Açık anahtar sertifikası

Açık anahtar sertifikası ya da bilinen diğer adıyla dijital sertifika, açık anahtar sahipliğinin kanıtlanmasında kullanılan bir elektronik dokümandır. Sertifika, anahtar hakkında bilgiler, sahibinin kimliği hakkında bilgiler (özne olarak adlandırılır) ve sertifikanın içeriğini doğrulayan bir varlığın dijital imzasını içerir (sağlayıcı olarak adlandırılır). İmza geçerliyse ve yazılım, incelediği sertifikanın sağlayıcısına güveniyorsa, sertifikanın öznesi ile güvenli bir şekilde iletişim kurmak için bu anahtarı kullanabilir. E-posta şifreleme, kod imzalama ve elektronik imza sistemlerinde özne genelde bir kişi ya da kuruluştur. Ancak, Transport Layer Security (TLS)’de özne genelde bir bilgisayar ya da farklı aygıt olmasına rağmen TLS sertifikaları, cihazları tanımlamasındaki temel rollerine ek olarak kuruluşları ya da bireyleri tanımlayabilir. Bazen eski adı olan Secure Sockets Layer (SSL) olarak da anılan TLS, web’de güvenli gezinme için bir iletişim protokolü olan HTTPS’nin önemli bir parçasıdır.
Tipik bir açık anahtar altyapısı (PKI) şemasında, sertifika sağlayıcısı olan sertifika otoritesi (CA), genellikle müşterileri ücretlendirerek sertifika veren şirketlerdir. Buna karşılık, güven ağında bireyler birbirlerinin anahtarlarını, açık anahtar sertifikasına benzer bir işlevle doğrudan imzalarlar.
Açık anahtar sertifikalarının en yaygın formatı X.509’a göre tanımlanmıştır. X.509 çok genel olduğundan, format RFC 5280’de belirlendiği gibi belirli kullanım durumları için tanımlanmış profillerle daha da kısıtlanır.

TLS/SSL istemci sertifikası

İstemci sertifikaları, sunucu sertifikalarından daha az yaygındır ve erişim kontrolünü sağlamak için, bir TLS servisine bağlanan istemcinin kimliğini doğrulamada kullanılır. Çünkü birçok servis aygıtlar yerine bireylere erişim sağladığından, birçok istemci sertifikası sunucu adı yerine e-posta adresi ya da kişi adını içerir. Ayrıca, kimlik doğrulaması genellikle servis sağlayıcısı tarafından yönetildiğinden, istemci sertifikaları genellikle sunucu sertifikası sağlayan bir sertifika otoritesi (CA) tarafından verilmez. Bunun yerine, istemci sertifikası gerektiren servisin operatörü genellikle bunları vermek için kendi iç CA’larını kullanır. İstemci sertifikaları çoğu web tarayıcısı tarafından desteklenir ancak birçok servis, kullanıcı kimliğini doğrulamak için istemci sertifikası yerine şifreler ve çerezler kullanmaktadır.
İstemci sertifikaları, yalnızca yetkili aygıtların belirli RPC çağrılarını yapabilmesini sağlamak için, aygıt kimliğini doğrulamak için kullanıldığı RPC sistemlerinde daha yaygındır.

E-posta sertifikası

Güvenli e-posta için S/MIME protokolünde göndericiler, herhangi bir alıcı için hangi açık anahtarın kullanıldığını bilmelidir. Kişiler bu bilgileri bir e-posta sertifikasından elde etmektedir. Bazı güvenilir sertifika otoriteleri (CA) e-posta sertifikaları sağlamaktadır ancak S/MIME genelde belirli kurumlarla iletişim kurmak için kullanılır ve bu e-posta sisteminde bu kurumlar katılımcıların güvendiği kendi sertifika otoritelerini (CA) kullanır.

Kod imzalama sertifikası

Sertifikalar aynı zamanda, teslimat sırasında değiştirilmediğinden emin olmak için programlardaki imzaların doğrulanmasında kullanılabilir.

Sertifikalar ve web sitesi güvenliği

En yaygın sertifika kullanımı HTTPS tabanlı web siteler içindir. Web tarayıcısı HTTPS web sunucusunu otantik olarak doğrular, böylece kullanıcı web sitesi ile etkileşiminin hiçbir gizli dinleyeni olmadığını ve web sitesinin iddia ettiği kişi olduğunu güvence altına alabilir. Bu güvenlik elektronik ticaret için önemlidir. Pratikte, bir web sitesi operatörü bir sertifika yetkilisine sertifika imzalama talebi başvurusu yaparak sertifika alır. Sertifika talebi; web sitesi ismini, şirket bilgilerini ve açık anahtarı içeren elektronik bir dökümandır. Sertifika sağlayıcısı talebi imzalar ve böylece bir açık sertifika oluşturur. Web taraması sırasında bu açık sertifika, web sitesine bağlanan herhangi bir web tarayıcısına sunulur ve sertifika sağlayıcısının, web tarayıcısına web sitesinin sahibine bir sertifika verdiğine inandığı kanıtlanır.

Domain doğrulaması (Domain validation)

Bir sertifika sağlayıcısı, bir alan adını idari olarak yönetme hakkı olan alıcılara Domain Validation (DV) sınıfında bir sertifika çıkartabilir

Kurum doğrulaması (Organization validation)

Bir sertifika sağlayıcısı, söz konusu alan adını idari olarak yönetme hakkı olan ve belki de kurumun yasal olarak tüzel kişiliğe sahip olan alıcılara Organization Validation (OV) sınıfında sertifika çıkartabilir. Sertifika sağlayıcısı, OV sınıfı sertifikaların veriliş kriterlerini Sertifika Politikası aracılığıyla yayınlar.

Genişletilmiş doğrulama (Extended validation)

Extended Validation (EV) sertifikasını alabilmek için alıcının, sertifika sağlayıcısını bir insan tarafından manuel doğrulama kontrolleri dahil olarak yasal kimliğini teyit etmelidir. OV sertifikasında olduğu gibi, sertifika sağlayıcısı kendi Sertifika Politikası aracılığıyla EV sınıfındaki sertifikaların veriliş kriterini yayınlar.
Tarayıcılar genelde EV sertifikası sunan sitelerde, kullanıcılara yasal kimliğini belirten bir görsel kullanır. Çoğu tarayıcı yasal kimliği, alan adından önce ve parlak yeşil ile vurgulanmış olarak gösterir. Bu durumda kullanıcı, site sahibinin yasal kimliğinin doğrulandığını görebilir.

Zayıf yönleri

Web tarayıcısı kullanıcılara, eğer bir web sitesi aniden farklı bir sertifika sunarsa -ki, bu sertifika düşük sayıda anahtar bitine sahip olsa, farklı bir sertifika sağlayıcısına sahip olsa ve bir önceki sertifikanın geçerliliğinin bitişine daha çok kalmış olsa dahi- uyarı vermeyebilir. Ancak yine de EV sınıfı sertifikadan EV sınıfı olmayan sertifikaya dönüş yapıldığında, araç çubuğundaki yeşil bar bundan sonra görüntülenmeyecektir.
Sertifika sağlayıcılarının hükümetlerin denetimi altında olduğu durumlarda, hükümetler yasal amaçlar için sertifika sağlayıcılarına bir sertifika üretmesi için sipariş etme özgürlüğüne sahip olabilirler. Yan kuruluş olan toptan sertifika sağlayıcıları da herhangi bir sertifika üretme özgürlüğüne sahiptir.