Come funziona l'autorità di certificazione [duplicato]

La CA non invia alcuna chiave pubblica ai client.

La CA firma la chiave pubblica del server con la sua chiave privata e quindi la firma sul server. Quando il client si connette a un server, il server invia sia la sua chiave pubblica che la firma al client.

I client hanno già le chiavi pubbliche di tutte le CA di cui si fidano. Questi sono chiamati certificati radice. I client utilizzano tali chiavi pubbliche per verificare che le firme sulle chiavi pubbliche dei server con cui comunicano siano valide.

Ora per il problema "in che modo le chiavi pubbliche della CA arrivano al cliente"? Alcuni browser Web dispongono di un proprio set di certificati radice, altri utilizzano l'archivio certificati del sistema operativo. La maggior parte degli utenti si fida ciecamente del fornitore del proprio browser / os che la lista di CA che hanno curato è affidabile. Quindi, scaricare e aggiornare il browser Web o il sistema operativo è un processo fondamentale per l'infrastruttura CA. Un potente avversario che può manipolare il tuo traffico internet o controlla i fileserver dai quali ricevi gli aggiornamenti potrebbe introdurre il proprio certificato radice CA in quegli installer / aggiornamenti. Ma se sono in grado di farti un aggiornamento backdoor, allora possono fare cose molto peggiori.

Un client come un browser Web contiene già dozzine di certificati CA pre-trusted. Quindi, un client che riceve il certificato firmato da una CA guarda nella sua memoria locale per confermare che la firma è valida.

Un'autorità di certificazione è un'organizzazione considerata affidabile da altre organizzazioni ed entità. Il fatto che tu ti fidi o meno di un'autorità di certificazione dipende fondamentalmente da te. Puoi anche essere un'autorità di certificazione da solo. C'è abbastanza software libero è possibile creare un CA con e rilasciare certificati.

Più aziende riescono a fare affari con più affidabilità nel complesso. Ciò non significa che devi aver fiducia in esso.

Alcune persone si fidano di roba gratuita e open source, in quanto potrebbero essere riviste da persone, altre si fidano solo di roba che costa denaro, perché se ciò diventa non attendibile il flusso di cassa si fermerebbe.

Dipende da te decidere chi di cui ti fidi e chi no. Le persone sono abbastanza pazze da mettere in discussione l'affidabilità di una società multi-miliardaria come Microsoft ma installano software di un fornitore locale completamente sconosciuto senza nemmeno metterlo in dubbio.