Сертификат представляет собой цифровой эквивалент удостоверения личности. Подобно тому, как вы можете иметь несколько удостоверений для различных целей — водительское удостоверение, пропуск на работу, кредитную карту, — вы можете располагать несколькими сертификатами, которые удостоверяют вас для различных целей.
В этом разделе рассказано, как выполнять различные действия, связанные с сертификатами.
Подобно кредитной карте или водительскому удостоверению, сертификат представляет собой одну из разновидностей удостоверения личности, которым вы можете удостоверить свою личность в сети Интернет и других сетях. Как и другие виды удостоверений, сертификаты, как правило, выдаются специальными организациями, имеющими для этого необходимые полномочия. Организация, выдающая сертификаты, называется центром сертификации (CA).
Вы можете получить сертификат, удостоверяющий вас, от компании, специализирующейся на выдаче сертификатов, от вашего системного администратора или корпоративного центра сертификации, от специализированного сайта, предоставляющего определенные услуги и требующего более надежной авторизации, чем ввод имени пользователя и пароля. Все эти сертификаты могут иметь различные области применения.
Подобно тому, как требования к получателю водительского удостоверения зависят от типа транспортного средства, требования, которые нужно выполнить для получения сертификата, могут существенно меняться в зависимости от области использования этого сертификата. В некоторых случаях достаточно посетить сайт, заполнить форму и загрузить полученный сертификат на компьютер. В других случаях могут понадобиться более сложные действия.
Вы можете получить ваш собственный сертификат, посетив сайт центра сертификации и следуя приведенным на нем инструкциям. Список центров сертификации приведен в онлайновом документе (на английском языке) Клиентские сертификаты.
При получении сертификата, он автоматически сохраняется в устройстве защиты. В Seamonkey имеется встроенное программное устройство защиты. Устройство защиты также может быть аппаратным устройством, таким как, например, смарт-карта.
Подобно кредитной карте или водительскому удостоверению, сертификат, попавший в руки посторонних лиц, может быть использован не по назначению. После получения вашего сертификата вам следует предпринять два действия для его защиты: создать резервную копию сертификата и установить мастер-пароль для устройства защиты, на котором он хранится.
При получении сертификата вам может быть предложено создать его резервную копию. Если вы еще не задали мастер-пароль, вам будет предложено сделать это.
Дополнительные сведения о создании резервных копий и задании мастер-пароля приведены в разделе справки Ваши сертификаты.
При просмотре любой веб-страницы значок с изображением замка в правой нижней части окна Навигатора указывает, была ли страница передана на ваш компьютер по защищенному соединению (т.е. в зашифрованном виде):
|
Закрытый замок означает, что страница была передана на ваш компьютер в зашифрованном виде. |
|
Открытый замок означает, что страница была передана на ваш компьютер в незашифрованном виде |
|
Сломанный замок означает, что некоторые элементы страницы (встроенные объекты) были переданы на ваш компьютер в незашифрованном виде, хотя сама страница была зашифрована. |
Чтобы получить дополнительные сведения о защищенности страницы, щелкните мышью по этому значку (или выберите из меню "Вид" пункт "Информация о странице" и в открывшемся окне выберите вкладку "Безопасность").
На вкладке "Безопасность" окна "Информация о странице" представлена информация двух типов:
Важно: Значок с изображением замка отражает защищенность соединения, через которое была получена страница, при отображении страницы, т.е. уже после ее получения. Чтобы получать предупреждения перед получением страницы через защищенное соединение, переходом от защищенной страницы к незащищенной, отправкой информации в незашифрованном виде и т.п., настройте параметры предупреждений SSL. Информация об этом приведена в разделе справки Приватность и защита информации — SSL.
Вы можете использовать Менеджер сертификатов для управления сертификатами, которыми вы располагаете. Сертификаты могут храниться на локальном диске, смарт-картах или других устройствах защиты, подключенных к вашему компьютеру.
Чтобы открыть диалоговое окно Менеджера сертификатов:
Диалоговое окно Менеджера сертификатов содержит ряд вкладок. Первая вкладка, "Ваши сертификаты", содержит информацию о доступных Seamonkey сертификатах, которые удостоверяют вашу личность для каких-либо целей. Сертификаты сгруппированы по организациям, выдавшим их.
Чтобы выполнить действие над одним или несколькими сертификатами, выберите нужный сертификат (используйте левую кнопку мыши, удерживая клавишу CmdCtrl, чтобы выбрать несколько сертификатов). Нажмите кнопку "Просмотр", "Резервная копия" или "Удалить", чтобы выполнить соответствующее действие. При этом откроется диалоговое окно для выполнения этого действия. Нажмите кнопку "Справка" в диалоговом окне, чтобы получить информацию по его использованию.
Следующие кнопки на вкладке "Ваши сертификаты" могут быть нажаты независимо от того, выбраны ли какие-нибудь сертификаты:
Вы не сможете создать резервную копию сертификата, хранящегося на смарт-карте. Независимо от того, нажимаете ли вы кнопку "Резервная копия", выбрав несколько сертификатов, или кнопку "Резервные копии всех", созданная резервная копия не будет включать сертификаты, находящиеся на смарт-картах или других внешних устройствах защиты. Вы можете создавать резервные копии только тех сертификатов, которые хранятся во встроенном программном устройстве защиты.
Дополнительная информация о выполнении этих задач приведена в разделе Ваши сертификаты.
При составлении почтового сообщения вы можете подписать его при помощи цифровой подписи. Цифровая подпись позволяет получателям сообщения убедиться в том, что оно действительно отправлено вами и не было изменено в процессе передачи.
Всякий раз, когда вы отправляете сообщение, подписанное цифровой подписью, к нему автоматически добавляется ваш сертификат шифрования (сертификат открытого ключа шифрования). Лицо, располагающее этим сертификатом, может посылать вам зашифрованные сообщения.
Один из простейших способов получить сертификат шифрования какого-либо лица — получить от него сообщение, подписанное цифровой подписью. Менеджер сертификатов автоматически сохраняет сертификаты, полученные таким образом.
Чтобы просмотреть все сертификаты других лиц, выберите вкладку "Другие" диалогового окна Менеджера сертификатов. На вкладке представлен список сертификатов, сгруппированных по организациям, выдавшим их. Вы можете отправить зашифрованное сообщение владельцу любого действительного сертификата.
Чтобы выполнить действие над одним или несколькими сертификатами, выберите нужный сертификат (используйте левую кнопку мыши, удерживая клавишу CmdCtrl, чтобы выбрать несколько сертификатов). Нажмите кнопку "Просмотр" или "Удалить", чтобы выполнить соответствующее действие. При этом откроется диалоговое окно для выполнения этого действия. Нажмите кнопку "Справка" в диалоговом окне, чтобы получить информацию по его использованию.
Дополнительная информация об управлении сертификатами других лиц приведена в разделе справки Другие.
Некоторые сайты используют сертификаты, удостоверяющие их подлинность (подлинность имени сайта и его принадлежность определенной организации). Такой сертификат необходим для установления защищенного соединения между браузером и сайтом (веб-сервером). При этом браузер и веб-сервер обмениваются данными в зашифрованном виде, что значительно затрудняет их прочтение для третьих лиц, которые могли бы перехватить поток этих данных.
Если адрес (URL) сайта начинается с префикса https://, это означает, что сайт имеет собственный сертификат. Если при посещении такого сайта выясняется, что его сертификат выдан центром сертификации (CA), который неизвестен Менеджеру сертификатов, или которому не следует доверять согласно настройкам Менеджера сертификатов, Seamonkey спросит вас, следует ли принять сертификат сайта и установить с ним соединение. Если вы принимаете новый сертификат (и указываете, что его следует принимать в дальнейшем), Менеджер сертификатов добавляет его к списку сертификатов сайтов.
Чтобы просмотреть все сертификаты сайтов, сохраненные вашим браузером, выберите вкладку "Сайты" диалогового окна Менеджера сертификатов.
Чтобы выполнить какое-либо действие над одним или несколькими сертификатами, выберите нужный сертификат (используйте левую кнопку мыши, удерживая клавишу Shift, чтобы выбрать несколько сертификатов). Нажмите кнопку "Просмотр", "Изменить" или "Удалить", чтобы выполнить соответствующее действие. При этом откроется диалоговое окно для выполнения соответствующего действия.
Нажав кнопку "Изменить", вы сможете указать, следует ли доверять данному сертификату сайта в будущем.
Дополнительная информация об управлении сертификатами сайтов приведена в разделе справки Сайты.
Подобно любому удостоверению личности, сертификаты выдаются организацией, имеющей для этого признанные полномочия. Организация, выдающая сертификаты, называется центром сертификации (CA). Подлинность самого центра сертификации также подтверждается специальным сертификатом.
Как правило, сразу после установки Seamonkey уже располагает целым рядом сертификатов центров сертификации. Эти сертификаты позволяют Seamonkey распознавать сертификаты, выданные этими центрами, и работать с ними. Однако присутствие центра сертификации в этом списке не означает автоматического доверия сертификатам, выданным этим центром. Вы или ваш системный администратор можете, исходя из вашей политики безопасности, принять решение, стоит ли доверять сертификатам каждого типа, выданным каждым центром.
Чтобы просмотреть все сертификаты центров сертификации, доступные для Seamonkey, выберите вкладку "Центры сертификации" диалогового окна Менеджера сертификатов.
Чтобы выполнить действие над одним или несколькими сертификатами, выберите нужный сертификат (используйте левую кнопку мыши, удерживая клавишу CmdCtrl, чтобы выбрать несколько сертификатов). Нажмите кнопку "Просмотр", "Изменить" или "Удалить", чтобы выполнить соответствующее действие. При этом откроется диалоговое окно для выполнения этого действия. Нажмите кнопку "Справка" в диалоговом окне, чтобы получить информацию по его использованию.
При нажатии кнопки "Изменить" откроется диалоговое окно, позволяющее просматривать и изменять настройки доверия для сертификата. С помощью этих настроек можно задать, каким типам сертификатов, выданных этим центром, вы доверяете.
Дополнительная информация об управлении сертификатами центров сертификации приведена в разделе справки Центры сертификации.
Смарт-карта представляет собой небольшое устройство, сравнимое по размеру с кредитной картой, которое содержит микропроцессор и способно хранить информацию, идентифицирующую своего владельца (например, закрытые ключи и сертификаты), а также выполнять криптографические операции.
Чтобы использовать смарт-карты при работе на компьютере, необходимо специальное считывающее устройство, подключенное к компьютеру, а также программное обеспечение, управляющее работой этого устройства.
Смарт-карта представляет собой лишь одну из разновидностей устройства защиты — программного или аппаратного устройства, которое предоставляет криптографические сервисы, и хранит информацию, идентифицирующую своего владельца. В Seamonkey для работы с устройствами защиты используется Менеджер устройств.
В окне Менеджера устройств перечислены все доступные устройства защиты. С помощью Менеджера устройств вы можете управлять любыми устройствами защиты, которые поддерживают спецификацию криптографии с открытым ключом PKCS #11, включая смарт-карты.
Модуль PKCS #11 (иногда называемый модулем защиты) управляет одним или несколькими устройствами защиты подобно тому, как программа-драйвер управляет внешними устройствами, например, принтером или модемом. Если вы предполагаете использовать смарт-карты, вы должны не только подключить к компьютеру считывающее устройство, но и установить на нем модуль PKCS #11.
По умолчанию Менеджеру устройств доступны два внутренних модуля PKCS #11, которые управляют тремя устройствами защиты:
Builtin Object Token. Это устройство хранит сертификаты центров сертификации (CA), которые входят в поставку Seamonkey.
Менеджер устройств позволяет выполнять различные действия над устройствами защиты. Чтобы получить к нему доступ, выполните следующие действия:
Модули PKCS #11 и устройства защиты представлены в окне Менеджера устройств в виде дерева, причем устройства являются потомками соответствующего модуля PKCS #11 и перечислены под его названием.
Когда вы выбираете из списка какое-либо устройство защиты, информация о нем появляется в средней части окна, а также становятся доступны некоторые из кнопок, расположенных в правой части окна. Например, выбрав "Программное устройство защиты", вы сможете выполнить следующие действия:
Вы можете выполнить аналогичные действия для большинства устройств защиты. Однако вы не сможете выполнить их для устройств "Builtin Object Token" и "Общие сервисы шифрования". Это — специальные устройства защиты, которые должны быть активны постоянно.
Дополнительные сведения о работе с менеджером устройств приведены в разделе справки Менеджер устройств.
Если вы хотите использовать смарт-карту или другое внешнее устройство защиты, вам необходимо установить программный модуль защиты и, при необходимости, физически подключить к компьютеру внешнее устройство. В процессе установки следуйте инструкциям производителя устройства.
После того, как новый модуль установлен на вашем компьютере, выполните следующие действия, чтобы загрузить его:
Загруженный модуль будет добавлен к списку модулей в окне Менеджера устройств под именем, указанным вами.
Чтобы выгрузить модуль PKCS #11, выберите его в списке Менеджера устройств и нажмите кнопку "Выгрузить".
Публикации федерального стандарта по обработке информации (FIPS PUBS) 140-1 являются государственным стандартом США для реализации криптографических модулей — программного или аппаратного обеспечения, которое шифрует данные, расшифровывает их или выполняет другие криптографические операции (например, создание или проверку цифровых подписей). Многие категории продуктов, используемые правительством США, должны соответствовать одному или нескольким стандартам FIPS.
Чтобы активизировать режим использования FIPS, используйте Менеджер устройств:
NSS Internal PKCS #11 Moduleв списке отображается название
NSS Internal FIPS PKCS #11 Module. Вместо кнопки "Использовать FIPS" появляется кнопка "Отключить FIPS".
Чтобы отключить режим использование FIPS, нажмите кнопку "Отключить FIPS".
Протокол защищенных сокетов (SSL) позволяет вашему компьютеру устанавливать защищенное соединение с другими компьютерами через Интернет, т.е. обмениваться данными в зашифрованном виде. Это существенно затрудняет прочтение данных для третьих лиц, которые могут перехватить их. Кроме того, протокол SSL может использоваться для идентификации (проверки подлинности сетевых имен) компьютеров при помощи сертификатов.
Транспортный защищенный протокол (TLS) является новым стандартом, в основу которого положен протокол SSL. По умолчанию Seamonkey поддерживает как SSL, так и TLS. Этот подход в большинстве случаев является оптимальным, так как обеспечивает совместимость практически со любым программным обеспечением, которое поддерживает какую-либо версию SSL или TLS.
Однако в некоторых случаях системный администратор или другое компетентное лицо может счесть необходимым провести тонкую настройку параметров SSL, чтобы обеспечить специальные потребности защиты или возможность соединения с устаревшими программами, которые могут содержать ошибки.
Вам не следует самостоятельно изменять настройки SSL вашего браузера, если вы не знаете в точности, что и зачем вы хотите сделать, или не пользуетесь помощью квалифицированного специалиста. Если вам все же необходимо изменить эти настройки, выполните следующие действия:
Дополнительные инструкции по настройке параметров SSL приведены в разделе Настройки SSL.
Как уже было сказано в разделе Получение вашего собственного сертификата, сертификат является разновидностью удостоверения и во многом сходен, например, с водительским удостоверением. Вы можете использовать сертификат для того, чтобы удостоверить вашу личность при передаче информации через Интернет или другие сети. Однако, подобно водительскому удостоверению, сертификат может стать недействительным вследствие истечения срока действия или других причин. Поэтому ваше программное обеспечение должно иметь возможность проверить действительность любого сертификата, прежде чем доверять ему в качестве удостоверения какого-либо лица, организации или устройства.
В этом разделе рассказано о том, каким образом Менеджер сертификатов выполняет верификацию (подтверждение действительности) сертификатов и какие настройки влияют на этот процесс. Чтобы понимать, как происходит верификация, вы должны быть знакомы хотя бы с общими принципами криптографии с открытым ключом. Если вы не представляете себе принципов использования сертификатов, вам следует проконсультироваться с вашим системным администратором, прежде чем изменять любые настройки верификации сертификатов в браузере.
Всякий раз, когда вы используете или просматриваете какой-либо сертификат, сохраненный при помощи Менеджера сертификатов, Seamonkey предпринимает определенные действия по верификации (подтверждению действительности) этого сертификата. Как минимум, Менеджер сертификатов убеждается в том, что сертификат подписан цифровой подписью центра сертификации (CA), чей собственный сертификат (1) присутствует в списке сертификатов CA, доступных Менеджеру сертификатов, и (2) отмечен как заслуживающий доверия для выдачи типа сертификатов, к которому относится проверяемый сертификат.
Если сертификат CA, выдавшего проверяемый сертификат, отсутствует, цепочка сертификатов для сертификата CA должна включать сертификат CA более высокого уровня, который доступен Менеджеру сертификатов и обладает надлежащим уровнем доверия. Менеджер сертификатов также убеждается в том, что сам проверяемый сертификат, если он уже сохранен на вашем компьютере, отмечен как заслуживающий доверия. Если какая-либо из этих проверок оказывается неудачной, Менеджер сертификатов помечает сертификат как неверифицированный и не рассматривает его как удостоверение подлинности субъекта сертификата.
Однако сертификат, успешно проходящий все эти проверки, может, тем не менее, быть недействительным. Например, сертификат может быть скомпрометирован и отозван по причине того, что постороннее лицо получило доступ к закрытому ключу сертификата. Располагая закрытым ключом, это лицо (или сайт) сможет выдать себя за владельца сертификата.
Одним из способов снижения риска, связанного с подобными ситуациями, является использование списков отозванных сертификатов (CRL) в процессе верификации (см. раздел Управление списками отозванных сертификатов). Как правило, вы можете загрузить CRL какого-либо центра сертификации, щелкнув по соответствующей ссылке. Если CRL загружен на компьютер, Менеджер сертификатов в процессе верификации проверяет с его помощью любые сертификаты, выданные этим центром, чтобы убедиться в том, что они не были отозваны.
Эффективность использования CRL зависит от периодичности их обновления центром сертификации, а также от того, как часто клиент (браузер) обновляет локальную копию списка. Вы можете установить Настройки автоматического обновления CRL таким образом, что актуальная копия списка будет автоматически загружаться с сервера с определенной периодичностью.
Другой способ своевременного получения информации о скомпрометированных сертификатах — использование специального сервера, который поддерживает протокол просмотра статуса сертификатов (OCSP). Такой сервер способен отвечать на клиентские запросы о действительности конкретных сертификатов (см. раздел Настройка OCSP).
OCSP-сервер (сервер статуса сертификатов) периодически получает списки отозванных сертификатов от центра (или центров) сертификации. Вы можете настроить Менеджер сертификатов таким образом, чтобы при верификации сертификата он обращался к OCSP-серверу за подтверждением его действительности.
В списке отозванных сертификатов (CRL) перечислены сертификаты, которые были аннулированы. Центр сертификации (CA) может аннулировать сертификат, если он был скомпрометирован каким-либо образом, подобно тому, как платежная система аннулирует вашу кредитную карту, если вы сообщите о том, что она похищена.
В этом разделе рассказано, как импортировать списки отозванных сертификатов и управлять ими.
Общие сведения о верификации сертификатов приведены в разделе Как происходит верификация сертификата.
Настройки Seamonkey, относящиеся к спискам отозванных сертификатов, подробно описаны в разделе Настройки верификации.
Следующего обновления
Seamonkey использует доступные списки отозванных сертификатов при проверке действительности сертификатов, выданных соответствующими центрами сертификации. Если сертификат включен в список как отозванный, Seamonkey не будет рассматривать его как подтверждение подлинности субъекта сертификата.
Как правило, центр сертификации публикует обновленные списки отозванных сертификатов с определенной периодичностью. Каждый список содержит поле "Следующее обновление", в котором приводится дата, когда центр сертификации выпустит обновленную версию этого списка. Как правило, если в поле "Следующее обновление" списка, находящегося на вашем компьютере, указана уже прошедшая дата, вам следует получить обновленную версию списка. О том, как просмотреть свойства списка отозванных сертификатов и настроить автоматическое обновление списков, рассказано в разделе Просмотр и настройка списков отозванных сертификатов.
Центр сертификации обязан выпустить обновленную версию списка не позднее даты следующего обновления, указанной в последнем опубликованном списке. Однако отсутствие на компьютере последней версии списка само по себе не приводит к отказу в верификации сертификата. В этой ситуации сертификат может быть верифицирован даже в том случае, если, согласно последней версии списка, он уже отозван. Автоматическое обновление списка отозванных сертификатов позволяет избежать подобных ситуаций и обеспечить постоянную доступность актуальной версии списка на вашем компьютере.
Вы можете импортировать (загрузить) последнюю версию списка отозванных сертификатов с сервера центра сертификации, сделав ее доступной для Seamonkey. Чтобы импортировать список, выполните следующие действия:
Откроется диалоговое окно "Статус импорта CRL".
Использовать автоматическое обновление этого CRL.
Вы можете просматривать списки отозванных сертификатов (CRL) и изменять их свойства, используя раздел настроек "Подтверждение действительности". Чтобы получить к нему доступ:
Откроется окно, в котором перечислены доступные списки отозванных сертификатов. Чтобы удалить список или обновить его, загрузив актуальную версию, выберите нужный список и нажмите соответствующую кнопку.
Чтобы задать параметры автоматического обновления CRL, выберите нужный список и нажмите кнопку "Параметры". Откроется диалоговое окно "Настройки автоматического обновления CRL":
Использовать автоматическое обновление этого CRL(или сбросьте его, если вы хотите отключить режим автоматического обновления).
Параметры, которые определяют использование протокола просмотра статуса сертификатов (OCSP), доступны в разделе настроек "Подтверждение действительности". Чтобы получить к нему доступ:
Доступные настройки описаны в разделе справки OCSP.
Локализация произведена компанией ALTLinux и участниками проекта Mozilla Russia