SSL tanúsítvány típusok

Ha a tanúsítványok világba kukkantunk, láthatjuk, hogy az SSL tanúsítványok mellett más tanúsítvány fajták is találhatóak. A tanúsítványokat elsősorban felhasználási céljaik szerint soroljuk be:

• elektronikus aláíró tanúsítványok
  (az elektronikus aláírásról szóló törvény szerinti elektronikus aláírásokhoz)
• titkosító tanúsítványok
  (titkosított üzenet, dokumentum küldhető, amit csak a tanúsítványban szereplő nyilvános kulcshoz tartozó magánkulcs képes visszafejteni)
• autentikációs tanúsítványok
  ( biztonságos (titkosított és hitelesített) kapcsolat létesítéshez)

Tanúsítványok egyaránt kibocsáthatóak természetes személy, szervezet vagy számítógépek (automaták) számára is.

Az SSL tanúsítványok az autentikációs tanúsítványok közé tartoznak és több szempont alapján kategorizálhatóak:

• biztosított domainek száma
• hitelesítés szintje

Biztosított domainek száma

Az SSL tanúsítványok egy vagy akár több domaint is képesek hitelesíteni.

Egy domain

Egy domain (single domain) besorolásához hűen csak egy domain nevet tartalmaz és hitelesít, amely a tanúsítvány CN (Common Name) mezőjében szerepel.
Ilyen lehet például:

• www.domaintank.hu
• domaintank.hu (www-nélküli)
• webshop.domaintank.hu
• aldomain.domaintank.hu
• www.domaintank.eu
• stb, stb, stb

A www és www-nélküli domain név forma egy tanúsítvánnyal is hitelesíthető, mert a legtöbb tanúsítvány kibocsátó ingyen SAN opcióként adja a megoldást. Egyetlen technikai feltétele az, hogy a tanúsítvány domain neve www.domaintank.hu formátumú legyen, ne www-nélküli.

Egy domain összes aldomainje (wildcard)

Csillagos tanúsítványnak is szokták nevezni, és egy tetszőleges tartalmú domain név tagot helyettesíthet.
A fő domainre, illetve másod- vagy annál magasabb szintű domainre használható, de másod- és annál magasabb szintű aldomain-re nem.
Nem szerepelhet a domain és a TLD (Top Level domain) helyén, és minden esetben csak a domain első tagját helyettesítheti.
Jelölési módja: * (csillagjel, wildcard). Mivel csak egy szintet hitelesít, az alábbi formátumok nem megfelelőek:

• *.*.domaintank.hu
• *.akarmi.*.domaintankl.hu

Megfelelő formátumú a *.domaintank.hu, amely példaként az alábbiakat képes hitelesíteni:

• webshop.domaintank.hu
• akarmi.domaintank.hu
• www.domaintank.hu
• domaintank.hu (az ingyenes www-nélküli SAN okán)
• mail.domaintank.hu
• stb, stb, stb

Többes szintű aldomaineket nem hitelesít, így megbízhatatlanok lesznek az alábbi példák:

• www.webshop.domain.hu
• akarki.akarmi.domaintank.hu
• stb, stb, stb

A wildcard tanúsítványok használatával csökkenthetők az SSL tanúsítványokkal kapcsolatos költségek, illetve a karbantartásukhoz szükséges idő.

Multi domain (SAN, UCC)

A SAN/UCC technológia (Subject Alternative Name/Unified Communications Certificate) lehetővé teszi több, egymástól független domain hitelesítését egyetlen SSL tanúsítvánnyal.
Az UCC tanúsítvány több létező domain nevet hitelesít, amiből a tanúsítvány SAN (Subject Alternative Name) mezőjében elsőként szereplőt a CN (Common Name) mezőjében elsődlegesként is feltüntet, tehát a SAN mező első domain nevének a CN mezővel egyeznie kell.
Az UCC tanúsítványba bejegyezhető összes domain karakterszáma maximum 768 lehet.
A külföldi kiállítók Multi Domain tanúsítványának ára 3 domaint tartalmaz, a további domainek hozzáadása plusz költséget jelent.
Azoknak ideális, akik több különböző domain nevet szolgálnak ki akár több, különböző szerveren.

SAN/UC technológia
A SAN (Subject Alternative Name) technológia azért jött létre, hogy az SSL tanúsítványokat a több domain hitelesítésének lehetőségével bővítse.
A SAN tanúsítványok az RFC 3280 alatt Internet X.509 Public Key Infrastructure címmel vannak leírva. Ha érdekli, angol nyelvű leírás elérhető itt (IETF) és itt (RFC editor).

A Unified Communications (vagy másnéven Exchange SSL) tanúsítványokat kimondottan a Microsoft Exchange 2010/2013 (és újabb) és a Microsoft Office Communication Server 2007 környezetek számára tervezték.
Microsoft Exchange és Lync alkalmasság: lehetővé teszi a szerver összes szükséges nevének és azon szolgáltatásoknak a bebiztosítását, melyeket az Exchange szerver használ:

• szerver domain neve
• összes Exchange szerver által használt domaint és szolgáltatás
• autodiscover szolgáltatás
• OWA szolgáltatások, Activesync, Outlook Anywhere vagy egyéb szolgáltatás (például POP3, IMAP4)
• Microsoft Lync Server (Office Communications Server)

Code Signing tanúsítvány

A számítógépes programok aláírására alkalmas. A tanúsítványok lehetővé teszik a fejlesztők és szoftvercégek számára, hogy digitálisan aláírhassák az interneten terjesztett termékeiket.
Az aláírt alkalmazásokat egyes programok vagy rendszerek (pl. Windows, Java Virtual Machine) megbízható forrásból származó programoknak ismerik el.
A felhasználók biztosak lehetnek abban, hogy a kapott szoftver egyértelműen attól a vállalattól származik, amely készítette.
A kód bármilyen módosítása az aláírásnak köszönhetően észlelve van, az applikáció pedig megbízhatatlannak lesz nyílvánítva.

Hitelesítési szintek

Domain ellenőrzés (Domain Validation, DV)

A legalacsonyabb biztonsági szintű tanúsítvány. A tanúsítványt kiállító csak azt vizsgálja, hogy rendelkezünk-e a domain név felett adminisztrációs joggal. Ezt általában egy jóváhagyandó e-maillel végzik, de kibocsátótól függően (Sectigo) DNS bejegyzés vagy html fájl elhelyezés is választható.
Ez a hitelesítési szint dokumentumot nem igényel, más ellenőrzés nem történik.
A domain név mögött álló céget nem hitelesíti: a tanúsítvány részleteiben szerepelnek az alap információk, de a tanúsítvány birtokosáról szinte semmilyen adat nem található.
A böngésző az SSL tanúsítvánnyal történő biztosítást egy címsorban látható lakat ikon segítségével tudatja a látogatóval, hogy adatai biztosítva és titkosítva vannak.

Előnyök:

• a legolcsóbb SSL tanúsítványok
• nagy böngésző kompatibilitásuk van (99,6%)
• gyors kiállítás, mely akár pár perc alatt is végbe mehet

Kép a böngészők megjelenítéséről

Vállalati ellenőrzés (Organization Validation, OV)

Olyan DV tanúsítvány, amely esetén a kiállító nemcsak azt ellenőrzi, hogy az igénylő kontrollálja-e a domain-t, hanem ellenőrzi az igénylő szervezet létezését, illetve, hogy az igénylő valóban az adott szervezethez tartozik-e.
A tanúsítványt kibocsátó hatóság egy hitelesítési folyamatot indít el, melynek során hivatalos okmányokat fog kérni azt ellenőrizendő, hogy a domain tulajdonosa létező (jogi) személy és legálisan végzi tevékenységét.
A domain whois adataiban szereplő adminisztrációs kapcsolattartó személy létezését is igazolni kell.
A hitelesítési folyamat során telefonos kapcsolatfelvétel várható. A telefonos elérhetőségeket a tanúsítvány hatóság nyilvános telefonkönyvekből szerzi (www.aranyoldalak.hu). A felhatalmazott személyt ezt követően szóbeli hitelesítésnek vetik alá, amely általában angol nyelven folyik és kb. egy percig tart.
A hitelesítés folyamata általában pár munkanap alatt lezárul.
A tanúsítvány a domain név mögött álló céget is hitelesíti: a tanúsítvány részleteiben szerepelnek az alap információk, illetve a tanúsítvány birtokosának neve.
A böngésző az SSL tanúsítvánnyal történő biztosítást egy címsorban látható lakat ikon segítségével tudatja a látogatóval, hogy adatai biztosítva és titkosítva vannak.

Kép a böngészők megjelenítéséről

Kiterjesztett ellenőrzés (Extended Validation, EV)

Olyan OV tanúsítványok, amelyek teljesítik a CA/Browser Forum által meghatározott, EV tanúsítványokra vonatkozó követelményeket is.
Az EV követelmények ország-független regisztrációs eljárást határoznak meg, amelyek lehetővé teszik, hogy akár egy amerikai szolgáltató egy cseh szervezet részére bocsásson ki tanúsítványt.

A tanúsítványt kibocsátó hatóság egy hitelesítési folyamatot indít el, melynek során az alábbi módszert követi:

• ellenőrzi az igénylő személyét
• ellenőrzi azt, hogy a domain név az igénylő kizárólagos tulajdonában áll vagy kizárólagos működtetési joggal bír
• ellenőrzi a hitelesítési folyamatban részt vevő személyek azonosságát illetve azt, hogy az igénylő számára járnak el
• ellenőrzi a kapcsolattartó személyt telefonon keresztül

Csak az EV tanúsítványok esetén van lehetőség zöld címsor megjelenítésére a böngészőben, tehát a hitelesített oldalak a böngészőben a címsorban jól észrevehető zöld színnel kiemelkedően jeleníti meg a cég nevét.
A zöld címsor a maximális biztonság jele.

Kép a böngészők megjelenítéséről