คำถาม: ใบรับรองดิจิตอล  ขอไปเพื่ออะไร ?

text: ในการเข้ารหัส เป็นคนที่ออกใบรับรองดิจิตอล ใบรับรองดิจิตอลรับรองความเป็นเจ้าของ Public Key โดยมีชื่อเรื่องของใบรับรอง ใบรับรองอนุญาตให้คนอื่นใช้งานได้ โดยขึ้นอยู่กับลายเซ็นหรือยืนยันตัวโดยการทำ private key ที่สอดคล้องกับ public key ที่ถูกรับรอง ในรูปแบบความสัมพันธ์ที่เชื่อถือได้นี้ CA เป็นบุคคลที่สามที่เชื่อถือได้ เชื่อถือในเรื่องเจ้าของใบรับรองและกลุ่มคนที่ขึ้นอยู่กับใบรับรอง ผังของ Public Key Infrastructure (PKI) จำนวนมากจะแสดงตนเป็น CA
title: Certificate authority

text: A certificate chain (ดูแนวคิดเทียบเท่าของ "เส้นทางการรับรอง" ที่กำหนดโดย RFC 5280) เป็นรายการของใบรับรอง (โดยปกติจะเริ่มต้นด้วยการรับรองจากนิติบุคคล) ตามด้วยใบรับรอง CA (โดยปกติจะเป็นคนสุดท้ายที่ถูกลงนามด้วยตนเองในใบรับรอง) ที่มีคุณสมบัติดังต่อไปนี้
title: X.509

text: ถ้า CA สามารถโดนโจมตี, ทำให้ระบบทั้งหมดเกิดความเสียหาย; แม้ว่าหน่วยงานทั้งหมดจะเชื่อ CA ที่โดนบุกรุกนั้น. ยกตัวอย่าง, สนับสนุนการโจมตี, Eve, จัดการบางอย่างให้ได้ปัญหาของตัว CA มาจากใบรับรองของเธอที่อ้างว่าเป็นของ Alice. ใบรับรองจะแถลงต่อสาธารณะว่านี่เป็นของ Alice, และอาจรวมข้อมูลอื่นๆของ Alice. ข้อมูลบางอย่างเกี่ยวกับ Alice เช่นนายจ้างของเธอ, อาจจะจริง, ช่วนเพิ่มความน่าเชื่อถือของใบรับรอง. อย่างไรก็ตาม Eve อาจมีข้อมูลกุญแจส่วนตัวของใบรับรองที่สำคัญทั้งหมด. Eve สามารถใช้ใบรับรองเพื่อทำลงนามดิจิตอลตัวอีเมลและส่งไปให้ Bob, หลอก Bob ให้เชื่อว่าอีเมลนั้นเป็นของ Alice. Bob อาจตอบอีเมลที่ถูกเข้ารหัสนั้น, เชื่อว่าจะถูกอ่านโดน Alice, Eve สามารถถอดรหัสอีเมลนั้นมาอ่านได้โดยใช้กุญแจส่วนตัว การทำลานระบบ CA ที่โด่งดังเหมือนกรณีนี้เกิดในปี 2001, เมื่อผู้ออกใบรับรอง VeriSign ได้ออกใบรับรองสองตัวให้แก่บุคคลผู้แทนของ Microsoft. ใบรับรองนั้นมีชื่อว่า “Microsoft Corporation”, ดังนั้นอาจถูกใช้เพื่อหลอกใครบางคนเพื่อให้เชื่อว่าเป็นการปรับปรุงวอฟต์แวร์ของ Microsoft ซึ่งจริงๆแล้วไม่ใช่. การทุจริตนี้ถูกพบในต้นปี 2001. Microsoft และ VeriSign ได้ทำขั้นตอนลดผลกระทบของปัญหา ในปี 2011 ใบรับรองที่หลอกลวงนั้นได้รับมาจาก Comodo และ DigiNotar, กล่าวหาโดยแฮกเกอร์ชาวอิหร่าน. มีหลักฐานว่าใบรับรอง DigiNotar ที่ปลอมนั้นถูกใช้เพื่อการโจมตีแบบ man-in-the-middle ในอิหร่าน. ในปี 2012, เป็นที่รู้กันว่า Trustwave ได้ออกใบรับรองขั้นใต้ระดับ root เพื่อใช้ในการจัดการการส่งข้อมูล (man-in-the-middle), ที่ยอมรับในระดับองค์กรเพื่อจับการส่ง SSL ของเครือข่ายภายในโดยใช้ใบรับรองนั้น.
title: Certificate authority

text: ส่วนต่อขยายถูกนำมาใช้ในเวอร์ชันที่ 3 CA สามารถใช้ส่วนขยายในการออกใบรับรองเพียงเพื่อวัตถุประสงค์เฉพาะ (เช่น เพื่อการลงนามวัตถุดิจิตอล) แต่ละส่วนขยายสามารถเป็นส่วนสำคัญหรือไม่สำคัญก็ได้ ถ้าส่วนขยายเป็นสิ่งสำคัญและระบบประมวลผลใบรับรองไม่ทำงาน ระบบต้องปฏิเสธใบรับรองทั้งหมด ส่วนขยายที่ไม่สำคัญสามารถปฏิเสธในขณะที่ระบบประมวลผลส่วนที่เหลือของใบรับรอง
title: X.509

text: ได้ใบรับรองยอดการจำหน่ายอัลบั้ม ระดับ "เพชร" 6 ใบ ได้ใบรับรองยอดการจำหน่ายอัลบั้ม ระดับ "มัลติ-แพลทินัม" 28 ใบ ได้ใบรับรองยอดการจำหน่ายอัลบั้ม ระดับ "แพลทินัม" 43 ใบ ได้ใบรับรองยอดการจำหน่ายอัลบั้ม ระดับ "ทอง" 53 ใบ [11] ได้ใบรับรองยอดการจำหน่ายอัลบั้ม ระดับ "เงิน" 1 ใบ [12]
title: เดอะบีเทิลส์

text: นี่คือตัวอย่างของใบรับรองที่ลงนามด้วยตัวเอง ในฐานะผู้ออกใบรับรองเช่นกัน ไม่มีวิธีการตรวจสอบใบรับรองยกเว้นตรวจสอบด้วยตัวมันเอง Thawte เป็นหนึ่งใน root certificate authorities ที่ได้รับการยอมรับจาก Microsoft และ Netscape ใบรับรองนี้มาพร้อมกับเว็บเบราว์เซอร์และเป็นที่ถือเชื่อถือได้โดยปริยาย ในตลอดการใช้งานโดยทั่วไปเชื่อถือใบรับรองซึ่งลงนามรับรองได้ (ตามที่มีในข้อจำกัดเบื้องต้นของ X.509 เวอร์ชัน 3) ซึ่งมันต้องเข้ากับกุญแจส่วนตัวที่ต้องดูแลรักษาอย่างใกล้ชิด
title: X.509

text: ใบรับรองที่น่าเชื่อถือโดยทั่วไปมักใช้เพื่อการเชื่อมต่อไปยัง server ผ่านทาง internet ให้มีความปลอดภัย ใบรับรองเป็นสิ่งจำเป็นเพื่อที่จะหลีกหนีกรณีที่กลุ่มคนที่ประสงค์ร้ายที่ปลอมตัวเป็นเป้าหมายในการส่งข้อมูลแทน server สถานการณ์ดังกล่าวเรียกว่า man-in-the-middle attack ผู้ใช้ใบรับรอง CA เพื่อตรวจสอบลายเซ็นของ CA ในใบรับรองของ server ซึ่งเป็นส่วนหนึ่งของการตรวจสอบก่อนที่จะสถาปนาการเชื่อมต่อที่ปลอดภัย โดยปกติ software ของผู้ใช้บริการ ยกตัวอย่างเช่น browser จะรวมชุดใบรับรองของ CA ที่เชื่อถือได้ ซึ่งเข้าท่าในขณะที่ผู้ใช้เยอะมากที่ต้องการไว้วางใจ software ของพวกเขา บุคคลที่ประสงค์ร้ายสามารถข้ามการตรวจสอบความปลอดภัยและยังคงหลอกลวงผู้ใช้ใช้เชื่อถือว่าเป็นอย่างอื่น
title: Certificate authority

text: Certificate chains ถูกใช้เพื่อที่ตรวจสอบว่ากุญแจสาธารณะ (PK) ที่มีอยู่ในใบรับรองเป้าหมาย (ใบรับรองแรกใน chain) และข้อมูลอื่น ๆ ที่มีอยู่ในนั้นได้อย่างมีประสิทธิภาพ เพื่อที่ตรวจสอบให้แน่ใจว่าลายเซ็นบนใบรับรองเป้าหมายถูกรับรองโดยกุญแจสาธารณะ (PK) ที่มีอยู่ในใบรับรองดังกล่าว ซึ่งลายเซ็นถูกตรวจสอบโดยใช้ใบรับรองถัดไปจนถึงใบรับรองใบสุดท้าย ในขณะที่ใบรับรองสุดท้ายเป็นใบรับรองที่ไว้ใจได้ สุดท้ายมันจะพิสูจน์ว่าใบรับรองเป้าหมายสามารถเชื่อถือได้
title: X.509

text: ใบรับรองหลักที่น่าเชื่อถือขององค์กรสามารถแจกจ่ายไปยังให้กับพนักงานทุกคนเพื่อให้พวกเขาสามารถระบบ PKI ขององค์กร เบราว์เซอร์ เช่น Internet Explorer Firefox Opera Safari และ Chrome มาพร้อมกับชุดที่กำหนดไว้ของใบรับรองหลัก ดังนั้นใบรับรอง SSL จากผู้ขายรายใหญ่จะทำงานทันที ซึ่งมีผลกับนักพัฒนาเบราว์เซอร์ตรวจสอบ CAs ที่ได้รับความเชื่อถือบุคคลที่ 3 สำหรับเบราว์เซอร์ผู้ใช้
title: X.509

text: นี่คือตัวอย่างใบรับรอง X.509 ที่ผ่านการเข้ารหัสของ www.freesoft.org สร้างโดย OpenSSL เป็นใบรับรองขนาก 1kB มันถูกออกโดย Thawte (ตั้งแต่ได้มาโดย VeriSign และในปัจจุบัน Symantec เป็นเจ้าของ) เรื่องของมันประกอบด้วยรายละเอียดส่วนบุคคลจำนวนมากแต่ส่วนที่สำคัญที่สุดมักจะเป็นชื่อทั่วไป (CN) ซึ่งส่วนนี้ต้องเข้ากับโฮสต์ที่ได้รับการรับรอง รวมทั้งเป็นกุญแจสาธารณะ RSA (โมดูลัสและสัญลักษณ์สาธารณะ) ตามด้วยลายเซ็น คำนวณโดยการทำ Hash MD5 ของส่วนแรกในใบรับรองและการลงนาม (ประยุกต์กับกระบวนการการเข้ารหัส) โดยกุญแจส่วนตัว RSA ของ Thawte
title: X.509

text: ในการตรวจสอบใบรับรอง ใบรับรองต้องการใบรับรองลำดับที่ 2 เข้ากับผู้ออกใบรับรองลำดับที่ 1 (Thawte Server CA) ลำดับแรกใบรับรองตรวจสอบว่าใบรับรองลำดับที่ 2 คือประเภทของ CA นั่นหมายความว่ามันสามารถนำมาใช้ในการออกใบรับรองอื่นๆ โดยจะทำการตรวจสอบค่า attribute ของ CA ในส่วนต่อขยาย X.509 เวอร์ชัน 3 ดังนั้นกุญแจสาธารณะ RSA จากใบรับรอง CA จะถูกใช้ในการถอดรหัสลายเซ็นบนใบรับรองแรกที่ได้รับการ Hash MD5 ซึ่งต้องเข้ากับ Hash MD5 จริงที่ถูกคำนวณในส่วนที่เหลือของใบรับรอง
title: X.509

text: ในระบบ X.509 ผู้มีอำนาจออกใบรับรองจะออกใบรับรองที่เกี่ยวพันกับกุญแจสาธารณะที่มีชื่อแตกต่างกันในรูปแบบ X.500 หรือชื่ออื่นๆ เช่น e-mail หรือ DNS
title: X.509

text: ITU-T แนะนำผู้ออกใบรับรองและผู้ระบุหัวข้อเอกลักษณ์ในเวอร์ชันที่ 2 ที่จะอนุญาตให้นำมาใช้ใหม่ของผู้ออกใบรับรองหรือชื่อเรื่องในภายหลัง ตัวอย่างการนำมาใช้ใหม่จะเกิดขึ้นเมื่อ CA ล้มละลายหรือถูกลบรายชื่อออกจากระบบ หลังจากบางครั้งที่ CA อื่นที่มีชื่อเดียวกันสามารถลงทะเบียนตัวเองถึงแม้ว่ามันจะไม่เกี่ยวข้องหน่วยงานนั้น อย่างไรก็ตาม IETF แนะนำว่าผู้ออกใบรับรองและชื่อเรื่องไม่ควรถูกนำมาใช้ใหม่ ดังนั้นในเวอร์ชันที่ 2 ไม่ได้ถูกนำไปใช้อย่างแพร่หลายในอินเทอรเน็ต
title: X.509

text: เพื่อให้การเปลี่ยนแปลงที่สง่างามจากคู่กุญแจลงนามแบบเก่าไปสู่แบบใหม่ CA ควรออกใบรับรองซึ่งมีกุญแจสาธารณะเก่าที่ถูกลงนามโดยกุญแจลงนามส่วนตัวใหม่และใบรับรองที่ประกอบด้วยกุญแจสาธารณะแบบใหม่ซึ่งลงนามโดยกุญแจลงนามส่วนตัวแบบใหม่ ทั้งคู่เป็นตัวออกใบรับรองเองแต่ไม่ได้ลงนามเอง
title: X.509

text: นอกเหนือจาก CA ผู้ให้บริการบางรายออกใบรับรองดิจิตอลให้กับผู้อื่นโดยไม่คิดค่าใช้จ่าย ตัวอย่างที่น่าสนใจคือ CAcert สถาบันขนาดใหญ่และหน่วยงานภาครัฐอาจมี PKI เป็นของตัวเอง ซึ่งรวม CA ของตัวเองเข้าไปด้วย โดยปกติ website ใดใช้ใบรับรองที่ลงนามเองต้องทำหน้าที่เป็น CA ของตัวเองด้วย browser และผู้ใช้บริการคนอื่นๆโดยทั่วไปจะอนุญาตให้ผู้ใช้เพิ่มหรือลบใบรับรอง CA ตามความต้องการ ในขณะที่ใบรับรอง server มีอายุการใช้งานที่น้อยแล้ว ใบรับรอง CA ล่าสุดมีอายุการใช้งานที่ยาวนานกว่า ดังนั้นสำหรับ server ที่มีผู้ใช้งานบ่อยๆ มันก็จะผิดพลาดน้อยในการติดตั้งและเชื่อถือ CA ที่ออกใบรับรองให้ มากกว่าการยืนยันข้อยกเว้นการรักษาความปลอดภัยทุกครั้งที่ server ต่ออายุใบรับรอง
title: Certificate authority

text: X.509 ยังรวมไปถึงการ implememt มาตรฐานสำหรับรายการเพิกถอนใบรับรอง (CRL) ซึ่งมักจะเพิกเฉยระบบโครงสร้างพื้นฐานกุญแจสาธารณะ (PKI) วิธีรับรอง IETF ในการตรวจสอบความถูกต้องของใบรับรองเป็นโพรโทคอลสถานะของใบรับรองออนไลน์ (OCSP) Firefox 3 ให้ OCSP ตรวจสอบโดยค่าเริ่มต้นของ Windows แต่ละรุ่น รวมไปถึง Vista และอื่นๆต่อมา
title: X.509

text: CA ออกใบรับรองดิจิตอลที่ประกอบไปด้วย public key และเอกลักษณ์ของเจ้าของ private key ที่ตรงกันจะถูกนำมาเผยแพร่แต่เก็บเป็นความลับโดยผู้สร้าง key ทั้งสอง ใบรับรองนี้ยังมีการยืนยันและตรวจสอบโดย CA ที่มี public key อยู่ในใบรับรองของบุคคล องค์กร เซิฟเวอร์หรือหน่วยงานอื่นๆที่ระบุไว้ในใบรับรอง หน้าที่ของ CA ในแผนดังกล่าวคือการตรวจสอบข้อมูลประจำตัวของผู้สมัคร เพื่อให้ผู้ใช้และผู้อาศัยใบรับรองสามารถไว้วางใจใบรับรองของ CA ได้ CA ใช้หลายมาตรฐานและการตรวจสอบในการทำเช่นนั้น สาระสำคัญในใบรับรองเป็นผู้รับชอบคำพูดที่ว่า "ใช่ รับรองว่าบุคคลนี้ที่ติดต่อกับเขา"
title: Certificate authority

text: ผู้ออกใบรับรองบางรายเสนอใบรับรอง Extended Validation (EV) เป็นทางเลือกที่เข้มงวดมากขึ้นในการตรวจสอบโดเมนใบรับรอง 1 ในข้อจำกัดของ EV เป็นวิธีการแก้จุดอ่อนของการตรวจสอบโดเมนคือการโจมตียังคงได้รับใบรับรองใบรับรองการตรวจสอบโดเมนสำหรับโดเมนของผู้เคราะห์ร้ายและปรับใช้ระหว่างการโจมตี ถ้าที่เกิดขึ้นนั้นเป็นเพียงข้อแตกต่างที่สังเกตได้ให้กับผู้ใช้ที่ตกเป็นเหยื่อควรจะเป็นแถบ HTTPS address สีน้ำเงิน มากกว่าจะเป็นสีเขียว ผู้ใช้น้อยคนนักจะมีแนวโน้มที่จะยอมรับข้อแตกต่างนี้ซึ่งเป็นสิ่งชี้แนะของการโจมตีที่กำลังดำเนินการอยู่
title: Certificate authority

text: ในการใช้งานขนาดใหญ่ Alice อาจไม่คุ้นเคยกับใบรับรองของ Bob เพราะอาจมี CA ที่แตกต่างกัน ดังนั้นใบรับรองของ Bob ยังอาจรวม public key ของ CA ที่ลงนามโดย CA ที่ต่างกันซึ่ง Alice น่าจะรู้จัก กระบวนการนี้นำไปสู่การปกครองเป็นลำดับชั้น หรือโครงข่าย CA หรือ ใบรับรอง CA
title: Certificate authority

text: แม้จะมีมาตรการรักษาความปลอดภัยรับรองการตรวจสอบความถูกต้องของบุคคลและบริษัท ยังมีความเสี่ยงของ single CA ในการออกใบรับรองปลอมเพื่อหลอกลวง นอกจากนี้ยังเป็นไปได้ที่จะลงทะเบียนนิติบุคคลและบริษัทด้วยชื่อที่เหมือนหรือคล้ายกันมากๆจนทำให้เกิดความสับสน เพื่อลดความอันตรายนี้ การริเริ่มใบรับรองที่บริสุทธิ์เสนอการตรวจสอบทุกใบรับรองใน public unforgeable log ซึ่งสามารถช่วยปัองกันการ phishing
title: Certificate authority

text: มีการพัฒนาซอฟต์แวร์ผู้ออกใบรับรองที่เป็นแบบ open source อยู่. โดยทั่วๆไปคือออกบริการที่จำเป็น, ยกเลิกและจัดการใบรับรองการลงนาม ตัวอย่างโปรแกรมที่เป็น Open source:
title: Certificate authority

text: 1. ผู้ออกแต่ละใบรับรอง (ยกเว้นคนสุดท้าย) ตรงกับหัวข้อใบรับรองถัดไปในรายการ
2. แต่ละใบรับรอง (ยกเว้นคนสุดท้าย) ควรจะได้รับการลงนามโดยคีย์ลับที่สอดคล้องกับใบรับรองต่อไปในห่วงโซ่ (เช่นลายเซ็นของใบรับรองหนึ่งใบสามารถตรวจสอบได้โดยใช้กุญแจสาธารณะที่มีอยู่ในใบรับรองดังต่อไปนี้)
3. ใบรับรองสุดท้ายในรายการต้องวางใจได้ ใบรับรองที่คุณไว้วางใจเพราะมันถูกส่งถึงคุณโดยบางขั้นตอนที่น่าเชื่อถือ
title: X.509

text: ผู้ใช้บริการของ CA เป็นผู้ดูแล server ซึ่งต้องการใบรับรองที่ server ของพวกเขาจะนำเสนอให้แก่ผู้ใช้บริการได้ ค่าใช้จ่าย CA ในการออกใบรับรอง และลูกค้าของพวกเขาหวังว่าใบรับรอง CA จะถูกรวบรวมโดย web browser ส่วนใหญ่ เพื่อที่จะให้การเชื่อมต่อปลอดภัยคือ server ถูกรับรองทำงานได้อย่างราบรื่น จำนวน web browser อุปกรณ์อื่นๆ และ application ซึงเชื่อถือ CA โดยเฉพาะ จะถูกกล่าวถึงอย่างแพร่หลาย Mozilla ซึ่งเป็นองค์กรที่แสวงผลกำไร ได้กระจายใบรับรอง CA กับผลิตภัณฑ์ของบริษัทไปอย่างแพร่หลาย ในขณะที่ Mozilla พัฒนานโยบาย CA/Browser Forum ได้พัฒนาแนวทางสำหรับความน่าเชื่อถือ CA เช่นกัน ใบรับรอง CA ใบเดียวอาจจะถูกใช้ร่วมกับหลายๆ CA และลูกค้าของพวกเขา ใบรับรอง root CA มักจะเป็นฐานที่จะออกใบรับรอง CA คนกลาง ที่มีความต้องการที่แตกต่างกัน
title: Certificate authority

text: X.509 ถูกออกมาใช้ในวันที่ 3 กรกฎาคม พ.ศ. 2531 และมีความเกี่ยวข้องกับมาตรฐาน X.500 ซึ่งก็ถือว่าเป็นระบบลำดับชั้นที่เข้มงวดของผู้มีอำนาจในการออกใบรับรอง (CAs) ในการออกใบรับรอง ซึ่งแตกต่างจากเว็บรูปแบบของความไว้วางใจเว็บ (Web of trust model) ยกตัวอย่างเช่น PGP ที่ทุกคน (ที่ไม่ใช่เพียงแค่ CAs) ซึ่งอาจจะลงนามและเป็นเครื่องยืนยันถึงความถูกต้องของใบรับรองของผู้อื่น รุ่นที่ 3 ของ X.509 จะรวมไปทั้งความยืดหยุ่นของโครงสร้างอื่นๆ เช่น bridge และ mesh เป็นต้น มันสามารถนำใช้แบบ Peer-to-Peer แต่แทบจะไม่เคยถูกใช้ ระบบ X.500 ถูก implement โดยประเทศอธิปไตย เพื่อบอกข้อมูลประจำตัวร่วมกันเพื่อบรรลุสนธิสัญญาร่วมกัน และ โครงสร้างพื้นฐานกุญแจสาธารณะของ IETF (X.509) หรือ PKIX คณะทำงานได้ทำการปรับมาตรฐานให้กับองค์กรที่มีความยืดหยุ่นมากขึ้นของอินเทอร์เน็ต ในความเป็นจริงใบรับรอง X.509 มักจะหมายถึง IETF ของใบรับรอง PKIX และข้อมูลส่วนตัว CRL ของมาตรฐานใบรับรอง X.509 version 3 ตามที่ระบุไว้ใน RFC 5280 ปกติจะเรียกว่า PKIX สำหรับระบบโครงสร้างพื้นฐานกุญแจสาธารณะ
title: X.509

text: รายการเพิกถอนสิทธิ (ARL) เป็นรูปแบบของ CRL ที่มีใบรับรองออกไปยัง CA ตรงกันข้ามกับ CRLs ที่มีใบรับรองเพิกถอนบุคคล
title: Certificate authority

text: ผู้ใช้อินเทอร์เน็ตส่วนใหญ่ทั้งภาคธุรกิจและภาคสังคมขาดความสามารถพื้นฐานในความรู้และความเข้าใจในการเข้ารหัสข้อมูลเพื่อระงับการคุกคาม ความซับซ้อนนี้เป็นหนึ่งในจุดอ่อนของการเข้ารหัสกุญแจสาธารณะ ซึ่งไม่เป็นมิตรกับผู้ใช้และการใช้งานโดยรวมจึงมีผลกระทบกับประสิทธิภาพในการแก้ปัญหา เพื่อที่จะจัดการปัญหาดังกล่าว บริษัทซอฟต์แวร์รายใหญ่ได้รวบรวม root certificate ที่ได้รับการตรวจสอบเพื่อความปลอดภัยเข้าไปใน browser ผู้ใช้และระบบปฏิบัติการ เพื่อประโยชน์ในการใช้งานง่ายและการทำงานร่วมกัน ทุกเว็บเบราว์เซอร์และระบบปฏิบัติการในปัจจุบันใส่ใบรับรองทีได้การตรวจสอบ Trusted Root Store ของที่ออกใบรับรอง ใบรับรองที่ออกโดยองค์กรเหล่านี้หรือภายใต้องค์กรเหล่านี้ได้รับความเชื่อถือโดยอาศัยหน่วยงานเหล่านี้ถือว่าเชื่อถือได้และปลอภัยอย่างอัตโนมัติ เมื่อเทียบกับใบรับรองที่ออกโดยบุคคลที่ไม่รู้จัก ซึ่งจะเตือนว่าไม่น่าไว้วางใจ ทั้งหมดนี้ตีความลงในใบรับรองที่ออกโดยเจ้าหน้าที่ทั้งหมดซึ่งไม่รวมอยู่กับ root store วิธีการนี้พยายามที่จะทำข้อกำหนดของระบบความปลอดภัยอัตโนมัติและมีความโปร่งใส และที่สำคัญเอาออกจากผู้ใช้ การตัดสินใจสร้างกระบวนการเกี่ยวกับความน่าเชื่อถือของเว็บไซต์
title: X.509

text: ธุรกิจ Certificate authority ทั่วโลกมีการแบ่งส่วนทั้งระดับชาติและระดับภูมิภาคซึ่งมีอำนาจเหนือตลาดทั่วไป เป็นเพราะการใช้งานใบรับรองดิจิตอลจำนวนมากเชื่อมโยงกฎหมายท้องถิ่น ข้อบังคับและการให้อำนาจวางแผนสำหรับ Certificate authority เช่น สำหรับผลเกี่ยวข้องทางกฎหมายลายเซ็นดิจตอล อย่างไรก็ตามตลาดสำหรับใบรับรอง SSL ซึ่งเป็นใบรับรองใช้สำหรับการรักษาความปลอดภัย website ทีโดยส่วนใหญ่จัดขึ้นโดยบริษัทข้ามชาติจำนวนหนึ่ง ตลาดนี้มีอุปสรรคสำคัญในการเข้าถึงเนื่องจากข้อกำหนดทางเทคนิค ในขณะที่ไม่จำเป็นต้องทำตามกฎหมาย ผู้ให้บริการรายใหม่อาจเลือกที่จะได้รับการตรวจสอบรายปีจะถูกรวมอยู่ในรายการ web browser ที่ authority เชื่อถือ เช่น WebTrust สำหรับ CA ในอเมริกาเหนือ และ ETSI ในยุโรป ใบรับรอง root certificate มากกว่า 50 ใบที่เชื่อถือได้เป็นที่นิยมใน web browser version W3Techs ได้สำรวจตั้งแต่เดือนกุมภาพันธ์ 2558 พบว่า
title: Certificate authority

text: RFC 5280 (และก่อนหน้า) กำหนดจำนวนของส่วนต่อขยายของใบรับรองที่ระบุวิธีการรับรองจากที่ควรจะใช่ ส่วนใหญ่เป็นส่วนหนึ่งของ joint-iso-ccitt(2) ds(5) id-ce(29) และ OID บางส่วนพบมากที่สุด ระบุไว้ในข้อ 4.2.1 คือ:โดยทั่วไป ถ้าใบรับรองมีส่วนต่อขยายหลายส่วนของข้อจำกัดการใช้งาน ทุกคนต้องมีความพึงพอใจสำหรับการใช้งานที่กำหนดให้ตามความเหมาะสม RFC 5280 ให้ตัวอย่างที่เฉพาะเจาะจงของใบรับรองที่มีทั้ง keyUsage และ extendedKeyUsage ในกรณีนี้ทั้งคู่จะต้องได้รับการประมวลผลและใบรับรองที่สามารถนำมาใช้เฉพาะในกรณีที่ส่วนต่อขยายของทั้งสองมีความเกี่ยวข้องกันในการระบุการใช้งานของใบรับรอง
title: X.509

text: ในการเข้ารหัสข้อมูล X.509 เป็นรูปแบบมาตรฐาน ITU-T สำหรับโครงสร้างพื้นฐานกุญแจสาธารณะ (PKI) และโครงสร้างพื้นฐานการจัดการสิทธิ์ (PMI) ซึ่ง X.509 จะระบุหลากหลายหมวดหมู่ รูปแบบมาตรฐานสำหรับใบรับรองกุญแจสาธารณะ รายการเพิกถอนใบรับรอง ใบรับรอง attribute และขั้นตอนการตรวจสอบเส้นทางการรับรอง
title: X.509

text: คำอธิบายในวรรคก่อนหน้าเป็นมุมมองที่ง่ายในการตรวจสอบกระบวนการเส้นทางในใบรับรองตามที่กำหนดโดย RFC 5280 ซึ่งเกี่ยวกับการตรวจสอบเพิ่มเติม เช่นตรวจสอบความถูกต้องของวันที่ในใบรับรอง เป็นต้น
title: X.509