internetových služeb, způsobujících jejich příslovečný lesk i bídu, je
anonymita. Při používání velmi populárních komunikačních nástrojů pro chatování
se skrýváme za přezdívkami, webové stránky navštěvujeme zásadně anonymně,
e-maily si posíláme pomocí veřejných služeb opět pod falešnými jmény, a o často
ne zcela legálních aktivitách prostřednictvím výměnných sítí netřeba déle
mluvit.
Ba co více, i v případě, kdy se obě strany komunikace přiznávají ke svým
jménům, což je případ obzvláště e-mailové komunikace, nikdy nemáte jistotu, že
vás protějšek nechce zmást a svou identitu pouze nepředstírá.
Uvedený fakt je pochopitelně zásadním kamenem úrazu při snaze o nasazení
internetu v důvěryhodné komunikaci, jež je nezbytná při uzavírání obchodních
transakcí či jiných "seriózních" aktivitách. Právě aplikace jako internetové
bankovnictví či nákupy po internetu si vyžádaly zavedení spolehlivého
mechanismu, jak si obě strany komunikace vymění důvěryhodnou informaci o své
identitě bez toho, aby se osobně setkaly. Jen si vzpomeňte na své internetové
zkušenosti: kolikrát jste něco nakupovali a potvrzovali platbu přes webové
rozhraní?
A byli jste si jisti, že třeba číslo kreditní karty odesíláte důvěryhodnému
protějšku? Že jste o tom nepřemýšleli? A co když už teď má vaše důvěrné
informace někdo, kdo by neměl?
V následujících odstavcích se spolu podrobně podíváme na to, jak jsou otázky
ověření totožnosti a potvrzení důvěryhodnosti při každodenní internetové
komunikaci řešeny. Ukážeme si, že běžně využívané aplikace nabízejí dostatek
možností pro dostatečnou míru zabezpečení, a řekneme si o zásadách, jejichž
dodržování by mělo být samozřejmostí. Koneckonců, nejde o nic menšího než o
naše soukromí a peníze, že?
Protože problematika, o níž budeme hovořit, je poměrně rozsáhlá, rozhodli jsme
se článek rozdělit na dvě části. V dnešním čísle najdete úvodní část a první
konkrétní aplikace, v čísle příštím pak dokončení s řadou dalších ukázek z
praxe. A ještě na jednu skutečnost bychom rádi upozornili: předkládaný text si
neklade nároky na vyčerpání této nesmírně rozsáhlé tematiky, ani na extrémní
přesnost ve formulacích. Kriteriem je pochopení principů a možnost praktického
využití, takže prosíme specialisty a znalce o shovívavý přístup.
Jak to všechno pracuje?
Internetová bezpečnost není textový editor. Nelze jen přisednout a vše rázem
účelně a dobře využívat, a proto jsme do první části článku zařadili vysvětlení
základních principů, bez nichž by věc byla neúplná a jakékoliv popisy
samoúčelné a nesrozumitelné. Za svou snahu toto pročíst a pochopit, budete
odměněni tím nejcennějším: budete schopni si důsledně ověřit důvěryhodnost,
protože celé věci porozumíte.
Není šifra jako šifra,aneb co musíte vědět
Máme-li úspěšně proplout tajemstvím elektronické identifikace a přitom získat
plnou důvěru v systém, o němž budeme mluvit, je potřeba lehce nahlédnout do
světa šifrování. Nebojte se, žádné vzorce, žádné výpočty, jen úvodní nezbytné
vysvětlení. Po řadu tisíciletí, tedy prokazatelně od starých Egypťanů přes
Caesara až po Matyase Sandorfa z oblíbeného Verneova příběhu byla šifrovaná
komunikace závislá na principu tzv. symetrické šifry: jediný klíč, byť velmi
komplikovaný či dlouhý, sloužil k převodu původní zprávy na šifrovanou formu a
následně také pro převod opačný, tedy zpět do čitelné podoby. Jinými slovy,
když si dvě strany chtěly šifrovaně dopisovat, musely si předem bezpečným
kanálem vyměnit klíč pro oboustrannou operaci. Aby jeden partner zprávu
zašifroval a druhý přečetl, museli oba dva znát společné, sdílené tajemství
(mřížku s otvory, postup čtení, zástupné symboly, číselný kód...). Jistě zde
cítíte onu zásadní slabinu, jež spočívala ve způsobu předávání onoho tajného
klíče. Jak to učinit v praxi: poštovní obálku může někdo prohlédnout, telefon
odposlechnout, živého kurýra unést či podplatit. Jako jedno z mála poměrně
spolehlivých řešení se nám jeví osobní setkání obou protistran, což však má
podstatnou chybičku v internetovém světě je to při hustotě naší komunikace
naprosto nereálné.
Již v době, kdy byl internet na rýsovacích prknech, si několik lidí tento fakt
uvědomovalo a usilovně pracovali na řešení této neodbytné otázky, jež
předznamenávala budoucnost: jak si bezpečně a zároveň všem na očích předat
šifrovací klíče, aniž by tajemství utrpělo? Zhruba na přelomu 60. a 70. let se
objevila první použitelná realizace konceptu, jemuž dodnes běžně říkáme
asymetrická kryptografie či kryptografie s veřejným klíčem. Krása tohoto ne
zrovna jednoduchého, ovšem geniálního matematického postupu spočívá v tom, že
každý účastník komunikace nemá klíč jediný, ale hned klíče dva! Tyto dva klíče
vznikají spolu a jsou to nerozlučná dvojčata, neboť jeden bez druhého mnoho
nezmůže, avšak zásadně se liší nároky na jejich zabezpečení: jeden z nich,
označovaný jako klíč privátní (soukromý), je výhradním tajemstvím majitele a
nikdo cizí jej nesmí znát, tedy ani protějšek při komunikaci, který jej navíc
nebude vůbec k ničemu potřebovat! Protistrana při komunikaci totiž využívá
zásadně a výhradně tzv. klíč veřejný (public key), jenž díky svému sbratření s
prvním poskytne potřebnou funkci. Veřejný klíč je doslovným naplněním svého
názvu, neboť jeho majitel jej vystavuje na obdiv a říká, že jakoukoliv tajnou
informaci může pro něj kdokoliv zašifrovat právě pomocí tohoto veřejného klíče.
Základní vlastnost asymetrické šifry je totiž ta, že informaci šifrovanou
veřejným klíčem příjemce je posléze možno dešifrovat výhradně a pouze klíčem
soukromým sourozencem, a ten je v tajném držení příjemce. Cítíte tu ohromnou
změnu? Když zprávu utajuji, používám zcela veřejnou věc, kterou si mohu klidně
stáhnout z internetu, neboť její znalost nestačí ke zpětnému rozlousknutí
vzniklého tajemství. Právě tato krásná vlastnost dovoluje věci, o nichž budeme
dále mluvit.
Mám certifikát, tedy jsem
Po pročtení našeho letmého úvodu pod nadpisem a malém zamyšlení jasně docházíme
k závěru, že dalším krokem na cestě k důvěryhodné komunikaci jakéhokoliv druhu
je vybavení všech zúčastněných stran jakýmsi identifikátorem. Bezpečná šifra je
sice pěkná věc, ale když nevím, kdo je na druhém konci, nic nezmůže: ochráněný
přenos ještě důvěru v komunikační protistranu nevybuduje. Nároky na
"internetový identifikační průkaz" nejsou zrovna malé: chceme z něj mimo
veškerou pochybnost zjistit, kdo je jeho držitelem, dále jej hodláme používat v
různých aplikacích, jež mu musejí pokud možno bez potíží rozumět, a v
neposlední řadě musí být uzpůsoben ke snadnému a bezpečnému zasílání po síti.
Tedy jakási všestranná, pro všechny zúčastněné čitelná jedinečná vizitka.
Vytvořit žádoucí strukturu nebylo vůbec snadné, avšak dnešní počítačová realita
nám nabízí až překvapivě dobré řešení v podobě elektronického dokladu, jemuž
říkáme certifikát. V zásadě si tuto "věc", jež slouží jako elektronická
občanka, představte jako jiný běžný soubor lze jej ukládat na disk či přenosné
médium (disketa, čipová karta atd.), exportovat či importovat do operačních
systémů, a jako soubor také prohlížet či interpretovat. Jednou z hlavních
vlastností certifikátu je jeho přesně definovaná struktura: zahrnuje řadu
závazných položek, jejichž účelem je především identifikovat jeho držitele, a
to mimo veškerou pochybnost a doslova v celosvětovém měřítku. Právě proto jsou
obsažená pole nápadně podobná jiným identifikačním průkazům a najdeme zde
položky jako sériové číslo, jméno, adresa či období platnosti. Již z tohoto
stručného nástinu je patrné, že důkladným porovnáním různých rozpoznávacích
polí je možno vyloučit záměny či jednoznačně označit držitele, což je naším
cílem. Mezi naprosto klíčová pole certifikátu též náleží údaj, jehož význam
jsme nastínili výše. Hádáte správně, je to veřejný klíč pro asymetrickou
kryptografii a jeho využití v certifikátu je víceúčelové, jak si ukážeme dále.
Tedy, veřejný klíč dostává v podobě certifikátu jasné znaky svého držitele a je
pevně přiřazen.
Na tomto místě je potřeba upozornit na jednu důležitou skutečnost, jež možná v
předchozích řádcích zcela jasně nezazněla. Ve světě elektronické komunikace
nemusí být protějškem vždy uživatel, ale též třeba počítač, někdy si navíc
povídají počítače mezi sebou a rovněž si potřebují důvěřovat. Samozřejmě i tyto
protistrany potřebují svůj certifikát a pochopitelně jsou jim běžně vydávány,
jako je tomu kupříkladu u internetových webových serverů, k čemuž se ještě
dostaneme. Zní to podivně? Ale nebuďte přeci tak sebestřední...
Bez notáře ani ránu
Pozornější z vás se možná po přečtení předchozí stati už už nadechují, že vám
věšíme bulíky na nos. Pochopitelně máte pravdu: samotný certifikát jako takový
ještě žádnou důvěryhodnost zvýšit nemůže. Stejně jako padělek vašeho pasu či
vysokoškolského diplomu bez příslušných razítek v nikom nevzbudí důvěru, ani
"holý" certifikát komunikující protistranu nijak neuklidní. Je nasnadě proč:
stejně jako zdařilý padělek občanky, i certifikát by dokázal "spíchnout na
koleně" ledaskdo, takže jsme se nikam v důvěryhodnosti neposunuli. V pravou
chvíli zde vstupuje do hry zcela zásadní instituce, již nazýváme velmi
příznačně certifikační autorita. Její přirovnání k běžnému notáři je velmi
přiléhavé a navíc dobře naznačuje, co je jejím úkolem. Certifikační autorita je
oním důvěryhodným prostředníkem, jenž provádí zcela nezvratné a jednoznačné
přiřazení existujícího certifikátu k jeho držiteli. Nejenže tento
"elektronický" notář provede důkladnou kontrolu držitele certifikátu (ano, v
případě nutnosti i kontrolu fyzickou!), ale též posvětí údaj z
nejdůležitějších, a to již zmiňovaný veřejný klíč uživatele.
Aby tento princip fungoval v praxi, jsou nutné jisté předpoklady. Jedním z nich
je, že oné autoritě (existují jich stovky) důvěřují obě protistrany, tedy že
oba komunikující partneři se na svém "elektronickém notáři" shodnou jako na
vyhovujícím. Druhým zásadním principem je, že elektronický notář musí opatřit
vydaný certifikát jakýmsi nezvratným potvrzením, že pochází opravdu od něj. Jak
se to děje? Hádáte správně, i zde se uplatňuje asymetrická kryptografie. Jenže
jak? Já přeci nechci certifikát ukrýt, ale naopak zveřejnit a zároveň
jednoznačně označit! Vtip spočívá v tom, že se použije postupu, jenž je znám
jako digitální podpis (i o něm ještě bude řeč). Základní myšlenka je taková, že
asymetrický klíčový pár se použije v opačném pořadí: vydaný certifikát je
podepsán privátním (utajeným) klíčem certifikační autority, tento podpis je k
certifikátu přiložen a jakýkoliv zájemce o prověření pravosti certifikátu může
učinit kontrolu: nalezne na internetu veřejný klíč autority (a případně si jej
uloží v operačním systému pro další operace), dešifruje její podpis a dospěje k
výsledku, jenž mimo veškerou pochybnost potvrdí či vyvrátí pravost vydaného
certifikátu. Zdá se vám to složité? Nebojte se, praktické příklady vše objasní
názorně. Navíc uvedené operace pochopitelně z podstatné části provádí operační
systém.
Kdo hlídá hlídače?
Budeme-li důslední, neuspokojí nás dokonale ani předchozí odstavce. Ano,
certifikační autorita je důležitá věc, ale kdo kontroluje ji? Dobrá otázka, a
stejně dobrá odpověď. Kontroluje ji jiná certifikační autorita. Vtip? Nikoliv,
přesně takhle to funguje. Certifikační úřady (autority) totiž tvoří jakousi
hierarchii, v níž nadřízený subjekt kontroluje toho pod sebou, a děje se tak
zcela prakticky opět pomocí veřejných a privátních klíčů. Princip je prostý:
každá autorita disponuje svým vlastním certifikátem, jenž je podepsán (a tedy
zdůvěryhodněn) nadřízenou autoritou. A takhle to jde až...až kam? Až k
autoritě, jejíž důvěra je tak silná, že už nadřízeného nepotřebuje. Je jí
důvěřováno jaksi a priori, tedy na základě jiných kontrolních mechanismů. Tato
autorita se označuje jako důvěryhodná kořenová (ačkoliv stojí na vrcholu strom
je zde vzhůru nohama) a její certifikát je podepsán v souladu s logikou věci jí
samotnou.
Důvěryhodné kořenové autority plní mimořádně důležitou funkci. Jejich
důvěryhodnost nesmírně usnadňuje praktické využití všech popisovaných struktur,
neboť pravidlo zní: když důvěřuji kořenu, zároveň důvěřuji všemu, co on
posvětil! Všechny podřízené autority jsou tedy důvěryhodné a všechny
certifikáty těchto autorit také! A to je zásadní myšlenkový posun, jenž praxi
výrazně zjednodušuje.
Důvěryhodnost zblízka
Teorie je sice pěkná věc, ovšem co s tím vším? Naštěstí prostředí operačního
systému Windows poskytuje dostatečné zázemí pro práci s certifikáty, a navíc
běžně využívané aplikace umí rovněž tyto vymoženosti využít. V následující
části článku si popíšeme praktické situace, na něž narazíte, a postupy, jichž
se nemusíte bát. Jde přeci o vaši bezpečnost!
Prohlížíme certifikát
Už jsme toho o této struktuře namluvili až až, a ještě jsme žádný pořádný
certifikát neviděli. Což se na něj tedy konečně kouknout? V prostředí
operačního systému Windows to není žádným problémem, neboť systém dokáže
standardní formáty certifikátů interpretovat do podoby přehledného grafického
rozhraní, což práci značně usnadňuje.
Pro příklad jsme si vybrali certifikát, jímž je označena identita jednoho z
veřejných webových serverů známé společnosti Symantec (byl tedy vydán pro
počítač, ne člověka, to ale vůbec nevadí). Pokud jej otevřete, na kartě Obecné
najdete základní údaje: v horní části účel certifikátu (v našem případě
potvrzení identity vzdáleného počítače), v dolní části pak Vystavitele
(autoritu, jež dokument vydala, zde zrovna seriózní VeriSign) a Platnost.
Nepřehlédněte jeden zásadní detail ikona v levém horním rohu není nijak
označena, takže certifikát je považován systémem za důvěryhodný (viz další
oddíl), a všechny aplikace mu tedy budou bezvýhradně věřit. Pokud by tomu tak
nebylo, ikona by byla označena červeným kolečkem s křížkem a také varováním, že
certifikát je vydán nedůvěryhodnou autoritou. Na další kartě Podrobnosti
najdeme všechna pole certifikátu pěkně popořadě, bez výjimky. Všimněte si
detailních údajů, z nichž vyjímáme např. Přístup k informacím úřadu, jež vás
pomocí webové adresy přímo odkazují na vydavatele, takže si jej můžete "na
vlastní oči" ověřit. Samozřejmě zde jsou také veřejný klíč držitele i popis
postupu, pro který byl vytvořen (algoritmus pro šifrování). Neméně zajímavá je
karta třetí s názvem Cesta k certifikátu, jež zahrnuje praktickou ukázku výše
popisované hierarchie důvěryhodných autorit. Názorně zde vidíte, jak trnitá
cesta může vést od kořene důvěry až ke konkrétnímu dokumentu, na nějž se díváme.
Vraťme se ještě na kartu Obecné, kde můžeme stisknout tlačítko Prohlášení
vystavitele. Máte-li internetové připojení, rovnou se ocitnete na stránkách
certifikační autority a jejího popisu tzv. politiky, na jejímž základě svou
práci zastává. Zde také můžete pojmout důvěru (či nedůvěru).
Které kořenové autoritě věřím?
V předchozí části článku jsme si mimo jiné zdůraznili, že klíčový význam pro
vyvolání důvěryhodnosti mají tzv. důvěryhodné kořenové autority. Tuto
problematiku tedy prozkoumáme blíže, neboť nejde jen o holou teorii operační
systém Windows má v sobě totiž zakódováno pravidlo, že pokud nějakou autoritu
označím za kořenovou a důvěryhodnou, pak jí slepě věří všechny aplikace a
zbytečně se nevyptávají, Internet Explorerem počínaje a MS Outlookem konče. Pro
uživatele je velmi cennou informací, že operační systém Windows ve výchozí
podobě (tedy po instalaci) již mnoha kořenovým autoritám důvěřuje. Tedy, tvůrce
systému Microsoft již základní kolekci autorit vybral za vás a snaží se vám
práci usnadnit. Chcete-li mít věc pod kontrolou, je potřeba se na seznam
alespoň podívat. Jedna z možností je využít ovládací panel Možnosti internetu
(Internet Options), kde přejděte na kartu Obsah. V prostřední části karty je
pole Certifikáty, v němž použijte tlačítko Vydavatelé... a v následném dialogu
přejděte na kartu Důvěryhodné kořenové certifikační úřady. Právě zde najdete
seznam autorit, jež v tuto chvíli Windows (vaše Windows, tedy vy!) považují za
důvěryhodné. V zásadě lze říci, že kolekce zahrnuje úřady, jimž lze i prakticky
důvěřovat, takže seznam nemusíte nijak zásadně čistit. Na druhou stranu,
chcete-li mít vše totálně pod kontrolou, prověřte všechny autority třebas dle
informací na internetu a podezřelé či neznámé prostě vymažte. Mimochodem,
kontrolní otázka: čím jsou kořenové autority reprezentovány? Správně, svými
certifikáty! Chcete-li si je prohlédnout v detailu, označte jakoukoliv položku
v seznamu a použijte tlačítko Zobrazit. Mezi zařazenými certifikáty naleznete
např. autority, jako jsou VeriSign či Thawte, o jejichž serióznosti opravdu
nemusíte pochybovat.
Často však může nastat situace, že seznam položek nebude pro vaše účely
dostačovat. Co může být důvodem? Váš obchodní či jiný komunikační partner může
zkrátka využívat služeb jiné autority, jejíž důležitost nebyla pro společnost
Microsoft dost vysoká na to, aby byla přímo zařazena. Proto si potřebný
certifikát do seznamu přidáme.
Řekněme, že kýženou autoritou je tuzemská I. CA, jejímž zřizovatelem je dceřiná
společnost známé PVT. Té můžeme v našich podmínkách věřit, což navíc stvrdily i
státní instituce udělením speciální akreditace. Jak ji zařadit do seznamu, aby
ji všechny aplikace rovnou považovaly za seriózní? Prvním krokem je získání
jejího certifikátu z internetu. Po vstupu na domovskou stránku www.ica.cz
najdeme ihned v obrázku odkaz s názvem Certifikát certifikační autority, a při
použití odkazu se ocitneme na stránce se soubory ke stahování. Můžete zvolit
druhou či třetí položku v seznamu a využít tlačítka Instaluj, čímž spustíte
uložení certifikátu na pevný disk. Protože přípona ".cer" je operačním systémem
rozpoznávána, soubory jsou opatřeny nazelenalou ikonkou a v případě, že na ně
poklepete myší, dojde k jejich otevření v typickém okně. Můžeme si ověřit
všechny potřebné údaje a také pomocí indikátoru zjistíme, že certifikát je
vydán společností, které v tuto chvíli ještě nedůvěřujeme, což je v pořádku
celou operaci přeci provádíme, abychom to změnili!. Chceme-li to zařídit,
použijeme volbu Nainstalovat certifikát..., čímž jej zařadíme do dříve
zkoumaného seznamu, jak je patrné na následujícím obrázku.
Čeho jsme dosáhli? Od této chvíle budou všechny aplikace v našem systému
automaticky věřit této nové autoritě a všem certifikátům, jež ona vydala. Nikdo
se vás na to už nebude ptát bude-li cokoli podepsáno od I.CA, systém to prostě
přijme. Budete-li to chtít v budoucnu změnit, nezbývá než certifikát kořenové
autority ze seznamu odstranit.
Web, kterému mohu věřit
Jedním z nejdůležitějších způsobů implementace ověřování pomocí certifikátů je
zajištění důvěryhodnosti webových serverů, jež poskytují uživatelům své webové
stránky. Bez této technologie je prakticky nemyslitelné nakupování na internetu
či nahlížení do tajů vlastních bankovních účtů, telefonních poplatků atd. Naším
cílem je tedy především zjistit, zdali na druhém konci internetu je opravdu
naše banka, náš telefonní operátor či náš obchodník. Proč? Protože se prakticky
vždy při takovýchto transakcích připojujeme přihlašovacím jménem a heslem, a
musíme si být jisti, že jsme je nezaslali nějakému podvodníkovi.
Praktickou realizací výše popsaných nároků je všeobecně rozšířená dvojice
protokolů SSL a TLS. Netrapte se názvy, vše si předvedeme názorně. Prvním
krokem je vstup na inkriminovanou webovou stránku, jež vám nabídne svou
identifikaci za účelem získání důvěry z vaší strany (její název bývá uvozen
pomocí "https"). Jako příklad jsme využili stránky eBanky, jež u nás patří v
oblasti zabezpečené komunikace klientů mezi průkopníky. Při snaze o vstup na
webový server, jenž se prokazuje certifikátem, vás prohlížeč upozorní, že se
tak děje, pomocí dialogu (viz obrázky). Poté dojde k běžnému zobrazení webové
stránky, avšak s jedním rozdílem: na pozadí již probíhá šifrovaný přenos a
server vám zaslal svůj certifikát, o jehož pravosti se můžete (přesněji řečeno
byste se měli) vždy přesvědčit! Kde jej najdete? V Internet Exploreru se ukrývá
vpravo na dolním panelu v podobě ikony se zámkem, prohlížeč Mozilla (resp.
Firebird) jej prezentuje v levém dolním rohu okna pod velmi obdobným obrázkem.
Předtím, než na takto zabezpečenou stránku vstoupíte, měli byste se ujistit o
její serióznosti. V zásadně můžete postupovat dvěma cestami: budete spoléhat na
kořenové autority a tím i na podřízené certifikáty, nebo si skutečně každý
certifikát prohlédnete. V případě námi předváděné eBanky obdržíte zobrazení
(viz obrázky), jež potvrzují, že vše je v pořádku: certifikát je v období
platnosti a vydavateli, společnosti VeriSign, důvěřujeme.
Co by nás mělo odradit? Jednou z věcí, na níž dávejte pozor, je pochopitelně
podpis důvěryhodné certifikační autority. Jak se projeví jeho případná absence?
Pokud vstoupíte na stránky, jež jsou vybaveny certifikátem, o němž operační
systém nic neví, prohlížeč vás bude vždy varovat (viz obrázky). Za příklad jsme
si zvolili stránky tuzemského zastoupení společnosti SuSE: její webová aplikace
využívá jako autoritu vlastní úřad, realizovaný firmou SuSE, a tento certifikát
není podepsaný žádnou nadřízenou, světově uznávanou autoritou. Při detailním
prohlédnutí takového certifikátu na to budete důsledně upozorněni a prohlížeč
vás výslovně vyzve, abyste buďto riziko přijali, nebo přístup odmítli. V
případě, že požadujete vysoce důvěryhodný přístup (heslo do banky, číslo
kreditní karty), nikdy byste neměli toto podcenit a raději kontaktujte
protistranu s dotazem, proč k této situaci došlo. Riziko je totiž nasnadě:
pokud by si hypotetický podvodník vytvořil kopii webových stránek firmy SuSE a
úspěšně předstíral identitu falešným certifikátem, budete sice posílat svá
citlivá data zašifrovaně, ale přímo do rukou útočníka! Druhou věcí, jež by vás
měla odradit, je časová neplatnost certifikátu. Tuto skutečnost opět prohlížeče
hlásí uvedeným způsobem, a pokud je na straně webového serveru certifikát
opravdu "prošlý", žádnou citlivou transakci rozhodně neriskujte.
Není certifikát odvolán?
V dosavadním textu jsme si již mnoho pověděli o prověření správnosti a
důvěryhodnosti certifikátů, avšak přesto jsme jeden zásadní aspekt prozatím
vynechali, takže pojďme blíže k němu. Tak jako certifikační autorita
certifikáty vydává, tak je čas od času také odvolává neboli revokuje. Důvody
mohou být různé: uživateli zhavaruje systém a klíčový pár je ztracen, někdo
případně zcizí notebook s klíčem i certifikátem, nebo vyjdou najevo
skutečnosti, jež důvěryhodnost klienta zpochybní. V podobných případech je
autorita nucena okamžitě říci, že takový certifikát neplatí, aby se tímto
všichni mohli řídit. Možná se ptáte, kde je problém? No právě v tom, že z dříve
vydaného certifikátu se nepozná, že byl odvolán! Je-li jakoby stále platný a
autorita je důvěryhodná, není se zdánlivě čeho obávat. Pokud se však v té době
již certifikát dávno nachází na seznamu odvolaných (tzv. revocation list), je
jakákoliv důvěra vrcholným hazardem.
Co s tímto v praxi? Každá solidní autorita seznam odvolaných certifikátů
uveřejňuje, takže je možno do něj nahlédnout. Ovšem detailní kontrola každého
certifikátu dohledáváním v rozsáhlých seznamech je pochopitelně neúnosná, i
když možná proto například MS Internet Explorer tuto funkcionalitu
implementuje, a pokud ji aktivujete, provede ověření za vás. Tuto možnost
rozhodně nepodceňujte a vždy ji mějte zapnutou.
Potřebná nastavení najdete v MSIE opět v dialogu Možnosti Internetu, na kartě
Upřesnit, úplně na dolním konci seznamu jako položku Zjišťovat odvolání
certifikátů serverů. V prohlížeči Mozilla pak hledejte v menu Tools/Options
položku Advanced a opět seznam odrolujte na dolní konec. Zde můžete buďto
zapnout používání protokolu OCSP, jenž vše zařizuje po síti, nebo ručně naplnit
seznamy odvolaných certifikátů přímo v operačním systému. Jak takový seznam
odvolaných certifikátů (Certificate Revocation List) vypadá, se můžete podívat
na obrázku.
Pokračování příště
Náš miniseriál v tomto místě prozatím ukončíme. Dnes jsme si vysvětlili, jak
celý systém funguje a jak se chovat především v případě, že na druhé straně
komunikace se nachází webový počítač, jenž dokazuje svou totožnost. V příštím
dílu se zaměříme na certifikáty uživatele osoby, blíže nahlédneme k práci s
e-maily a prakticky si ukážeme šifrování pošty a její digitální podpis.
PŘEDPLATNÉ
ČLÁNKY DO MAILU