česky | english
Sestavení řetězu certifikátů
Program, který potřebuje zjistit důvěryhodnost klientského nebo serverového certifikátu, musí sestavit řetěz certifikátů, který končí kořenovým certifikátem a/nebo takovým, který má výslovně zadanou důvěryhodnost pro daný program či systém.
Pokud se sestavovací algoritmus dostane až ke kořenovému certifikátu CA, je také možné, že tento certifikát není důvěryhodný, neboť nepatří ke "známým důvěryhodným kořenovým" certifikátům vydaným CA jako Thawte nebo VeriSign, ani nemá výslovně zadanou důvěryhodnost.
Postup (zdroj: Felix Dörre):
- Je-li certifikát výslovně důvěryhodný, tj. byl tak označen uživatelem nebo patří ke "známým důvěryhodným kořenovým" certifikátům, končí kontrola s výsledkem "důvěryhodný" - řetěz certifikátů je úspěšně sestaven.
- Pro všechny "rodiče", kde souhlasí vydavatel certifikátu uvedený v jejich "předmětu":
- ověřit podpis, platnost podle data expirace, odvolání podle CRL, řetězení
- a existuje-li "rodič", postupovat s ním znovu od (1) rekurzivně.
- Jinak kontrola končí s výsledkem "nedůvěryhodný" - řetěz certifikátů se nepodařilo sestavit.
Tedy pro certifikáty CAcert má být řetězec zpravidla tříčlánkový, případně dvoučlánkový, v závislosti na tom, zda je Váš klientský/serverový certifikát vydán/podepsán zprostředkujícím certifikátem třídy 3, nebo případně kořenovým certifikátem třídy 1.