Autoritat de certificació

Infraestructura de clau pública
CA: Autoritat de Certificació ; VA: Autoritat de Validació ; RA: Autoritat de Registre.

En criptografia, les expressions autoritat de certificació, o certificadora, o certificante, o les sigles AC o CA (per la denominació en idioma anglés Certification Authority), senyalen a una entitat de confiança, responsable d'emetre i revocar els certificats digitals, utilisant en ells la firma electrònica, per ad açò s'ampra la criptografia de clau pública. Jurídicament, es tracta d'un cas particular de Prestador de Servicis de Certificació. Una autoritat de certificació expedix els certificats digitals, que ya contenen les identificacions numèriques i les contrasenyes que es necessiten, posant a disposició el procediment de verificació per a validar el certificat proporcionat.

Els servicis d'una autoritat de certificació, són principalment utilisats per a garantisar la seguritat de les comunicacions digitals via el protocol TLS (Transport Layer Security), utilisats en les comunicacions web (HTTPS) o les comunicacions de correus electrònics (SMTP, POP3, IMAP), aixina com per a resguardar documents digitals (per eixemple, utilisant firmes electròniques alvançades en el sistema PAdES per a documents PDF, o via el protocol S/MIME per als correus electrònics).

Concepte

L'Autoritat de Certificació (CA) verifica l'identitat del solicitant d'un certificat abans de la seua expedició o, en cas de certificats expedits en la condició de revocats, elimina la revocació dels certificats en comprovar dita identitat. Els certificats són documents que arrepleguen certes senyes del seu titular i el seu clau pública i estan firmats digitalment per la CA, utilisant la seua clau privada. La CA presta les seues Servicis de Certificació que garantisa davant els tercers que, confien en els seus certificats i la relació entre l'identitat d'un usuari i la seua clau pública. La confiança dels usuaris en la CA és important per al funcionament del servici i justifica la filosofia de la seua ocupació, pero no existix un procediment normalisat per a demostrar que una CA mereix dita confiança.

Un certificat revocat és un certificat que no és vàlit encara que s'ampre dins del seu periodo de vigència. Un certificat revocat té la condició de suspés si la seua vigència pot restablir-se en determinades condicions.

Modo de funcionament

Solicitut d'un certificat

El mecanisme habitual de solicitut d'un certificat de servidor web a una CA consistix que l'entitat solicitant, utilisant certes funcions del software de servidor web, completa certes senyes identificativos (entre els que s'inclou el localizador URL del servidor) i genera una parella de claus pública/privada. En eixa informació el software de servidor crea un ficher que conté una petició CSR (Certificate Signing Request) en format PKCS#10 que conté la clau pública i que es fa aplegar a la CA elegida. Esta, despuix de verificar per sí o per mig dels servicis d'una Autoritat de Registre (Registration Authority, RA) l'informació d'identificació aportada i la realisació del pagament, envia el certificat firmat al solicitant, que ho instala en el servidor web en la mateixa ferramenta en la que va generar la petició CSR.

En este context, PKCS correspon a un conjunt d'especificacions que són estàndars de facto denominades Public-Key Cryptography Standards.

La Jerarquia de Certificació

Les CA disponen dels seus propis certificats públics, les claus privades dels quals associades són amprades per les CA per a firmar els certificats que emeten. Un certificat de CA pot estar auto-firmat quan no hi ha cap CA de ranc superior que lo ferm. Est és el cas dels certificats de CA raïl, l'element inicial de qualsevol jerarquia de certificació. Una jerarquia de certificació consistix en una estructura jeràrquica de CAs en la que es partix d'una CA auto-firmada, i en cada nivell, existix una o més CAs que poden firmar certificats de 'entitat final' (titular de certificat: servidor web, persona, aplicació de software) o ben certificats d'atres CA subordinades plenament identificades i que la seua Política de Certificació siga compatible en les CAs de ranc superior.

Confiança en la CA

Una de les formes per les que s'establix la confiança en una CA per a un usuari consistix en la "instalació" en l'ordenador de l'usuari (tercer que confia) del certificat autofirmado de la CA raïl de la jerarquia en la que es desija confiar. El procés d'instalació pot fer-se, en sistemes operatius de tipo Windows, fent doble clic en el ficher que conté el certificat (en l'extensió crt) i iniciant aixina el "assistent per a l'importació de certificats". Per regla general el procés cal repetir-ho per cada u dels navegadors que existixquen en el sistema, tals com Opera, Firefox o Internet Explorer, i en cada cas en les seues funcions específiques d'importació de certificats.

Si està instalada una CA en el repositori de CAs de confiança de cada navegador, qualsevol certificat firmat per dita CA es podrà validar, ya que es dispon de la clau pública en la que verificar la firma que du el certificat. Quan el model de CA inclou una jerarquia, cal establir explícitament la confiança en els certificats de totes les cadenes de certificació en les que es confie. Per a això, es pot localisar els seus certificats per mig de distints mijos de publicació en internet, pero també és possible que un certificat continga tota la cadena de certificació necessària per a ser instalat en confiança.