\"/
\"/ \"/    

Certifikační autorita Masarykovy univerzity

David Rohleder, ÚVT MU
Ročník X - číslo 5, červen 2000
Citace: D. Rohleder. Certifikační autorita Masarykovy univerzity. Zpravodaj ÚVT MU. ISSN 1212-0901, 2000, roč. X, č. 5, s. 14-18.
Tematické zařazení: Bezpečnost, Dění na MU
 předchozí článek | následující článek 

Proč certifikační autorita?

Certifikační autorita Masarykovy univerzity byla zřízena jako součást výzkumného záměru ÚVT na vybudování digitálních knihoven. Protože Masarykově univerzitě chyběla oficiální certifikační autorita (CVT FI má certifikační autoritu, kterou je podepsán certifikát serveru informačního systému is.muni.cz), rozhodli jsme se využít výzkumného záměru k vybudování a praktickému ověření možností, které přináší.

Činnost certifikační autority

Technický úvod k certifikátům a certifikačním autoritám můžete najít např. v minulém čísle Zpravodaje ÚVT1.

Náplň činnosti certifikační autority je ovšem především administrativní. Tu lze jednoduše popsat následovně:

  1. příjem žádostí o certifikát;
  2. ověření správnosti žádosti;
  3. ověření identity žadatele;
  4. ověření oprávněnosti jeho žádosti o certifikát;
  5. vydání certifikátu;
  6. udržování databáze vydaných certifikátů (nepovinné);
  7. příjem žádostí o revokování certifikátu;
  8. udržování seznamu revokovaných certifikátů (CRL).

Mimo tyto činnosti může certifikační autorita poskytovat další služby - např. upozorňovat majitele na končící platnost certifikátu nebo zveřejňovat certifikáty pomocí některé veřejné služby (adresářová služba LDAP, www rozhraní, ...)

Samostatná nebo podřízená certifikační autorita?

Při zřizování certifikační autority jsou možné dvě varianty:

Programové vybavení

Existuje několik běžně dostupných systémů pro vytvoření a provoz certifikační autority (některé systémy jsou limitovány exportními omezeními americké administrativy) - např. UniCERT, Entrust WebCA, IBM Registry, Netscape Certificate Management System nebo Verisign OEM. V současnosti také probíhá vývoj volně dostupného systému s označením OpenCA2.

Při výběru softwaru se nám jako nejvhodnější řešení jevil Netscape Certificate Management System. Zde jsou některé jeho přednosti:

Komponenty systému NCMS

NCMS (Netscape Certificate Management System) se může skládat ze tří částí:

  1. Certification Manager - primární správce certifikátů, který přijímá žádosti a vydává certifikáty.
  2. Registration Manager - registrační správce, volitelná část NCMS, přijímá žádosti o certifikáty a ověřuje identitu žadatele. Umožňuje delegovat některé pravomoci certifikační autority bez toho, aby bylo nutno vytvářet podřízenou certifikační autoritu. Správce certifikátů věří tomu, že registrační správce plní správně delegované úkoly.
  3. Data Recovery Manager - správce úložiště privátních klíčů koncových subjektů. Tato část je volitelná a je vhodná pro uložení privátních šifrovacích klíčů pro organizace, které používají různé certifikáty pro šifrování a podpisování (taková možnost se vyskytuje pouze v novějších aplikacích), aby bylo později možné obnovit šifrovanou zprávu při ztrátě privátního klíče. Soukromé klíče používané pro podpisování se nearchivují, protože pak by klíč ztratil svou funkci nepopiratelnosti.

Jednotlivé součásti mohou být nainstalovány na více místech a mohou tak vytvořit bezpečný systém pro vydávání certifikátů.

Vydávání certifikátů

Žádosti o certifikáty je možné přijímat různými metodami. Mezi nejčastější patří e-mailová zpráva správci certifikační autority nebo www formulář pro zadání žádosti o certifikát. NCMS podporuje následující formáty:

Vydávání certifikátů je možné automatizovat. Pokud je možné vydat certifikát na základě nějaké skutečnosti (např. znalosti hesla), může být certifikát vydán bez zásahu správce certifikační autority. NCMS je značně přizpůsobitelný a je možné jej doplnit o vlastní moduly autentizace a přidávat k certifikátům vlastní rozšíření. Všechna tato rozšíření jsou správci k dispozici pomocí programovacího jazyku Java, v němž může na základě obsahu žádosti o certifikát rozhodnout o automatickém zpracování.

Vydávání certifikátů pro servery na MU

NCMS je ve svých licenčních ujednáních limitován počtem vydaných licencí. Proto budou v současnosti vydávány pouze certifikáty pro servery na MU. Každý správce na fakultě má právo zažádat o certifikát svého serveru. Postup při podávání žádosti o certifikát je zveřejněn na http://crl.muni.cz/.

Certifikát certifikační autority MU

Certifikát certifikační autority je v současnosti možné získat na http://crl.muni.cz/. Po certifikátu certifikační autority je většinou vyžadováno, aby byl publikován nejen v elektronické podobě, ale i na papíře, aby jej bylo možno identifikovat rozdílnými způsoby. Takže tady je: 

Certificate contents

Certificate: 
    Data: 
        Version:  v3
        Serial Number: 0x1
        Signature Algorithm: MD5withRSA - 1.2.840.113549.1.1.4
        Issuer: CN=Certifikacni autorita Masarykovy univerzity,
                O=Masarykova univerzita,C=CZ 
        Validity: 
            Not Before: Wednesday, April 19, 2000 12:00:00 AM
            Not  After: Saturday, April 19, 2008 12:00:00 AM
        Subject: CN=Certifikacni autorita Masarykovy univerzity,
                 O=Masarykova univerzita,C=CZ
        Subject Public Key Info:
            Algorithm: RSA - 1.2.840.113549.1.1.1
            Public Key: 
                30:81:89:02:81:81:00:B9:09:91:9F:19:2D:0F:78:98:
                6D:E9:A5:F3:D7:45:33:34:55:BB:2A:90:50:9B:4C:0B:
                FD:F2:DB:94:52:8F:86:F8:AF:83:AC:DF:1D:14:44:35:
                7D:A4:BE:57:2B:EC:59:EC:4B:83:6D:80:FC:3E:E3:A5:
                57:01:A5:42:40:80:6C:87:20:C9:71:FA:DF:22:CD:F5:
                67:EC:9E:13:C8:C8:7F:9D:CB:B7:D1:79:A0:51:98:A5:
                8C:D2:57:C6:84:F5:60:0C:06:20:B9:2E:0F:ED:0A:6B:
                49:6F:DC:A6:CC:B7:C1:81:3F:77:52:BC:D3:D8:79:B8:
                B0:60:7B:52:93:61:27:02:03:01:00:01
        Extensions:
            Identifier: Certificate Type - 2.16.840.1.113730.1.1
                Critical: no 
                Certificate Usage: 
                     SSL CA 
                     Secure Email CA 
                     ObjectSigning CA 
            Identifier: Subject Alternative Name - 2.5.29.17
                     Critical: no 
                     Value:
                         [DNSName: ca.muni.cz, RFC822Name:
                         certmgr@muni.cz]
            Identifier: Issuer Alternative Name - 2.5.29.18
                Critical: no 
                Issuer Name: DNSName: ca.muni.cz
                Issuer Name: RFC822Name: certmgr@muni.cz
            Identifier: 2.16.840.1.113730.1.13
                Critical: no
                Value: 
                    16:55:4B:6F:72:65:6E:6F:76:61:20:63:65:72:74:69:
                    66:69:6B:61:63:6E:69:20:61:75:74:6F:72:69:74:61:
                    20:4D:61:73:61:72:79:6B:6F:76:79:20:75:6E:69:76:
                    65:72:7A:69:74:79:2E:20:52:6F:6F:74:20:43:41:20:
                    66:6F:72:20:4D:61:73:61:72:79:6B:20:55:6E:69:76:
                    65:72:73:69:74:79:2E
            Identifier: CRL Distribution Points - 2.5.29.31
                Critical: no 
                Number of Points: 1
                Point 0
                    Distribution Point: [URIName:
                                    http://crl.muni.cz/ca/rootCA.crl]
            Identifier: Basic Constraints - 2.5.29.19
                Critical: yes 
                Is CA: yes 
                Path Length Constraint: UNDEFINED (-2)
            Identifier: Authority Key Identifier - 2.5.29.35
                Critical: no
                Key Identifier: 
                    2D:E6:4E:66:6B:4D:B6:BD:D5:4D:00:A0:1B:6D:26:2C:
                    FD:C3:3C:18
            Identifier: Subject Key Identifier - 2.5.29.14
                Critical: no 
                Key Identifier: 
                    2D:E6:4E:66:6B:4D:B6:BD:D5:4D:00:A0:1B:6D:26:2C:
                    FD:C3:3C:18
            Identifier: Key Type - 2.5.29.15
                Critical: yes
                Key Usage: 
                    Digital Signature
                    Key CertSign
                    Crl Sign 
    Signature: 
        Algorithm: MD5withRSA - 1.2.840.113549.1.1.4
        Signature: 
            44:FA:61:7F:39:34:52:06:73:0B:B8:F4:DB:09:16:1E:
            DD:2B:8B:E3:51:F1:E7:9D:F1:7A:32:88:DA:DB:FE:C0:
            CE:52:C9:50:A6:94:B3:99:4F:E6:70:0A:40:90:23:75:
            CA:4C:63:85:A0:F8:87:5A:93:63:D3:7E:1D:3A:74:9C:
            08:AD:1C:1F:A8:BB:A2:15:AC:E3:5C:56:4B:82:1C:FC:
            59:B2:D1:14:45:6B:03:9D:A6:A1:49:DB:15:39:0F:61:
            DF:E0:89:B5:8C:82:A4:6D:D5:97:98:3F:18:02:C7:AE:
            B1:28:79:06:4E:9A:80:33:2A:36:48:42:2B:D1:FB:85

Otisk certifikační autority

Aby bylo možné jednoduše ověřit certifikát bez nutnosti kontrolovat takové množství údajů, je možné se spolehnout na tzv. otisk (certificate fingerprint). WWW prohlížeč ve své části týkající se certifikátů většinou nabízí jednu z následujících metod: MD2, MD5 a SHA1. Otisky certifikační autority Masarykovy univerzity v těchto třech formátech jsou tedy zde: Netscape používá MD5, MSIE používá MD5 a SHA1. 

MD2:   8A:F8:D0:91:D4:09:26:29:F8:4B:
       85:9E:39:37:45:81

MD5:   28:4E:C2:68:F5:B6:6C:EF:5C:9D:
       78:BC:97:88:55:F1

SHA1:  E3:F1:AD:81:22:5B:08:8E:42:E2:
       A2:98:75:B0:08:13:CF:E4:61:BE

Import do prohlížeče

Aby bylo možné plně využít výhod certifikační autority, měl by každý uživatel importovat její certifikát do svého prohlížeče. Uživatelům to mimo jiné přinese možnost vyhnout se dialogovým oknům na začátku navazování spojení na zabezpečené servery Masarykovy univerzity. Každý prohlížeč používá jiný postup při importu certifikátu. Pro nejrozšířenější prohlížeče je postup při importování popsán na http://crl.muni.cz/, včetně dalších užitečných informací.

setting
1 D. Kouřil. Certifikáty veřejných klíčů. Zpravodaj ÚVT MU. ISSN 1212-0901, 2000, roč. 10, č. 4, s.5-9.
... zpět do textu
2 OpenCA URI: http://www.openca.org/
... zpět do textu
Zpět na začátek
ÚVT MU, poslední změna 14.11.2011