaj nepodařilo získat obvyklou cestou. Ze seznamů od téhož vydavatele si aplikace vybere ten, který o certifikátu skutečně může vypovídat — seznam vydaný dřív, než certifikát vznikl, nebo dřív než rozhodný okamžik, vypovídají (resp. mlčí) o něčem jiném, než co se právě zjišťuje.
- Vlastní kotvy důvěry — certifikáty, které evropské seznamy neuvádějí, například interní firemní autorita. Jedním tlačítkem se vloží vydávající autority tuzemských komerčních linek (I.CA, PostSignum, eIdentity, NCA, KB); doplnit se dá libovolná další. Aplikace vždy přizná, že závěr stojí na kotvě, kterou jiný nástroj nemá odkud vzít.
Co ověření z vlastních zásob opravdu použilo, se při uchování zapíše do dokumentu — jinak by uchovaný soubor postrádal právě ten důkaz, na kterém jeho verdikt stál, a nikdo jiný by si ho už neopatřil.
