Администрирование

Стандарт Х.509

Стандарт Х.509 определяет синтаксис и формат сертифи- ката. В Windows процессы, связанные с сертификатами, опира- ются на стандарт Х.509. Так как сертификаты применяются в разных целях (например, для шифрования электронной почты или файловой системы), каждый сертификат заключает в себе разную информацию. При этом сертификат должен обязательно включать:

• 
  номер версии;
  
• 
  серийный номер;
  
• 
  идентификатор алгоритма подписи;
  
• 
  имя издателя;
  
• 
  срок действия;
  
• 
  имя субъекта (пользователя);
  
• 
  информацию об открытом ключе субъекта;
  
• 
  уникальный идентификатор издателя;
  
• 
  уникальный идентификатор субъекта;
  
• 
  расширения;
  
• 
  цифровую подпись поставщика, заверяющую действи- тельность связи между открытым ключом субъекта и сведения- ми для его идентификации.
  

Списки отзыва сертификатов

Сертификаты, как и большинство удостоверений в обыч- ной жизни, могут терять силу и становиться недействительны- ми. ЦС также вправе отозвать сертификат по какой-либо при- чине. С этой целью ЦС ведет список отзыва сертификатов (cer- tificate revocation list, CRL). Он доступен пользователям сети, и они могут определять действительность любого конкретного сертификата.

1. 
   Иерархия ЦС
   

Обычно один ЦС не применяется для аутентификации всей интрасети — удобнее, чтобы одни ЦС могли сертифицировать остальные. В результате пользователи будут доверять какому- либо одному ЦС вместо того, чтобы доверять всем ЦС. Иерар- хия ЦС дает следующие преимущества:

• 
  гибкость — легко перемещать, отзывать или связывать ЦС, не затрагивая остальные части организации;
  
• 
  распределенное администрирование — администраторы несут ответственность только за собственные сайты;
  
• 
  собственные политики безопасности — у каждого цен- тра ЦС может быть своя политика безопасности.
  

ЦС на вершине иерархической цепочки называется корне- вым, нижележащие — промежуточными (intermediate), подчи- ненными (subordinate) или издающими (issuing).

4.