Sözlük / Geliştirici başvuru kaynağı
Kök sertifika
- Kök sertifika nedir?
- Kök sertifika, bir sertifika zincirinin en üstünde yer alan ve kendini imzalayan güven çapasıdır; ona güvenilmesinin tek nedeni, işletim sisteminizin veya tarayıcı üreticinizin onu oraya koymuş olmasıdır.
Her sertifika kontrolü bir kökte biter. Bir kök sertifika kendini imzalar ve ona güvenilmesinin tek nedeni cihazınızın kök deposunda yer almasıdır; en bilinen örnek olan DST Root CA X3, 30 Eylül 2000 tarihinde yayımlandı ve tam 21 yıl sonra süresi doldu. Bir borsayı yalnızca asma kilidine bakarak değerlendiriyorsanız, borsanın kendisiyle ilgili hiçbir şeye değil, o kök listesine güveniyorsunuz demektir.
Nasıl çalışır
Bir kök sertifika, hem veren alanında hem de konu alanında aynı kuruluşu adlandırır ve onu imzalayan anahtar, onun sertifikalandırdığı anahtardır. Bu döngüsellik zaten meselenin kendisidir. Bir kökün üstünde onu onaylayan hiçbir şey yoktur, bu yüzden bir doğrulayıcı onu daha üstteki bir şeyle karşılaştıramaz; yalnızca sertifikayı yerel bir listede arayabilir ve o listeyi yetkili kabul edebilir.
Bu listeler bir avuç şirket tarafından düzenlenir. Apple, Microsoft, Mozilla ve Google, her biri yayımlanmış dahil etme ölçütleri, denetim gereklilikleri ve kaldırma prosedürleriyle bir kök programı yürütür; dizüstü bilgisayarınızdaki veya telefonunuzdaki depo ise üreticinizin yazılımla birlikte gönderdiği depodur. Bir kök depoda çok uzun süre kalır, çünkü bir kökü çıkarmak, onu barındıran her cihaza bir güncelleme göndermek anlamına gelir. Let's Encrypt'in arkasındaki çapa olan ISRG Root X1, 4 Haziran 2015 tarihinde yayımlandı ve süresi 4 Haziran 2035 tarihine kadar dolmuyor.
Yapısal zayıflık, depodaki herhangi bir kökün herhangi bir adı onaylayabilmesidir. Hiçbir kural Hollandalı bir yetkili kuruluşu Hollanda alan adlarına bağlamaz, bu yüzden ele geçirilen tek bir yetkili kuruluş tüm siteleri aynı anda sarsar. DigiNotar bunu 2011 yılında kanıtladı: bir saldırgan o yılın 10 Temmuz tarihinde google.com için sahte bir sertifika yayımladı ve onu İranlı kullanıcılara ait trafiği ele geçirmek için kullandı. Mozilla, Google ve Microsoft, Eylül 2011 ayının ilk günlerinde DigiNotar köklerini kaldırdı ve şirket ay bitmeden iflas etti.
Nerede karşınıza çıkar
Kök sertifikalar Bitcoin'e BIP70 aracılığıyla girdi; bu özellik, cüzdanlardan ödeme ekranında bir şirket adı göstermeden önce bir satıcının sertifika zincirini güvenilir bir köke kadar doğrulamasını istiyordu. Masaüstü yazılımı bunu yapmak için işletim sisteminin deposunu ödünç aldı, mobil yazılım sık sık bunu yanlış yaptı ve Bitcoin Core sürüm 0.20.0 ile özelliği tamamen kaldırdı. Bitcoin.org geliştirici başvuru kaynağı terimi hâlâ listeliyor ve bugün birinin bunu aramasının başlıca nedeni de bu.
Daha yararlı karşılaştırma, Bitcoin'in kendi çapasıyla olandır. Bir tam düğüm, yazılımın içine sabit kodlanmış 3 Ocak 2009 tarihli bir genesis bloktan başlar ve her kuralı oradan itibaren kendisi doğrular. Hiç kimse telefonunuza bir güncelleme göndererek o çapaya bir kayıt eklemez ve hiçbir yetkili kuruluş, kuralları çiğneyen bir bloğu onaylaması için ele geçirilemez ya da baskı altına alınamaz. Kök depoları ters yönde çalışır: güven, sizin yazmadığınız ve denetleyemediğiniz bir listeden aşağıya doğru akar.
Kök sertifika vs uç sertifika
Bir kök sertifika bir sertifika yetkilisini tanımlar; bir uç sertifika bir sunucuyu tanımlar. Kök kendini imzalar, yirmi yıl yaşar ve özel anahtarını yılda birkaç kez tanıklar huzurunda çıkarılan çevrimdışı bir donanım modülünde tutar. Uç sertifika, gerçekte bağlandığınız ana bilgisayar adını belirtir, aylarca yaşar ve özel anahtarı internete açık, çalışan bir web sunucusunda durur. İnsanlar “sertifika geçerli” derken uç sertifikanın ayrıştırılabildiğini ve tarihlerin uyuştuğunu kasteder, ama bağlantının güvenilir olup olmadığına karar veren soru, zincirin hangi kökte bittiğidir.