Sözlük / Geliştirici başvuru kaynağı
X.509 sertifikası
Diğer adları: X509 sertifikaları.
- X.509 sertifikası nedir?
- X.509 sertifikası, bir genel anahtarı bir ada ve bir geçerlilik dönemine bağlayan imzalı bir dosyadır ve bir borsaya yaptığınız her HTTPS bağlantısının arkasındaki biçimdir.
Biçim eski ve bunu belli ediyor: X.509, bir dizin standardının parçası olarak 1988 yılında geldi ve hâlâ kullanılan internet profili RFC 5280, Mayıs 2008 tarihlidir. Bir sertifika, bir verici tarafından imzalanmış yapılandırılmış bir kayıttır, bir sır değildir; bu yüzden paylaşılması güvenlidir. Kanıtladığı şey dardır: birileri bir otoriteyi bir adı kontrol ettiğine ikna etmiştir.
Nasıl çalışır
Bir sertifika, bir alanlar listesi ile hepsini kapsayan bir imzadan oluşur.
Bir okuyucu için önemli olan alanlar azdır. Bir seri numarası, sertifikayı vericisine tanıtır. Verici alanı onu kimin imzaladığını, konu alanı kimin hakkında olduğunu belirtir ve iki zaman damgası geçerli olduğu pencereyi işaretler. Bir konu genel anahtar bilgisi bloğu anahtarın kendisini tutar. Uzantılar geri kalanı taşır ve bunlardan biri işin çoğunu yapar: subjectAltName, sertifikanın kapsadığı alan adlarını listeler.
Ortak ad alanı klasik tuzaktır. Bir alan adının saklandığı yer gibi görünür ve yıllarca öyleydi, ancak RFC Mart 6125 2011'de onun okunmasını kullanımdan kaldırdı ve tarayıcılar artık onu yok sayıyor. subjectAltName alanı ziyaret ettiğiniz siteyi listelemeyen bir sertifika, ortak adı ne derse desin, başarısız olur.
Geçerlilik süreleri son on yılda çöktü. 1 Eylül 2020 tarihinden itibaren verilen kamu tarafından güvenilen TLS sertifikaları, önce üç yıl ve sonra iki yıl olan sürenin yerine, 398 günden uzun geçerli olamaz ve Let's Encrypt yenileme otomatik olduğu için rutin olarak 90 günlük sertifikalar verir. Kısa bir pencere, hiçbir zaman güvenilir biçimde çalışmamış olan iptalin yerini tutar.
Herkes bir tane oluşturabilir. Bir sertifikayı kendi anahtarınızla imzalamak, verici ile konunun aynı olduğu kendinden imzalı bir sertifika üretir ve bu, hiçbir güven deposunun tanımadığı tamamen geçerli bir dosyadır. Bir sertifikayı güvenilir kılan şey imza değildir; imzalayanın kimliğidir.
Nerede görürsünüz
Herhangi bir tarayıcıda asma kilide tıklayın, bir X.509 sertifikasına bakıyorsunuz.
Aynı dosya biçimi, yazılımın bir şeyin belirli bir satıcıdan geldiğini kontrol etmesi gereken her yerde karşınıza çıkar: imzalı uygulama ikili dosyaları, imzalı bellenim güncellemeleri ve bazı donanım cüzdanlarının, bir satıcının uygulamasının gerçek bir cihazı bir kopyadan ayırt edebilmesi için taşıdığı onay sertifikaları. BIP70, sertifikaları doğrudan Bitcoin ödeme taleplerine gömdü; bu, biçimin bir Bitcoin protokolünün parçası olduğu tek zamandır.
Burada bir alıcıyı iki alışkanlık korur. Para tutan bir sitede bir sertifika uyarısını asla tıklayıp geçmeyin, çünkü tarayıcı ad ile anahtarın uyuşmadığını bildiriyordur ve bir borsa alan adında bunun zararsız bir sürümü yoktur. Ve dolandırıcılık amaçlı bir sitede geçerli bir sertifikanın çelişki değil olağan olduğunu unutmayın: doğrulama adı kapsar, yani ad gerçek adın küçük bir yanlış yazımıysa, siz fonlarınızı kaybederken sertifika işini yapıyordur.
X.509 sertifikası vs yaprak sertifika
X.509 bir biçimdir; yaprak ise bir konumu tanımlar. Bir zincirdeki her sertifika, ara sertifikalar ve kendinden imzalı kök dahil, bir X.509 sertifikasıdır ve bunlardan birine yaprak demek, yalnızca zincirin sonunda durduğunu, yani daha fazla sertifika verilmesine yetki vermek yerine gerçek bir sunucuyu tanımladığını söyler. Fark tek bir uzantıda görünür: basicConstraints uzantısı onu bir otorite olarak işaretleyen bir sertifika başkalarını imzalayabilir, yaprak ise imzalayamaz.