PKI

Що це означає

PKI, інфраструктура відкритих ключів, - це система центрів сертифікації, сертифікатів і ключів, що дає змогу перевірити, кому належить відкритий ключ. Кожен користувач має пару ключів: закритий він зберігає сам, відкритий входить до сертифіката, де особу власника підтверджує довірений центр.

На PKI тримаються HTTPS на сайтах, електронний підпис, шифрована пошта та сертифікати на eID-картці. Браузер чи програма довіряє сертифікату тому, що він підписаний центром зі списку довірених, а той своїм підписом ручається за перевірку власника.

У ЄС правові рамки PKI задає регламент eIDAS. Кваліфіковані надавачі довірчих послуг видають сертифікати, з якими кваліфікований електронний підпис має таку саму силу, як власноручний, в усіх державах-членах.

Як це працює на практиці

Підприємець стикається з PKI, підписуючи звернення до держорганів, договори та облікові документи, входячи до електронних сервісів і підтримуючи сайт. Строк дії сертифікатів обмежений, тому треба стежити за ним і вчасно подовжувати, інакше перестане працювати підпис чи сайт.

Для сайту достатньо звичайного SSL-сертифіката, часто безкоштовного й подовжуваного автоматично. Для підпису договорів і звернень потрібен кваліфікований сертифікат на смарт-картці або в пристрої віддаленого підпису. Різниця - у рівні перевірки особи та в юридичній силі.

Великі компанії мають власну внутрішню PKI для перевірки пристроїв у корпоративній мережі, VPN чи підпису внутрішніх документів. Управління закритими ключами центру сертифікації тоді критичне; воно належить до режиму привілейованого доступу та регулярного аудиту.

На що звернути увагу

Уся безпека PKI тримається на захисті закритого ключа. Якщо ключ потрапить до чужих рук, наприклад із погано захищеного комп'ютера, зловмисник зможе підписувати від імені власника. Скомпрометований сертифікат треба негайно відкликати в центрі, що його видав.

Під час архівування документів з електронним підписом слід враховувати, що сертифікати з часом спливають, а алгоритми застарівають. Для довгострокової доказовості використовують позначки часу та сервіси довготривалого архівування, щоб підпис можна було перевірити й через десять років.