Chuỗi tin cậy SSL là gì?
Dùng cho SSL/TLS, S/MIME, ký code, ứng dụng X.509 khác. Xác thực chứng chỉ bởi cấp phát (issuer) qua hệ thống phân cấp chứng chỉ gọi là chứng chỉ X.509. Trong thế giới tin cậy, gọi là chuỗi tin cậy.
Cơ chế chuỗi tin cậy SSL
Trình duyệt tải chứng chỉ SSL trang web → chuỗi ngược về root server. Bước 1: theo dõi đến trung gian (intermediate), sau đó truy ngược đến root tin cậy.
Chuỗi chứng chỉ (CERT chain) là gì?
Danh sách chứng chỉ từ chứng chỉ server đến root certificate. Mỗi chứng chỉ được ký bởi thực thể có danh tính liên quan đến chứng chỉ tiếp theo trong chuỗi.
Chuỗi chứng chỉ TLS
Chuỗi chứng chỉ = chuỗi SSL/TLS cert + CA cert, cho phép máy tính xác thực danh tính người gửi và độ tin cậy của tất cả CA.
Chuỗi chứng chỉ CA
Danh sách chứng chỉ từ server cert đến root cert. Mỗi cert được ký bởi thực thể của cert tiếp theo.
Chuỗi SSL
Danh sách chứng chỉ: SSL cert, intermediate CA, root CA. Thiết bị kết nối xác minh SSL cert tin cậy.
Vấn đề chuỗi SSL (Chain issue)
Thứ tự chứng chỉ sai. Chuẩn quy định: cert server chính trước, sau đó cert ký nó, rồi cert tiếp theo trong chuỗi...
Chuỗi tin cậy trong bảo mật khởi động (boot security)
Đặt chuỗi tin cậy trên hệ thống để nhiều người dùng phần mềm dễ dàng hơn (nếu tất cả khóa vật lý ở đó thì khó). Bắt đầu từ hardware chỉ chạy phần mềm ký số → tạo chuỗi tin cậy.
Chứng chỉ tin cậy hoạt động như thế nào?
Chuỗi chứng chỉ = danh sách có thứ tự: subscriber cert (người gửi) + intermediate cert (intermediate CA) → người nhận xác minh người gửi và tất cả CA trung gian hợp pháp.
CERT chain (lặp lại)
Danh sách chứng chỉ từ server cert đến root cert. Server cert phải có thể xác minh ngược về CA gốc để được tin cậy.
Thứ tự chuỗi chứng chỉ
Danh sách intermediate CA dẫn về root CA tin cậy. SSL cert phải xác thực bởi CA và nhúng trong trusted store trình duyệt để được tin cậy.
Cơ chế chuỗi chứng chỉ
Chuỗi chứng chỉ (certification path) xác thực danh tính thực thể qua danh sách cert. Chuỗi bắt đầu từ cert tiếp theo được xác định bởi thực thể đó, mỗi cert do thực thể của cert tiếp theo ký.
Cách xác minh chuỗi chứng chỉ
- Cert do issuer cấp
- Dùng public key của issuer cert để xác thực chữ ký cert
- Dùng system clock của bộ xác minh để kiểm tra thời hạn hiệu lực cert