Chứng chỉ X.509 v3 là định dạng chứng chỉ được sử dụng phổ biến và được hầu hết các nhà cung cấp sản phẩm PKI (public-key infrastructures) triển khai.


Chứng chỉ khoá công khai X.509 được Hội viễn thông quốc tế (ITU) đưa ra lần đầu tiên năm 1988 như là một bộ phận của dịch vụ thư mục X.500.


Chứng chỉ gồm 2 phần. Phần đầu là những trường cơ bản cần thiết phải có trong chứng chỉ. Phần thứ hai chứa thêm một số trường phụ, những trường phụ này được gọi là trường mở rộng dùng để xác định và đáp ứng những yêu cầu bổ sung của hệ thống.


Các thành phần của PKI:


– Certification Authorities (CA ) Cấp và thu hồi chứng chỉ.
– Registration Authorities (RA) Gắn kết giữa khoá công khai và định danh của người giữ chứng chỉ.
– Clients
– Người sử dụng chứng chỉ PKI hay theo cách khác được xác định như những thực thể cuối.
– Người sử dụng cuối hoặc hệ thống là chủ thể của chứng chỉ PKI.
– Repository
– Hệ thống (có thể phân tán) lưu trữ chứng chỉ và danh sách cácchứng chỉ bị thu hồi.
– Cung cấp cơ chế phân phối chứng chỉ và CRLs đến các thực thể cuối

Những trường cơ bản của chứng chỉ X.509


Bảng 1: Các trường Chứng chỉ khóa công khai X509

Version: xác định số phiên bản của chứng chỉ.

Certificate Serial Number: do CA gán, là định danh duy nhất của chứng chỉ.

Signature Algorithm ID: chỉ ra thuật toán CA sử dụng để ký số chứng chỉ. Có thể là thuật toán RSA hay DSA…

Issuer: chỉ ra CA cấp và ký chứng chỉ.

Validity Period: khoảng thời gian chứng chỉ có hiệu lực. Trường này xác định thời gian chứng chỉ bắt đầu có hiệu lực và thời điểm hết hạn.

Subject: xác định thực thể mà khoá công khai của thực thể này được xác nhận. Tên của subject phải duy nhất đối với mỗi thực thể CA xác nhận.

Subject public key information: chứa khoá công khai và những tham số liên quan; xác định thuật toán (ví dụ RSA hay DSA) được sử dụng cùng với khoá.

Issuer Unique ID (Optional): là trường không bắt buộc, trường này cho phép sử dụng lại tên người cấp. Trường này hiếm được sử dụng trong triển khai thực tế.

Extensions (Optional): chỉ có trong chứng chỉ v.3.

Certification Authority’s Digital Signature: chữ ký số của CA được tính từ những thông tin trên chứng chỉ với khoá riêng và thuật toán ký số được chỉ ra trong trường Signature Algorithm Identifier của chứng chỉ.

Ngoài ra chứng chỉ X509 còn một số trường mở rộng, phần mở rộng là những thông tin về các thuộc tính cần thiết được đưa vào đểgắn những thuộc tính này với người sử dụng hay khoá công. Những thông tin trong phần mở rộng thường được dùng để quản lý xác thực phân cấp, chính sách chứng chỉ, thông tin về chứng chỉ bị thu hồi…Nó cũng có thể được sử dụng để định nghĩaphần mở rộng riêng chứa những thông tin đặc trưng cho cộng đồng nhất định. Mỗi trường mở rộng trong chứng chỉ được thiết kế với cờ “critical” hoặc “uncritical”.

Tính toàn vẹn của chứng chỉ được đảm bảo bằng chữ ký số của CA trên chứng chỉ. Khoá công khai của CA được phân phối đến người sử dụng chứng chỉ theo một số cơ chế bảo mật trước khi thực hiện các thao tác PKI. Người sử dụng kiểm tra hiệu lực của chứng chỉ được cấp với chữ ký số của CA và khoá công khaicủa CA.

Chức năng cơ bản của X509

Chứng thực (certification) là chức năng quan trọng nhất của hệ thống PKI. Đây là quá trình ràng buộc khoá công khai với định danh của thực thể. CA là thực thể PKI thực hiện chức năng chứng thực. Có hai phương pháp chứng thực:

Tổ chức chứng thực (CA) tạo ra cặp khoá công khai / khoá bí mật và tạo ra chứng chỉ cho phần khoá công của cặp khoá.

Người sử dụng tự tạo cặp khoá và đưa khoá công cho CA để CA tạo chứng chỉ cho khoá công đó. Chứng chỉ đảm bảo tính toàn vẹn của khoá công khai và các thông tin gắn cùng.

Thẩm tra (validation)Quá trình xác định liệu chứng chỉ đã đưa ra có thể được sử dụng đúng mục đích thích hợp hay không được xem như là quá trình kiểm tra tính hiệu lực của chứng chỉ. Quá trình này bao gồm một số bước sau:

• Kiểm tra xem liệu có đúng là CA được tin tưởng đã ký số lên chứng chỉ hay không
• Kiểm tra chữ ký số của CA trên chứng chỉ để kiểm tra tính toàn vẹn.
• Xác định xem chứng chỉ còn ở trong thời gian có hiệu lực hay không.
• Xác định xem chứng chỉ đã bị thu hồi hay chưa.
• Xác định xem chứng chỉ đang được sử dụng có đúng mục đích, chính sách, giới hạn hay không (bằng cách kiểm tra những trường mở rộng cụ thể như mở rộng chính sách chứng chỉ hay mở rộng việc sử dụng khoá).
• Hệ thống PKI thực hiện chức năng chứng thực, thẩm tra cùng với một số chức năng phụ trợ khác. Dưới đây là một số chức năng và dịch vụ được hầu hết các hệ thống PKI cung cấp. Một số những chức năng khác có thể được định nghĩa tuỳ theo yêu cầu cụ thể của các hệ thống PKI.

(Sưu tầm)