Come è offline una CA principale? [duplicare]

Question

Come è offline una CA principale? [duplicare]

#1 da (1 voti)
#2 da (1 voti)
#3 da (0 voti)
#4 da (0 voti)

2

Mi è stato detto che una CA radice mantiene totalmente pubbliche le chiavi pubbliche / private. Non sei sicuro di come funzioni con la catena di fiducia:

Root CA firma il certificato CA2, verificando la chiave pubblica di CA2
CA2 firma il certificato di Bob, verificando la chiave pubblica di Bob
Bob usa la sua chiave privata per inviare un messaggio ad Alice e include il suo certificato
Alice vuole assicurarsi che il messaggio provenga da Bob e che Bob possa essere considerato affidabile
Alice si fida della CA principale
Alice utilizza la chiave pubblica di CA2 per verificare che il certificato di Bob fosse considerato attendibile da CA2
Non sono sicuro : in che modo Alice sa che può fidarsi di CA2 senza verificare il certificato CA2 utilizzando la chiave pubblica della CA principale?
Alice ora si fida che il certificato di Bob sia attendibile e può utilizzare la chiave pubblica di Bob, contenuta all'interno, per convalidare che il messaggio non sia stato manomesso.

public-key-infrastructure

posta anon 06.12.2016 - 05:48

fonte

4 risposte

Leggi altre domande sui tag public-key-infrastructure

C'è un rischio nel fare amicizia con account falsi su Facebook? LXC vs LXD: Qual è "più sicuro"?

score 1 · Answer 1

I'm told a root CA keeps they public/private keys totally offline.

Non si tratta di online o offline ma segreto o pubblico. La chiave privata è privata come suggerisce il nome, cioè è nota solo alla CA. Il pubblico è pubblico come suggerisce il nome ed è incluso nel certificato pubblico. Questo certificato viene quindi installato su ciascun client come root attendibile. Pertanto, la chiave pubblica della CA radice non viene trasferita durante l'handshake TLS (cioè non in linea) poiché il client ne ha già una copia e la utilizza come un'ancora di sicurezza. Ma dal momento che il certificato è pubblicamente noto in ogni caso, non importa se viene trasferito via Internet (online). Tuttavia, il client deve utilizzare solo la CA di fiducia locale come ancoraggio affidabile e non una CA casuale trasferita su Internet.

score 1 · Answer 2

Come spiegato da StephenUllrich, il CA principale certificato contenente la chiave pubblica viene reso pubblico per consentire la convalida della catena di certificati. Ma la chiave privata di root è un materiale altamente sensibile, perché può convalidare altri certificati (generalmente certificati intermedi) e viene utilizzato per revocarli se sono stati compromessi. Il problema è che è difficile da revocare (chi potrebbe firmare l'elenco di revoche di certificati?). Per questo motivo, le best practice consigliano di memorizzarlo offline in una cassastrong fisica per renderlo inaccessibile agli attacchi remoti.

score 0 · Answer 3

Se ti capisco correttamente, la tua domanda principale è dove inizia la fiducia, o in altre parole perché / come dovrebbe fidarsi della CA di root al primo posto. Nel seguente link puoi vedere una descrizione di come è fatto nei browser: Ottenere una CA radice accettata nei sistemi e nei browser

In termini semplici accetti il certificato di root come affidabile. Durante la navigazione in Internet, il tuo browser preferito lo fa per te. Se si crea il proprio sistema, si decide chi è l'autorità root.

Dal momento che tutti possono fidarsi della CA radice ora, possono anche essere mantenuti offline in quanto non è attivamente partecipare a qualsiasi verifica delle firme digitali. Solo la sua chiave pubblica è nota a tutti in modo che la fiducia possa propagarsi.

Si è tentati di trovare esempi di vita reale di come funziona anche questo. Ad esempio, considera un branco di lupi. C'è sempre un leader che può introdurre nuovi membri ed è fidato da tutti gli altri membri del branco. Questo lupo può essere la CA radice nel tuo caso. Anche se il capo lupo è andato a caccia (modalità offline), il mazzo è ancora legato e continua a fidarsi l'un l'altro.

score 0 · Answer 4

0

How does Alice know she can trust CA2 without verifying CA2's certificate using Root CA's public key?

Si suppone che Alice abbia la chiave pubblica della CA principale. È la chiave privata della CA principale che è offline.

risposta data 06.12.2016 - 05:51

fonte