Ten rozdział objaśnia używanie różnych okien pokazywanych podczas korzystania z Menedżera certyfikatów. Dodatkowe informacje tu podane są dostępne po naciśnięciu przycisku Pomoc w odpowiednim oknie.
W oknie podglądu certyfikatu są pokazywane informacje o certyfikacie zaznaczonym na jednej z kart Menedżera certyfikatów. Karta Ogólne zawiera sumaryczne dane o stanie weryfikacji certyfikatu, jego właścicielu, wydawcy, datach: wystawienia i ważności oraz odciskach kluczy kryptograficznych powiązanych z certyfikatem. Karta Szczegóły zawiera kompletne i szczegółowe informacje o zawartości certyfikatu.
Jeżeli podgląd certyfikatu jeszcze nie jest widoczny, należy:
Po otwarciu okna podglądu certyfikatu, domyślnie pokazana jest karta Ogólne. Zawiera ona kilka rodzajów informacji o certyfikacie:
Po wybraniu karty Szczegóły w oknie podglądu certyfikatu, pokażą się szczegółowe informacje o certyfikacie. Aby sprawdzić informacje dotyczące dowolnego certyfikatu w hierarchii, należy zaznaczyć jego nazwę, następnie interesującą pozycję w oknie Pola certyfikatu i odczytać jej zawartość w oknie Wartość pola:
Okno podglądu certyfikatu (tam, gdzie jest to możliwe) pokazuje informacje o certyfikacie w formacie przyjaznym do odczytania przez użytkownika (w postaci znaków ANSI). Zawartość pól, które nie mogą zostać jednoznacznie zinterpretowane, jest pokazywana w takiej postaci, w jakiej jest zawarta w certyfikacie.
Urządzenie zabezpieczające (zwane czasami tokenem) jest to sprzętowy lub programowy przyrząd, posiadający wbudowane procedury i usługi kryptograficzne, oraz przechowujący certyfikaty i klucze kryptograficzne użytkownika. Okno wyboru urządzenia zabezpieczającego pojawia się na ekranie w momencie, kiedy Menedżer certyfikatów musi wybrać, które z obecnych w systemie urządzeń ma zostać użyte przy wykonywaniu operacji związanych z obsługą certyfikatów, lub inną czynnością kryptograficzną (jak generacja kluczy nowego certyfikatu). To okno umożliwia użytkownikowi zaznaczenie jednego z dwóch lub więcej urządzeń zabezpieczających obecnych w systemie i pracę z wybranym urządzeniem.
Jednym z przykładów urządzenia zabezpieczającego jest karta inteligentna. Przykładowo, gdy czytnik kart podłączony do komputera posiada włożoną kartę inteligentną, jej nazwa będzie pokazywana na rozwijanej liście urządzeń zabezpieczających. Aby skorzystać z karty, użytkownik musi wybrać z listy dostępnych urządzeń jej nazwę.
Menedżer certyfikatów posiada swoje własne (wbudowane) urządzenie zabezpieczające, które może być używane zawsze, niezależnie od dostępności dodatkowych urządzeń instalowanych przez użytkownika.
Te organy certyfikacji (CA), które wydają oddzielne certyfikaty do podpisywania i szyfrowania poczty elektronicznej, zwykle tworzą kopie zapasowe prywatnych kluczy szyfrujących użytkownika podczas procesu wystawiania certyfikatu.
Okno dialogowe tworzenia kopii klucza szyfrującego umożliwia zatwierdzenie chęci utworzenia takiej kopii, lub anulowanie żądania wydania certyfikatu. Organ certyfikacji, który posiada kopię klucza prywatnego użytkownika, posiada również potencjalną możliwość odszyfrowywania zaszyfrowanej przy pomocy tego klucza korespondencji skierowanej do właściciela certyfikatu.
Z okna dialogowego tworzenia kopii klucza prywatnego istnieje możliwość podjęcia następujących czynności:
Przy niepewności co do zaufania organowi certyfikacji, który żąda utworzenia kopii klucza, należy zwrócić się o pomoc do administratora systemu.
Po utworzeniu kopii klucza prywatnego przez organ certyfikacji, użytkownik będzie w stanie używać tego klucza do odczytu własnej zaszyfrowanej korespondencji nawet w przypadku zapomnienia hasła do klucza lub utraty własnej kopii klucza. Jeżeli nie będzie istnieć żadna kopia klucza prywatnego, a użytkownik zapomni hasło lub utraci swój klucz, nie będzie miał możliwości czytania korespondencji, która została zaszyfrowana przy użyciu takiego klucza.
Po uzyskaniu certyfikatu należy wykonać kopię zapasową samego certyfikatu, jak i powiązanego z nim klucza prywatnego. Kopię tę należy przechowywać w bezpiecznym miejscu. Przykładowo, można ją umieścić na dyskietce, która następnie będzie przechowywana w bezpiecznym i zamkniętym miejscu. Tym sposobem, nawet w przypadku utraty certyfikatu z powodu problemów z dyskiem twardym komputera lub plikiem certyfikatu, będzie można bez problemów odzyskać certyfikat.
Utrata certyfikatu może stanowić dużą uciążliwość dla jego właściciela, a w niektórych wypadkach może okazać się czynnością katastrofalną w skutkach (w zależności od celów używania certyfikatu). Przykładowo:
Jak wszelkie inne cenne dane, również certyfikat powinien mieć utworzoną kopię bezpieczeństwa. Nie należy o tym zapominać.
Certyfikat jest bardzo wiarygodną metodą identyfikacji. Z tego też powodu niektóre witryny internetowe żądają przy identyfikacji użytkownika jego certyfikatu zamiast standardowej pary użytkownik i hasło. Taka metoda identyfikacji jest czasami zwana autoryzacją klienta.
Jak wiadomo, jeden użytkownik może posiadać w Menedżerze certyfikatów więcej niż jeden certyfikat służący jego identyfikacji w Internecie. W takim przypadku, Menedżer certyfikatów wyświetli okno dialogowe Żądanie identyfikacji użytkownika, zawierające dwa rodzaje informacji:
Witryna zażądała identyfikacji użytkownika za pomocą certyfikatu: Ta część okna dialogowego pokazuje następujące informacje:
Wybierz certyfikat do użycia: Certyfikaty posiadane przez użytkownika przeznaczone do jego identyfikacji na stronach WWW, są umieszczone w tej części okna dialogowego na rozwijanej liście wyboru. Z niej należy wybrać ten certyfikat, który wydaje się najbardziej pasującym do odwiedzanej witryny.
Aby pomóc w wyborze właściwego certyfikatu, wyświetlane są poniższe szczegóły dotyczące zaznaczonego certyfikatu:
Certyfikat, który jest w posiadaniu Menedżera certyfikatów w postaci pliku (niezależnie od miejsca jego przechowywania — dysk twardy komputera, lub zewnętrzne urządzenie zabezpieczające), zawiera certyfikaty identyfikujące organy certyfikacji (CA). Aby móc rozpoznawać wszystkie certyfikaty ze swojej bazy, Menedżer certyfikatów musi posiadać certyfikaty organów certyfikacji, które wydały lub autoryzowały wydanie tych certyfikatów.
Gdy użytkownik zadecyduje o zakwalifikowaniu danego organu certyfikacji do organów zaufanych, Menedżer certyfikatów pobiera certyfikat takiego organu i od tej pory jest w stanie poprawnie rozpoznawać te rodzaje certyfikatów, które zostały wybrane w momencie ustawiania stopnia zaufania organu.
Przed pobraniem nowego certyfikatu organu certyfikacji, Menedżer certyfikatów umożliwia określenie rodzajów certyfikatów wydawanych przez organ, które należy uznać za zaufane. Istnieje możliwość wyboru każdej opcji z poniższej listy:
Zanim zostanie podjęta decyzja o zaufaniu nowemu organowi certyfikacji, należy upewnić się, kto jest właścicielem i operatorem organu. Należy upewnić się, czy polityka i procedury organu są odpowiednie dla tych rodzajów certyfikatów, które organ wydaje. Przykładowo, jeżeli organ wydaje certyfikaty identyfikujące witryny WWW używane do transakcji finansowych, należy upewnić się, że poziom bezpieczeństwa zapewniany przez organ jest dla użytkownika wystarczający.
Jedno z okien opisanych poniżej może się pojawić przy próbie dostępu do witryny WWW obsługującej protokół SSL dla celów autoryzacji użytkownika i szyfrowania przesyłu danych.
W przypadku, gdy wyłączono protokół SSL (np. poprzez Ustawienia SSL) lub wczytywana strona używa starszej, niezabezpieczonej wersji protokołu SSL, wyświetli się strona zatytułowana "Nie udało się nawiązać bezpiecznego połączenia". Strona ta zawiera podstawowe informacje (włączając Kod błędu, który identyfikuje rodzaj problemu wykrytego przez program &brandShortName; w związku z otwieraną stroną) oraz przycisk Spróbuj ponownie służący do ponownego wczytania strony.
Jeśli włączono protokół SSL, wyświetlona strona błędu będzie nosiła tytuł "To połączenie nie jest zaufane". Istnieje wiele różnych powodów, dla których połączenie może wyglądać na niezaufane. Poniżej prezentujemy te najczęściej spotykane:
Strona wyświetlona w powyższych przypadkach ma na celu wyjaśnić, dlaczego program &brandShortName; nie mógł ustanowić bezpiecznego połączenia z żądaną stroną internetową. Na początku podaje informację, że nie można zweryfikować tożsamości strony, a następnie proponuje opuszczenie strony poprzez kliknięcie przycisku To brzmi nieciekawie. Zabierz mnie stąd!. W przypadku wątpliwości, zaleca się skorzystanie z tej porady.
Więcej informacji na temat zaistniałego problemu można uzyskać, klikając strzałki znajdujące się naprzeciw nagłówka Szczegóły techniczne. Sekcja ta zawiera również Kod błędu, który identyfikuje rodzaj problemu wykrytego przez program &brandShortName; w związku z żądaną stroną.
Sekcja Rozumiem ryzyko strony informującej o niezaufanym połączeniu umożliwia wydanie polecenia programowi &brandShortName;, aby zupełnie ignorował kontrole bezpieczeństwa, dodając wyjątek. Po rozwinięciu sekcji poprzez kliknięcie znajdujących się naprzeciw niej strzałek pojawi się przycisk Dodaj wyjątek, po kliknięciu którego wyświetli się okno dialogowe pozwalające na uzyskanie i przeglądanie certyfikatu witryny oraz, opcjonalnie, na dodanie dla niej Wyjątku bezpieczeństwa (na stałe albo tylko dla bieżącej sesji). Można zarządzać tymi wyjątkami, wchodząc do karty Serwery w Menedżerze certyfikatów.
W przypadku, gdy program &brandShortName; nie może określić rzeczywistego powodu problemu, oprócz strony Niezaufane połączenie wyświetli się okno dialogowe zatytułowane "Nie udało się nawiązać bezpiecznego połączenia". Okno to zawiera przycisk Wyświetl certyfikat, który pozwala na dokładniejsze przeanalizowanie certyfikatu witryny.
Podobnie jak karta kredytowa i wiele innych form identyfikacji, również certyfikat jest ważny przez określony okres czasu. Po wygaśnięciu certyfikatu użytkownik musi sobie wyrobić nowy.
Program &brandShortName; ostrzega użytkownika przed próbą dostępu do witryny WWW, której certyfikat wygasł. Pierwszą rzeczą, jaką powinien w związku z takim komunikatem zrobić użytkownik jest sprawdzenie poprawności daty i czasu w swoim komputerze. Jeżeli zegar komputera jest ustawiony na datę późniejszą niż data wygaśnięcia certyfikatu, program &brandShortName; będzie traktować certyfikat jako wygasły.
Jeżeli zegar komputera jest ustawiony poprawnie, do użytkownika należy decyzja o zaufaniu okazanym danej witrynie. Taka decyzja może zależeć od tego, jakie czynności chce się wykonywać na witrynie, czy też, czy witryna jest użytkownikowi znana i zaufana. Większość stron komercyjnych uaktualnia swoje certyfikaty przed ich wygaśnięciem. Aby kontynuować, należy dodać wyjątek bezpieczeństwa.
Podobnie jak karta kredytowa i wiele innych form identyfikacji, również certyfikat jest ważny przez określony okres czasu.
Program &brandShortName; ostrzega użytkownika przed próbą dostępu do witryny WWW, której certyfikat jest jeszcze nieważny. Pierwszą rzeczą, jaką powinien w związku z takim komunikatem zrobić użytkownik jest sprawdzenie poprawności daty i czasu w swoim komputerze. Jeżeli zegar komputera jest ustawiony na niewłaściwą datę, program &brandShortName; może traktować certyfikat jako jeszcze nieważny, nawet jeśli tak nie jest w danym konkretnym przypadku.
Jeżeli zegar komputera jest ustawiony poprawnie, do użytkownika należy decyzja o zaufaniu okazanym danej witrynie. Taka decyzja może zależeć od tego, jakie czynności chce się wykonywać na witrynie, czy też, czy witryna jest użytkownikowi znana i zaufana. Większość stron komercyjnych nie udostępnia swoich certyfikatów z datą początku ważności wybiegającą w przyszłość. Aby kontynuować, należy dodać wyjątek bezpieczeństwa.
Certyfikat serwera zawiera nazwę serwera w postaci nazwy domeny witryny. Przykładowo, nazwą domeny witryny WWW organizacji Mozilla jest www.mozilla.org. Jeżeli nazwa domeny w certyfikacie serwera nie jest zgodna z aktualną nazwą domeny witryny WWW, może to oznaczać, że ktoś próbuje przechwycić komunikację użytkownika z witryną WWW.
Program &brandShortName; ostrzega przed każdą próbą otworzenia witryny znajdującej się na serwerze, którego domena certyfikatu nie jest zgodna z domeną odwiedzanej strony internetowej. Decyzja, czy mimo ostrzeżenia można traktować witrynę jako zaufaną należy do użytkownika i może zależeć od tego, jakie czynności chce on wykonywać na niej i czy jest ona znana użytkownikowi. Certyfikaty większości stron komercyjnych posiadają taką samą nazwę domeny w certyfikacie, jaka widnieje w pasku adresu przeglądarki. Aby kontynuować, należy dodać wyjątek bezpieczeństwa.
Jeżeli użytkownik zdecyduje mimo wszystko zaakceptować certyfikat (obojętne, czy na czas bieżącej sesji, czy na zawsze), powinien być ostrożny w wykonywaniu czynności w witrynie i powinien traktować wszelkie informacje na niej jako potencjalnie podejrzane.