Сертификаты

Хотя Алиса может послать банку секретное сообщение, подписать его, и быть уверенной, что оно не будет изменено, ей нужно быть уверенной, что открытый ключ в действительности принадлежит банку. Банк тоже должен быть уверенным в том, что цифровая подпись действительно принадлежит Алисе. Если каждый имеет сертификат, в котором сказано кто его владелец, содержится открытый ключ и все это подписано доверенной организацией, то они могут полагать, что они связываются действительно с теми, с кем предполагалось. Такая доверенная организация называется центром сертификации (Certificate Authority, CA), и сертификаты используются для аутентификации.

Содержимое сертификата

Субъект:	отличительное имя, открытый ключ
Кем выдан:	отличительное имя, подпись
Сроки действия:	дата начала действия, дата окончания действия
Служебная информация:	версия, порядковый номер
Расширения:

Отличительное имя используется для идентификации в определенном контексте (например, человек может иметь личный сертификат и сертификат как сотрудник фирмы). Отличительные имена определены в стандарте X.509,в котором определены имена, их аббревиатуры и требования к содержанию. Центр сертификации может определить правила, в которых определено какие поля обязательны, а какие нет. Могут так же определяться требования к содержимому полей. Например, браузер Netscape требует, чтоб в поле Common Name сертификата сервера было регулярное выражение для его доменного имени (например *.opengroup.org).

Отличительное имя:

Общее имя (CN)	Имя субъекта, например CN=Frederick Hirsch
Организация или компания (O)	Имя данной организации, например O=The Open Group
Организационная единица (OU)	Имя организационной единицы, отдела, подразделения и т. п., например, OU=Research Institute
Город/Расположение (L)	Город, в котором расположен субъект, например Cambridge
Область/Район (SP)	Область/Район, например Massachusetts
Страна (C)	Страна (код ISO), например US

Двоичный формат сертификата определяется с помощью нотации ASN.1 [ASN.1]. Эта нотация определяет, как содержимое сертификата преобразуется в двоичный вид. Двоичный формат сертификата определен с использованием правил DER, которые основаны на более общих правила BER. Двоичная форма может быть преобразована с использованием кодирования base64 в текст (ASCII) для тех случаев, когда нельзя использовать двоичный формат. Такой вид называется PEM (Privacy Enhanced Mail) и сертификат помещается между линиями:

-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----

Центры сертификации

Центр сертификации подтверждает, что владелец закрытого ключа, действительно тот, чье имя указано в сертификате. Центр сертификации должен проверить данные, указанные в запросе перед выдачей сертификата. Если Алиса послала запрос на персональный сертификат, центр сертификации должен проверить, что это действительно та Алиса, чье имя будет указано в сертификате.