Что такое корневой сертификат (CA)? Полное руководство по центрам сертификации и цепочке доверия

Безопасное общение в интернете не происходит случайно. За каждым значком замка в вашем браузере, каждым HTTPS соединением и каждой передачей зашифрованных данных стоит тщательно спроектированная система доверия — и в самом основании этой системы находится корневой сертификат. Независимо от того, являетесь ли вы разработчиком, защищающим веб-приложение, системным администратором, управляющим инфраструктурой сервера, или владельцем бизнеса, защищающим данные клиентов, понимание корневых сертификатов является необходимым знанием.

В этом подробном руководстве мы разберемся, что именно представляют собой корневые сертификаты, как работают центры сертификации (CA), как устанавливается цепь доверия и как управлять корневыми сертификатами в ваших собственных системах.

Что такое корневой сертификат?

Корневой сертификат — это самоподписанный цифровой сертификат, выданный доверенным центром сертификации (CA). Он находится на самой вершине иерархии инфраструктуры открытых ключей (PKI) и служит окончательным якорем доверия для всех цифровых сертификатов, полученных из него.

В отличие от стандартных SSL/TLS сертификатов, подписанных другим органом, корневой сертификат подписан самим собой — это означает, что CA ручается за свою собственную личность. Это возможно, потому что корневые сертификаты предустановлены и по своей природе доверяются операционными системами, веб-браузерами и другим программными клиентами.

Когда ваш браузер подключается к веб-сайту по HTTPS, он не просто проверяет сертификат веб-сайта в изоляции. Он отслеживает путь через цепь сертификатов, пока не достигнет корневого сертификата, которому он уже доверяет. Если этот корневой сертификат присутствует в хранилище доверенных сертификатов системы, соединение считается безопасным.

Корневые сертификаты — это основа зашифрованного взаимодействия в Интернете — и без них технологии SSL/TLS не имели бы надежной основы. Если вы развертываете SSL/TLS на собственной инфраструктуре, решения, такие как VPS Hosting от AlexHost, обеспечивают полный корневой доступ и безопасную среду для эффективной реализации и управления вашим стеком сертификатов.

Роль центров сертификации (CA)

Центр сертификации (CA) — это организация (государственная или частная), которая выдает, управляет и отзывает цифровые сертификаты. CA — это доверенные третьи стороны, которые обеспечивают функционирование всей системы PKI.

Вот что делают CA на практике:

• Проверка личности: Перед выдачей сертификата CA проверяет личность запрашивающей стороны. В зависимости от типа сертификата (DV, OV или EV) эта проверка может варьироваться от простой проверки владения доменом до полного юридического аудита бизнеса.
• Выдача сертификата: После проверки CA подписывает сертификат своим приватным ключом, связывая личность объекта с открытым ключом.
• Отзыв сертификата: Если сертификат скомпрометирован или больше не действителен, CA может его отозвать и опубликовать отзыв через список отзыва сертификатов (CRL) или протокол проверки статуса сертификата в режиме онлайн (OCSP).

Известные публичные CA включают DigiCert, Sectigo, GlobalSign и Let's Encrypt. Корневые сертификаты этих организаций предустановлены в основных операционных системах и браузерах, поэтому выданные ими сертификаты автоматически доверяются конечными пользователями.

Частные CA также существуют в корпоративных средах и используются для внутренних систем, интранетов и управления устройствами — но их корневые сертификаты должны быть вручную распределены и установлены на клиентских устройствах.

Цепь доверия: как это работает

Цепь доверия (также называемая цепью сертификатов) — это иерархическая последовательность сертификатов, которая связывает сертификат конечного пользователя с доверенным корневым сертификатом. Понимание этой цепи критически важно для всех, кто управляет SSL/TLS на веб-серверах или приложениях.

Три уровня иерархии сертификатов

1. Корневой сертификат (якорь доверия)

Корневой сертификат — это верхний элемент в иерархии. Он:

• Самоподписан ЦС
• Предустановлен в хранилищах доверия операционной системы и браузера
• Хранится с высочайшей степенью защиты — часто в автономном режиме в аппаратных модулях безопасности (HSM)
• Долгоживущий, с периодами действия часто от 20 до 25 лет

Поскольку корневой сертификат имеет такую большую ценность и его компрометация была бы катастрофической, ЦС прилагают чрезвычайные усилия для его защиты. Именно поэтому существуют промежуточные сертификаты.

2. Промежуточные сертификаты

Промежуточные сертификаты выдаются и подписываются корневым ЦС. Они действуют как буфер между корневым сертификатом и сертификатами конечных пользователей. Ключевые характеристики включают:

• Операционная безопасность: Корневой ЦС может оставаться в автономном режиме, пока промежуточные ЦС обрабатывают ежедневную выдачу сертификатов
• Разделение ответственности: Если промежуточный ЦС скомпрометирован, затронуты только выданные им сертификаты — корневой сертификат остается нетронутым
• Гибкость: Можно создать несколько промежуточных ЦС для различных целей, географических регионов или бизнес-подразделений

При установке SSL/TLS сертификата на веб-сервер обычно также необходимо установить цепь промежуточных сертификатов, чтобы браузеры могли завершить путь доверия.

3. Сертификаты конечных пользователей (листовые сертификаты)

Это сертификаты, установленные на веб-сайтах, почтовых серверах, API и других сервисах. Они:

• Подписаны промежуточным ЦС
• Привязаны к конкретному доменному имени, IP-адресу или организации
• Короткоживущие, обычно действительны от 90 дней до 2 лет
• То, что браузеры и клиенты фактически проверяют при установлении безопасного соединения

Как процесс проверки работает на практике:

1. Ваш браузер подключается к https://example.com
2. Сервер представляет свой SSL/TLS сертификат (сертификат конечного пользователя)
3. Ваш браузер проверяет подпись сертификата — он был подписан промежуточным ЦС
4. Ваш браузер проверяет сертификат промежуточного ЦС — он был подписан корневым ЦС
5. Ваш браузер проверяет свое хранилище доверенных корневых сертификатов — корневой ЦС присутствует и доверен
6. Соединение проверено как безопасное ✓

Если какое-либо звено в этой цепи разорвано, истекло, отозвано или не доверено, браузер отобразит предупреждение безопасности и соединение не будет установлено.

Почему корневые сертификаты имеют значение: основные функции

Безопасность

Корневые сертификаты — это механизм, с помощью которого аутентифицируется и защищается зашифрованное взаимодействие. Когда клиент подключается к серверу с использованием HTTPS, TLS или других зашифрованных протоколов, корневой сертификат обеспечивает основополагающее доверие, которое делает шифрование значимым. Без него не было бы надежного способа убедиться, что вы действительно взаимодействуете с предполагаемым сервером, а не с злоумышленником, выполняющим атаку типа man-in-the-middle (MITM).

Аутентификация

Корневые сертификаты обеспечивают криптографическую аутентификацию личностей. Доверяя корневому сертификату, вы неявно доверяете каждому объекту, сертификат которого восходит к нему — при условии, что ЦС надлежащим образом выполнила свою работу. Именно поэтому существуют стандарты CA/Browser Forum и аудиты WebTrust: чтобы обеспечить, что ЦС поддерживают строгие практики проверки личности.

Целостность данных

Помимо шифрования и аутентификации, система PKI обеспечивает целостность данных. Цифровые подписи, полученные из цепи сертификатов, гарантируют, что данные, передаваемые между клиентом и сервером, не были изменены при передаче. Это особенно критично для финансовых операций, медицинских данных, юридических документов и любого другого обмена конфиденциальной информацией.

Неотказуемость

В некоторых контекстах, особенно при подписании кода и подписании документов сертификатами, корневые сертификаты поддерживают неотказуемость — возможность доказать, что конкретный объект подписал или отправил конкретный фрагмент данных, и что он не может позже отрицать это.

Управление корневыми сертификатами в вашей системе

Независимо от того, устраняете ли вы ошибки SSL, развертываете внутреннюю PKI или проводите аудит конфигурации сертификатов вашего сервера, знание того, как просматривать и управлять корневыми сертификатами, является практическим навыком для любого администратора.

Шаг 1: Просмотр установленных корневых сертификатов

В Windows:

1. Нажмите Win + R для открытия диалога запуска
2. Введите certmgr.msc и нажмите Enter
3. Перейдите в Trusted Root Certification Authorities → Certificates
4. Вы увидите полный список доверенных корневых сертификатов, установленных в системе

Альтернативно используйте PowerShell:

Get-ChildItem -Path Cert:LocalMachineRoot

На macOS:

1. Откройте Keychain Access (находится в Applications → Utilities)
2. На левой боковой панели выберите System Roots в разделе Keychains
3. Отфильтруйте по Certificates в разделе Category
4. Просмотрите или найдите конкретные корневые сертификаты

На Linux (Debian/Ubuntu):

Корневые сертификаты обычно хранятся в /etc/ssl/certs/. Вы можете вывести их список с помощью:

ls /etc/ssl/certs/

Для просмотра конкретного сертификата:

openssl x509 -in /etc/ssl/certs/ca-certificates.crt -text -noout

Пакет ca-certificates управляет хранилищем доверенных корневых сертификатов в большинстве систем на базе Debian.

На Linux (RHEL/CentOS/AlmaLinux):

ls /etc/pki/ca-trust/source/anchors/
update-ca-trust

Шаг 2: Добавление пользовательского корневого сертификата

В корпоративных средах или при использовании частного CA может потребоваться добавить пользовательский корневой сертификат в ваше хранилище доверия.

В Windows (через Group Policy или вручную):

Import-Certificate -FilePath "C:pathtorootCA.crt" -CertStoreLocation Cert:LocalMachineRoot

На Ubuntu/Debian:

sudo cp rootCA.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

На RHEL/CentOS:

sudo cp rootCA.crt /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust extract

Шаг 3: Обновление корневых сертификатов

Хранилища корневых сертификатов обновляются через обновления операционной системы и браузера. Поддержание актуальности ваших систем — это самый простой и важный шаг в поддержании здорового хранилища доверия.

• Windows: Windows Update автоматически распространяет обновления корневых сертификатов через Microsoft Trusted Root Certificate Program
• macOS: Обновления корневых сертификатов включены в обновления безопасности macOS
• Linux: Регулярно обновляйте пакет ca-certificates: sudo apt update && sudo apt upgrade ca-certificates
• Браузеры: Chrome, Firefox и Edge поддерживают свои собственные хранилища корневых сертификатов (частично или полностью независимые от ОС) и обновляют их с обновлениями браузера

Шаг 4: Отзыв или отзыв доверия к корневому сертификату

Если корневой сертификат скомпрометирован или вам нужно удалить CA из вашего хранилища доверия, вы можете вручную отозвать доверие или удалить его через те же интерфейсы, описанные выше. Крупные браузеры и поставщики ОС исторически удаляли скомпрометированные CA из своих хранилищ доверия — известные примеры включают бизнес CA Symantec и несколько государственных CA.

Корневые сертификаты и веб-хостинг: что вам нужно знать

Если вы запускаете веб-сайт или веб-приложение, инфраструктура корневых сертификатов влияет на вас напрямую через ваш SSL/TLS сертификат. Вот что следует помнить:

Установка сертификата: При установке SSL сертификата на сервер необходимо также установить полную цепочку промежуточных сертификатов. Невыполнение этого требования приведет к ошибкам цепочки доверия у некоторых клиентов, даже если сам сертификат действителен.

Выбор сертификата: Выбирайте SSL сертификаты от авторитетных центров сертификации, корневые сертификаты которых широко доверяются. AlexHost предлагает SSL Certificates, которые признаны всеми основными браузерами и операционными системами, гарантируя, что ваши посетители никогда не столкнутся с ошибками доверия.

Конфигурация сервера: Правильно настройте веб-сервер (Apache, Nginx, LiteSpeed) для передачи полной цепочки сертификатов. Инструменты, такие как SSL Test от SSL Labs, могут проверить, правильно ли настроена ваша цепочка.

Среда хостинга: Ваша среда хостинга должна правильно поддерживать SSL/TLS. Независимо от того, используете ли вы Shared Web Hosting для простого веб-сайта или Dedicated Server для высоконагруженных приложений, обеспечение поддержки современных конфигураций TLS и управления сертификатами является обязательным условием.

Безопасность электронной почты: Корневые сертификаты также лежат в основе протоколов шифрования электронной почты, таких как S/MIME и STARTTLS. Если вы запускаете почтовый сервер, рассмотрите профессиональное решение Email Hosting, которое обеспечивает управление сертификатами и безопасную передачу из коробки.

Распространенные проблемы с корневыми сертификатами и способы их решения

Ошибка “Certificate Not Trusted”

Причина: Корневой сертификат издающего центра сертификации отсутствует в хранилище доверия клиента.

Решение: Убедитесь, что вы используете сертификат от широко доверяемого центра сертификации. Для внутренних систем распространите ваш приватный корневой сертификат центра сертификации на все клиентские устройства.

Ошибка “Incomplete Certificate Chain”

Причина: Промежуточный сертификат отсутствует в конфигурации сервера.

Решение: Загрузите пакет промежуточных сертификатов от вашего центра сертификации и настройте веб-сервер на его обслуживание вместе с сертификатом конечного пользователя.

Ошибка “Certificate Has Expired”

Причина: Либо ваш сертификат конечного пользователя, либо промежуточный сертификат в цепи истек.

Решение: Обновите ваш SSL сертификат. Если промежуточный сертификат истек, загрузите обновленный пакет от вашего центра сертификации.

Предупреждение “Self-Signed Certificate”

Причина: Сертификат не был выдан доверяемым центром сертификации — он подписан самим собой или приватным центром сертификации, отсутствующим в хранилище доверия.

Решение: Замените на сертификат от доверяемого публичного центра сертификации или распространите ваш приватный корневой сертификат центра сертификации на всех клиентов, которым нужно ему доверять.

Корневые сертификаты vs. Промежуточные сертификаты vs. Сертификаты конечных пользователей: Быстрое сравнение

Заключение

Корневые сертификаты — это невидимая, но незаменимая основа безопасности интернета. Они делают возможным HTTPS, обеспечивают зашифрованную электронную почту, аутентифицируют обновления программного обеспечения и лежат в основе практически всех форм безопасного цифрового общения, на которые мы полагаемся сегодня. Понимание того, как корневые сертификаты, промежуточные сертификаты и сертификаты конечных пользователей работают вместе в цепочке доверия, дает вам знания для развертывания, устранения неполадок и эффективного управления SSL/TLS.

Для владельцев веб-сайтов и разработчиков практический вывод прост: используйте SSL сертификаты от надежных ЦС, поддерживайте полноту и актуальность цепочки сертификатов и выбирайте хостинг-среду, поддерживающую надежные конфигурации безопасности. VPS с cPanel от AlexHost делает управление сертификатами интуитивным, а наши VPS Control Panels предоставляют опытным пользователям гибкость для настройки всего стека PKI точно так, как требуется.

Безопасность — это не функция, которую вы добавляете в конце — это основа, которую вы строите с самого начала. И корневые сертификаты — это именно то: основа, на которой стоит все остальное.