Представьте, что вы создаете свой собственный центр сертификации, самый первый: кто подписывает ваш сертификат?
Чтобы понять весь процесс сертификации, нужно представить его как цепочку последствий: вам выдан сертификат. Стоит ли доверять этому? Либо вы можете доверять эмитенту, либо вы смотрите на сертификат и соглашаетесь с тем, что доверяете подписавшему. Если вы не знаете подписавшего, вы можете отправить его обратно подписавшему ТО и так далее. В конце концов, однако, вы получите самоподписанный сертификат.
Получение сертификата относительно дорого и может быть сложным, поэтому некоторые люди сами создают свои права подписи. Вам решать, можно ли им доверять.
Некоторые комментарии об этом стали немного глупыми. Вы не можете сделать сертификат без подписи, потому что сертификат, чтобы быть действительным сертификатом, должен иметь подпись. Вот как они определены. Вы также можете спросить, почему у вас не может быть числа с плавающей запятой без показателя степени. Сертификаты существуют так, что существует некоторый набор идентификационной информации и криптографический механизм для идентификации эмитента с целью определения доверия . Без подписи что-то важное для «сертификации» сертификата теряется.
Хорошо, давайте зададим еще несколько вопросов:
- Почему номер социального страхования состоит из 9 цифр? Почему вы не можете иметь 5-значный номер социального страхования?
- Почему почтовый адрес имеет этот глупый почтовый индекс?
- Неужели нам нужно оставить имя и фамилию человека?
Давайте попробуем еще раз. Что такое сертификат? Это структура данных, которая связывает имя с открытой стороной асимметричного ключа шифрования. Эта структура является «подписанной», что означает, что вы можете определить, была ли она изменена кем-либо, кроме владельца ключа подписи. Поскольку вы можете проверить эту подпись, у вас есть степень доверия к подлинности сертификата. Таким образом, действительный сертификат должен иметь проверяемую подпись.
«Доверие» в этом контексте означает, что вы готовы рискнуть, не выполнив то, за что несете ответственность, под чьим-либо авторитетом. Если у вас есть сертификат, который подписан известным CA, таким как Verisign, то лицом, которому вы доверяете, является Verisign; вы используете сертификат, полученный от них каким-либо заслуживающим доверия способом, чтобы убедиться, что они подписали рассматриваемый вами сертификат.
Когда у вас есть самоподписанный сертификат, а не тот, который подписан известным авторитетом, вы говорите, что готовы доверять самоподписавшемуся, если вы примете сертификат. Единственный авторитет, на котором вы можете основывать свою готовность принять, - это прямое доверие, которое вы оказываете самоподписывающему лицу. Но вы по крайней мере уверены, что сертификат не поврежден, потому что вы можете проверить подпись.
Итак, теперь рассмотрим сертификат без подписи. (Технически это называется «элемент данных».) Может содержать связь между именем и открытым ключом, но без подписи вы не можете быть уверены, что он не был изменен третьей участник.
Видите разницу? С подписанным сертификатом у вас есть согласованная доверенная третья сторона, полномочия которой принимают обе стороны. При наличии самозаверяющего сертификата нет третьей стороны, но вы можете быть уверены, что сертификат не был поврежден третьей стороной. Ему можно доверять столько же, сколько вы доверяете эмитенту сертификата: вы можете проверить, что он был выдан кем-то, у кого была другая сторона соответствующего ключа.
С неподписанным «сертификатом» у вас нет уверенности от доверенной третьей стороны в том, что сертификат был выдан нужному лицу, и у вас нет никаких гарантий, что «сертификат» после его выпуска не был изменен злонамеренным третьим лицом. Вот почему по определению сертификат должен иметь подпись.