Сертификат открытого ключа

Что такое сертификат открытого ключа?

Сертификат открытого ключа — это цифровой сертификат, который связывает открытый ключ с идентификатором: например, сайтом, организацией, устройством, пользователем, сервером или сервисом.

Проще говоря, он помогает подтвердить, что конкретный открытый ключ принадлежит организации или лицу, заявляющему о своих правах на него.

В глоссарии NIST сертификат открытого ключа описывается как цифровой документ, выданный центром сертификации и подписанный цифровой подписью, который связывает идентификатор подписчика с открытым ключом.

В общем определении сертификата NIST поясняется, что сертификат содержит открытый ключ сущности и подписывается цифровой подписью доверенной стороны, которая связывает этот ключ с сущностью.

Сертификаты открытых ключей — основная часть инфраструктуры открытых ключей (Public Key Infrastructure, PKI).

PKI — это система доверия, с помощью которой браузеры, приложения, серверы, кошельки, биржи, кастодиальные системы и корпоративные платформы определяют, можно ли доверять открытому ключу для конкретного идентификатора.

Сертификаты открытых ключей важны для пользователей криптовалют, поскольку многие важные действия начинаются на сайтах, при загрузке кошельков, через API, панели управления, порталы кастодиальных сервисов или инфраструктуру узлов.

Ключ блокчейн-кошелька подтверждает контроль над криптоактивами, а сертификат открытого ключа помогает подтвердить идентичность интернет-сервиса или системы, к которым подключается пользователь.

Это различие важно: сертификаты защищают уровень связи вокруг криптовалютных сервисов, а не приватный ключ, который непосредственно позволяет расходовать средства в блокчейне.

Как работает сертификат открытого ключа

Сертификат открытого ключа объединяет идентификатор, открытый ключ, сведения о сертификате и цифровую подпись доверенного издателя.

Доверенный издатель обычно называется центром сертификации, или CA.

Сайт, компания, устройство или пользователь сначала создает пару ключей: открытый и приватный.

Открытым ключом можно делиться, а приватный необходимо хранить в секрете.

Затем сущность запрашивает сертификат у центра сертификации или другого издателя.

Издатель проверяет личность сущности в соответствии с типом сертификата и правилами его выдачи.

После проверки издатель ставит цифровую подпись на сертификате, связывающем идентификатор с открытым ключом.

Получив сертификат, другая система проверяет подпись издателя, цепочку сертификатов, срок действия, домен или идентификатор, а также статус отзыва.

Если все проверки пройдены, система может считать, что открытый ключ принадлежит указанной сущности.

Этот процесс лежит в основе HTTPS-соединений, которыми пользователи пользуются при открытии сайтов о криптовалютах и интерфейсов кошельков.

Какие данные содержит сертификат открытого ключа?

Сертификат открытого ключа содержит структурированные данные, которые помогают программному обеспечению проверять идентификатор и назначение ключа.

В сертификате указан субъект — идентификатор, который он представляет.

В сертификате сайта субъект обычно связан с доменным именем.

В сертификате также указан открытый ключ субъекта.

В нем указан издатель — центр сертификации или орган, подписавший сертификат.

Также указывается период действия с датой начала и датой окончания.

В сертификат включен серийный номер, позволяющий однозначно его идентифицировать.

В нем указано назначение ключа, определяющее, как программное обеспечение может использовать открытый ключ сертификата.

В сертификате также содержится цифровая подпись издателя, позволяющая обнаружить внесенные изменения.

В стандарте IETF RFC 5280 определен формат сертификатов X.509 и списков отзыва сертификатов, используемых в интернет-системах PKI.

Сертификат открытого ключа и открытый ключ

Открытый ключ и сертификат открытого ключа — не одно и то же.

Открытый ключ — это криптографическое значение, которое в зависимости от системы можно использовать для проверки подписей, шифрования данных или согласования ключей.

Сертификат открытого ключа — это подписанная запись данных, подтверждающая, что конкретный открытый ключ принадлежит определенному идентификатору.

Сам по себе открытый ключ не сообщает пользователю, кому он принадлежит.

Сертификат содержит сведения об идентификаторе и доверенную подпись издателя.

Поэтому сертификаты полезны для сайтов, API, корпоративных серверов и кастодиальных систем.

Браузеру недостаточно получить только открытый ключ сайта.

Ему также необходимо убедиться, что ключ действительно принадлежит домену сайта, который посещает пользователь.

Сертификат помогает обеспечить такую уверенность благодаря модели доверия к центрам сертификации.

Без сертификатов злоумышленникам было бы проще предъявлять собственные открытые ключи, выдавая себя за настоящие криптосервисы.

Сертификат открытого ключа и открытый ключ криптокошелька

Открытый ключ криптокошелька обычно используется для проверки того, что транзакция в блокчейне подписана соответствующим приватным ключом.

Сертификат открытого ключа обычно подтверждает принадлежность открытого ключа реальному лицу, организации или системе.

Например, открытый ключ кошелька помогает проверить, что транзакция поступила от владельца кошелька.

Сертификат сайта помогает убедиться, что пользователь подключился к правильному домену перед загрузкой кошелька или использованием веб-приложения.

Большинству кошельков в публичных блокчейнах не нужен центр сертификации для создания адресов или подписания транзакций.

Пользователь может самостоятельно создать пару ключей кошелька, не запрашивая разрешение CA.

Это одна из причин, по которым публичные блокчейны могут быть открытыми и не требовать разрешения на участие.

При этом сайты, приложения, API и кастодиальные системы, работающие вокруг этих блокчейнов, часто используют сертификаты открытых ключей для защищенной связи через интернет.

В криптоиндустрии ключи кошелька подтверждают контроль над активами, а сертификаты открытых ключей помогают подтвердить идентичность сервиса.

И те и другие используют криптографию с открытым ключом, но решают разные задачи доверия.

Сертификат открытого ключа и HTTPS

Для защиты связи между браузером и сайтом HTTPS использует сертификаты открытых ключей.

Когда пользователь открывает криптосайт, сервер предъявляет браузеру сертификат TLS.

Браузер проверяет, подходит ли сертификат для данного домена, ведет ли его цепочка к доверенному центру сертификации и не истек ли срок его действия.

Если сертификат проходит проверку, браузер может установить с сервером зашифрованное TLS-соединение.

В объяснении Cloudflare о SSL-сертификатах говорится, что SSL-сертификаты обеспечивают работу HTTPS и содержат открытый ключ сайта и сведения о его идентификаторе.

Это важно, поскольку пользователи криптовалют часто взаимодействуют с системами, связанными с ценными активами, через веб-страницы.

Защищенное HTTPS-соединение помогает предотвращать чтение или изменение данных при передаче.

Однако HTTPS не доказывает, что криптопроект честен или токен безопасен.

HTTPS лишь помогает подтвердить, что у пользователя есть зашифрованное соединение с доменом, отображаемым в браузере.

У поддельного домена тоже может быть действительный сертификат.

Сертификат открытого ключа и центры сертификации

Центр сертификации — это организация, которая выдает сертификаты открытых ключей и подписывает их.

CA проверяет, контролирует ли заявитель домен, представляет ли организацию, владеет ли устройством или выполняет ли другое требование к идентификации.

Надежность такой проверки зависит от типа сертификата и политики его выдачи.

Сертификаты проверки домена обычно подтверждают контроль над доменом.

Сертификаты проверки организации дополнительно предусматривают проверку сведений об организации.

Ранее сертификаты расширенной проверки предполагали более строгую проверку идентичности, хотя со временем способы отображения таких сертификатов в браузерах изменились.

Во всех случаях задача CA — связать открытый ключ с идентификатором с помощью доверенной цифровой подписи.

Браузеры и операционные системы доверяют определенным корневым центрам сертификации, сведения о которых хранятся в хранилищах доверенных сертификатов.

Если цепочка сертификата ведет к доверенному корневому CA и проходит проверку, программное обеспечение может принять сертификат.

Такая цепочка доверия эффективна, но ошибки или компрометация центра сертификации могут привести к серьезным проблемам безопасности.

Цепочки сертификатов

Цепочка сертификатов связывает сертификат сайта или сервиса с доверенным корневым сертификатом.

Сертификат, используемый сайтом, часто называют конечным сертификатом или сертификатом конечной сущности.

Этот сертификат может быть подписан промежуточным центром сертификации.

Промежуточный CA может быть подписан другим промежуточным или корневым CA.

Корневому CA доверяют браузер, операционная система или хранилище доверенных сертификатов приложения.

Проверяя сертификат сайта, браузер строит и проверяет эту цепочку доверия.

Если какое-либо звено цепочки недействительно, просрочено, не заслуживает доверия или настроено неправильно, браузер может отклонить сертификат.

Для криптосервисов это важно: проблемы с цепочкой сертификатов могут закрыть пользователям доступ, нарушить работу API и подорвать доверие.

Криптокомпания может хорошо защищать смарт-контракты, но все равно подвергаться риску из-за плохого управления цепочками сертификатов.

Надлежащее управление цепочками сертификатов — часть профессиональной безопасности криптоинфраструктуры.

Сертификаты открытого ключа X.509

X.509 — наиболее распространенный формат сертификатов, используемый в интернет-инфраструктуре PKI и TLS.

В глоссарии NIST сертификат открытого ключа X.509 описывается как цифровой сертификат, содержащий открытый ключ, уникальное имя и другие данные, защищенные цифровой подписью центра сертификации, который выдал сертификат.

Большинство HTTPS-сертификатов, с которыми сталкиваются пользователи криптовалют, относятся к формату X.509.

Сертификаты X.509 используются на сайтах, в корпоративных сетях, VPN, системах защиты электронной почты, идентификации устройств и многих системах взаимодействия между компьютерами.

В криптоинфраструктуре сертификаты X.509 могут защищать панели управления, API, конечные точки узлов, сервисы подписания, порталы кастодиальных сервисов, системы институционального доступа и внутренние микросервисы.

Поэтому сертификаты X.509 важны, даже если сам блокчейн не использует их для обычных транзакций кошельков.

Веб-, прикладному и корпоративному уровням по-прежнему необходима идентификация на основе сертификатов.

Криптосистемы часто сочетают децентрализованный контроль над активами с традиционными средствами защиты интернета.

Сертификаты открытых ключей — одно из главных мест, где взаимодействуют эти два мира.

Сертификат открытого ключа и Certificate Transparency

Certificate Transparency — это публичная система журналирования, в которой фиксируется выдача сертификатов.

В объяснении DigiCert о Certificate Transparency CT описывается как система публичных журналов с возможностью добавления записей, фиксирующая выдачу TLS-сертификатов, чтобы выявлять и проверять мошеннические или ошибочно выданные сертификаты.

Certificate Transparency помогает владельцам доменов выявлять сертификаты, которые не должны были выдаваться для их доменов.

Это полезно для криптокомпаний, поскольку злоумышленники часто создают поддельные домены, похожие на настоящие, или пытаются незаконно использовать названия брендов.

Проект может отслеживать журналы CT, чтобы обнаруживать подозрительные сертификаты, связанные с его брендом или доменами.

Если появляется подозрительный сертификат, проект может быстрее провести расследование и предупредить пользователей.

CT не предотвращает весь фишинг: поддельный домен все равно может получить сертификат для самого себя.

Тем не менее CT повышает прозрачность выдачи сертификатов и упрощает аудит публичной инфраструктуры PKI.

Обычные пользователи криптовалют почти не замечают работу CT.

Для команд безопасности криптопроектов мониторинг CT может быть важным инструментом защиты бренда и противодействия фишингу.

Сертификат открытого ключа и отзыв

Отзыв сертификата — это признание его недействительным до обычного окончания срока действия.

Сертификат может потребоваться отозвать, если его приватный ключ украден, владелец домена изменился, сертификат был выдан ошибочно или сервис прекратил работу.

Отзыв важен, поскольку сертификат может оставаться действительным до конца срока, если клиенты не получат информацию о том, что ему больше нельзя доверять.

К распространенным системам отзыва относятся списки отозванных сертификатов и онлайн-проверка статуса сертификатов.

В криптоиндустрии отзыв может потребоваться, если скомпрометирован сертификат сайта, API, портала кастодиального сервиса или внутренней системы.

Завладев приватным ключом сертификата, злоумышленники могут попытаться выдать себя за сервис или перехватить защищенную связь.

Быстрый отзыв сертификата и его замена могут уменьшить ущерб.

Отзыв не обеспечивает полной защиты, поэтому организациям следует сочетать его с короткими сроками действия сертификатов, мониторингом, защитой ключей и планом реагирования на инциденты.

Криптокомпаниям следует заранее разработать план действий на случай чрезвычайной ситуации с сертификатами.

Сертификат открытого ключа и загрузка кошельков

Загрузка кошельков — один из важнейших этапов, на котором сертификаты открытых ключей помогают защищать пользователей криптовалют.

Если загрузить программное обеспечение кошелька с поддельного сайта, на устройство может попасть вредоносная программа, крадущая сид-фразы, подменяющая адреса или подписывающая нежелательные транзакции.

Действительный сертификат официального домена помогает браузеру установить защищенное соединение с настоящим сайтом.

Однако пользователям все равно необходимо проверять точное доменное имя.

Мошенники могут создать похожий домен и получить для него собственный действительный сертификат.

Значок замка в браузере не означает, что сайт принадлежит настоящему поставщику кошелька.

Он лишь означает, что соединение с отображаемым доменом зашифровано и сертификат прошел проверку.

Загружайте кошельки только из официальных источников, проверенных магазинов приложений или надежных репозиториев, на которые ведут ссылки в официальной документации.

Не используйте рекламные ссылки в поиске, ответы в соцсетях, личные сообщения и случайные зеркала для загрузки.

Защита сертификатами важна, но домен все равно необходимо проверять внимательно.

Сертификат открытого ключа и криптовалютные API

Криптовалютные API часто используют сертификаты открытых ключей для защиты связи между приложениями, серверами, узлами, поставщиками данных, платформами хранения активов и корпоративными системами.

API может предоставлять данные о ценах, передавать транзакции в сеть, показывать статус кошелька, одобрения кастодиальных операций, результаты проверок на соответствие требованиям, аналитику или доступ к узлам.

Если трафик API защищен недостаточно хорошо, злоумышленники могут перехватывать, изменять или подделывать ответы.

TLS-сертификаты помогают клиентам проверять, что они взаимодействуют с нужной конечной точкой API.

В системах с повышенными требованиями к безопасности организации могут использовать взаимный TLS.

При взаимном TLS сертификаты предъявляют и клиент, и сервер, чтобы проверить друг друга.

Этот подход полезен для институционального хранения активов, торговых операций, инфраструктуры валидаторов и внутренних сервисов, к которым не должно быть публичного доступа.

В таких системах сертификат открытого ключа становится частью управления идентификаторами компьютеров и сервисов.

Задача состоит в том, чтобы нужные системы обменивались данными только друг с другом.

Это может снизить риски подмены личности, перенаправления трафика и несанкционированного доступа.

Сертификат открытого ключа и системы хранения активов

Системам хранения криптоактивов необходимы надежные средства контроля идентификаторов, поскольку они управляют активами высокой стоимости и конфиденциальными операционными процессами.

Сертификаты открытых ключей могут защищать панели управления хранением активов, порталы одобрения операций, системы правил для транзакций, внутренние сервисы и защищенную связь между командами и компьютерами.

Провайдер хранения активов может использовать сертификаты для аутентификации серверов, шифрования связи и ограничения доступа между внутренними сервисами.

Сертификаты также могут обеспечивать защищенное подключение институциональных пользователей.

Это не относится к ключам подписания кошелька, которыми непосредственно авторизуются транзакции в блокчейне.

У платформы хранения активов могут быть TLS-сертификаты, сертификаты для подписания кода, административные ключи, ключи подписания кошельков, ключи восстановления и API-ключи.

Каждый тип ключа выполняет свою задачу и связан со своими рисками.

Путаница между ключами сертификатов и ключами контроля над активами может привести к плохо спроектированной системе безопасности.

В надежной системе управления хранением сертификаты управляются отдельно от приватных ключей кошельков.

Обе системы необходимо защищать, контролировать и обновлять ключи в соответствии со строгими правилами.

Сертификат открытого ключа и валидаторы

Валидаторы и операторы узлов могут использовать сертификаты открытых ключей для защиты операционной инфраструктуры.

В протоколе консенсуса блокчейна могут применяться собственные ключи валидаторов, но для окружающей инфраструктуры по-прежнему нужна защищенная связь.

Валидатор может использовать панели мониторинга, инструменты удаленного доступа, конечные точки API, системы оповещений, балансировщики нагрузки и внутреннюю автоматизацию.

Сертификаты помогают защищать эти сервисы от подмены и перехвата данных.

Например, оператор может использовать TLS-сертификаты для закрытой панели управления или взаимный TLS для связи между внутренними сервисами.

Это не заменяет ключ консенсуса валидатора или ключ для вывода средств.

Сертификаты защищают инфраструктуру, необходимую для безопасной работы валидатора.

Компрометация сертификата инфраструктуры может не позволить злоумышленнику непосредственно подписывать блоки, но все равно поможет ему атаковать операционные процессы.

Профессиональным валидаторам следует включить управление сертификатами в общую программу управления ключами.

Надежная защита валидатора включает и безопасность блокчейн-ключей, и безопасность интернет-инфраструктуры.

Сертификат открытого ключа и смарт-контракты

Для обычного выполнения смарт-контрактов в публичном блокчейне сертификаты открытых ключей, как правило, не требуются.

Смарт-контракт проверяет подписи, состояние сети и правила, заданные в его коде.

Обычно он не обращается к веб-центру сертификации, чтобы проверить действительность адреса кошелька.

Однако сертификаты открытых ключей могут быть важны для инфраструктуры вокруг приложений на базе смарт-контрактов.

Пользователи часто взаимодействуют с децентрализованными приложениями через сайты, использующие HTTPS-сертификаты.

Разработчики публикуют документацию, отчеты об аудитах, интерфейсы, панели управления и API на доменах, защищенных сертификатами.

Оракулы и офчейн-сервисы могут использовать TLS-сертификаты для связи с поставщиками данных или внутренними системами.

Смарт-контракт может быть децентрализованным, а окружающий его пользовательский интерфейс — зависеть от веб-инфраструктуры открытых ключей.

Поэтому взлом интерфейса и поддельные домены представляют серьезную угрозу для пользователей криптовалют.

Даже если смарт-контракт работает правильно, поддельный или взломанный сайт может обманом заставить пользователей подписать опасные транзакции.

Сертификат открытого ключа и подписание кода

Подписание кода связано с сертификатами открытых ключей: издатели программного обеспечения могут использовать сертификаты для подписания приложений, обновлений, скриптов и установочных файлов.

Сертификат для подписания кода помогает пользователям и операционным системам проверить, что программное обеспечение выпущено заявленным издателем и не изменялось после подписания.

Для криптокошельков подписание кода может снизить риск использования измененного программного обеспечения.

Однако подпись кода не доказывает, что в программе нет ошибок.

Она помогает подтвердить только идентичность издателя и целостность подписанного пакета программного обеспечения.

Злонамеренный издатель все равно может подписать вредоносную программу собственным сертификатом.

Даже добросовестный издатель может случайно выпустить уязвимое программное обеспечение.

Проверку подписи кода следует сочетать с загрузкой из официальных источников, проверкой контрольных сумм при их наличии, изучением публичных релизов, аудитами и отзывами сообщества.

Криптопроектам необходимо тщательно защищать приватные ключи для подписания кода: их кража может привести к крайне серьезным последствиям.

Скомпрометированный сертификат подписи может сделать вредоносную программу более убедительной, чем она должна быть.

Сертификат открытого ключа и фишинг

Сертификаты открытых ключей помогают снизить риск фишинга, но не устраняют его полностью.

Фишинговый сайт может получить действительный сертификат для собственного обманного домена.

Например, поддельная страница кошелька может использовать домен, похожий на название настоящего проекта.

Браузер все равно может отображать HTTPS, поскольку сертификат действителен для поддельного домена.

Поэтому не следует полагаться только на значок замка.

Проверяйте написание и структуру домена, используйте закладки, сверяйтесь с официальными каналами проекта и проверенной документацией.

Будьте особенно осторожны с сайтами, которые требуют ввести сид-фразу, приватный ключ, фразу восстановления или срочно выполнить перенос кошелька.

Обычный сертификат открытого ключа не может защитить пользователя, который передал сид-фразу поддельной странице.

Сертификаты защищают соединения и помогают связать ключ с идентификатором, но не оценивают честность компании или безопасность транзакции.

Для защиты от фишинга нужны проверка сертификатов и домена, внимательное изучение запросов кошелька и соблюдение правил безопасности.

Сертификат открытого ключа и срок действия

У сертификатов открытых ключей есть срок действия.

Срок действия ограничивает период, в течение которого сертификат можно считать надежным без продления.

После окончания срока браузеры и клиенты могут показывать предупреждения или блокировать доступ.

Для криптосервиса просроченный сертификат может вызвать недоумение у пользователей, сбои API, проблемы с подключением кошельков, оповещения систем мониторинга или перерыв в работе сервиса.

Пользователи могут решить, что сервис взломан, хотя на самом деле проблема вызвана сбоем в операционной работе.

Криптокомпаниям следует по возможности автоматизировать продление сертификатов.

Необходимо отслеживать сроки действия и проверять процессы продления до истечения сертификатов.

Также следует подготовить резервные сертификаты и процедуры реагирования для критически важных сервисов.

Просроченный сертификат может показаться мелкой проблемой, но он способен серьезно нарушить работу, когда пользователям нужно получить доступ к средствам, провести транзакции или одобрить операции по хранению активов.

Надлежащее управление сертификатами — часть доверия пользователей.

Сертификат открытого ключа и постквантовая криптография

По мере роста значимости постквантовой криптографии сертификаты открытых ключей, возможно, придется адаптировать.

Во многих современных системах сертификатов используются алгоритмы с открытым ключом, например RSA или криптография на эллиптических кривых.

В будущем мощные отказоустойчивые квантовые компьютеры могут поставить под угрозу некоторые из этих алгоритмов.

Постквантовая криптография разрабатывает алгоритмы, предназначенные для противодействия атакам как на классических, так и на квантовых компьютерах.

Квантовые риски для пользователей криптовалют часто обсуждают в связи с подписями кошельков, но важны и сертификаты.

Сайты, API, порталы кастодиальных сервисов, институциональные соединения, панели управления валидаторов и системы подписания кода — все они зависят от инфраструктуры открытых ключей.

Для перехода на постквантовые технологии понадобятся новые алгоритмы сертификатов, обновленные клиенты, сертификаты большего размера, проверка совместимости и тщательное планирование миграции.

Криптокомпаниям следует проектировать инфраструктуру с учетом возможности замены криптографических алгоритмов по мере развития стандартов и программного обеспечения.

Пользователям пока не нужно паниковать, но серьезным инфраструктурным командам следует готовиться к долгосрочным изменениям в криптографии.

Защита криптоинфраструктуры с учетом будущих угроз включает планирование перехода на постквантовые технологии как для кошельков, так и для сертификатов.

Преимущества сертификатов открытых ключей

Первое преимущество сертификатов открытых ключей — привязка ключа к идентификатору.

Сертификат проверяемым способом связывает открытый ключ с конкретным идентификатором.

Второе преимущество — защищенная связь.

Сертификаты поддерживают TLS, который помогает шифровать интернет-трафик и аутентифицировать серверы.

Третье преимущество — масштабируемая система доверия.

Браузеры и другие системы могут доверять множеству сервисов благодаря цепочкам сертификатов и доверенным корневым центрам.

Четвертое преимущество — целостность программного обеспечения.

Сертификаты для подписания кода помогают проверить, что загруженное программное обеспечение не изменялось после подписания.

Пятое преимущество — идентификация компьютеров и сервисов.

Сертификаты позволяют идентифицировать серверы, устройства, рабочие нагрузки, API и внутренние сервисы.

Шестое преимущество — возможность отзыва.

Скомпрометированные или ошибочные сертификаты можно пометить как недействительные до окончания обычного срока действия.

Седьмое преимущество — возможность аудита.

Журналы Certificate Transparency упрощают мониторинг выдачи публичных сертификатов.

Ограничения сертификатов открытых ключей

Первое ограничение состоит в том, что сертификаты зависят от доверенных издателей.

Если центр сертификации ошибется или будет скомпрометирован, система доверия может ослабнуть.

Второе ограничение: сертификат не доказывает, что криптопроект является легитимным.

Он лишь помогает подтвердить, что открытый ключ связан с указанным идентификатором или доменом.

Третье ограничение — фишинг.

Для поддельного домена тоже может быть выдан действительный сертификат.

Четвертое ограничение — сложность операционного управления.

Сертификаты необходимо правильно получать, продлевать, отслеживать, отзывать и защищать.

Пятое ограничение — риски, связанные с приватным ключом.

Если приватный ключ сертификата украден, злоумышленники могут выдавать себя за сервис до замены сертификата и его отзыва.

Шестое ограничение — непонимание пользователей.

Многие считают, что значок замка означает безопасность сайта, хотя он может лишь сообщать, что соединение с данным доменом зашифровано.

Седьмое ограничение — необходимость перехода на новые криптографические алгоритмы в будущем.

Системы сертификатов должны адаптироваться по мере устаревания алгоритмов или появления новых угроз.

Как пользователям криптовалют проверять сертификаты

Прежде чем доверять странице с сертификатом, проверьте точное доменное имя.

Будьте осторожны с доменами, похожими на настоящие, дополнительными словами, замененными буквами, необычными поддоменами и рекламными результатами поиска.

Серьезно относитесь к предупреждениям браузера о сертификатах, особенно на страницах кошельков, кастодиальных сервисов и транзакций.

Не вводите сид-фразы, приватные ключи или слова восстановления на сайте только потому, что он использует HTTPS.

После проверки по официальной документации добавьте официальные сайты криптопроектов в закладки.

Загружайте приложения кошельков только из официальных источников и проверенных магазинов приложений.

Помните, что сертификаты защищают связь, но не делают инвестиционные заявления правдивыми.

Проверяйте адреса смарт-контрактов, контракты токенов и запросы кошелька отдельно от сертификатов сайтов.

Сертификат помогает подтвердить соединение с сайтом, но не доказывает безопасность токена или безвредность транзакции.

Для безопасного использования криптовалют необходимы знания и о безопасности в интернете, и о транзакциях в блокчейне.

Рекомендации для криптопроектов

Криптопроектам следует вести реестр всех публичных и внутренних сертификатов.

Необходимо автоматизировать продление сертификатов и отслеживать сроки их действия.

Приватные ключи сертификатов следует защищать с помощью строгого контроля доступа и надежного хранения.

Для обнаружения подозрительной выдачи сертификатов для связанных доменов следует использовать мониторинг Certificate Transparency.

После предполагаемой компрометации ключа необходимо оперативно отозвать сертификаты и заменить их.

Используйте понятные официальные домены и избегайте запутанной структуры доменных имен.

Объясняйте пользователям, что HTTPS необходим, но сам по себе не подтверждает безопасность.

Храните ключи сертификатов отдельно от ключей подписания кошельков, казначейских ключей, ключей валидаторов и ключей для подписания кода.

Для конфиденциальных API и институциональных систем рассмотрите использование взаимного TLS.

Планируйте переход на постквантовые сертификаты по мере развития стандартов, браузеров и инфраструктуры.

Распространенные заблуждения о сертификатах открытых ключей

Одно из распространенных заблуждений заключается в том, что сертификат открытого ключа — это то же самое, что открытый ключ криптокошелька.

Открытый ключ кошелька помогает проверять подписи в блокчейне, а сертификат связывает открытый ключ с идентификатором через доверенного издателя.

Еще одно заблуждение — действительный сертификат доказывает честность сайта.

Действительный сертификат лишь помогает подтвердить, что соединение зашифровано, а сертификат выдан для отображаемого домена.

Еще одно заблуждение — значок замка в браузере означает, что запрос кошелька безопасен.

Даже защищенный сайт может предложить пользователю подписать опасную транзакцию.

Еще одно заблуждение — сертификаты открытых ключей непосредственно защищают сид-фразы.

Сертификаты защищают связь, а безопасность сид-фразы зависит от действий пользователя, устройства кошелька и способов хранения.

Еще одно заблуждение — сертификаты относятся только к сайтам.

Сертификаты также важны для API, устройств, валидаторов, подписания кода, систем хранения активов, корпоративного доступа и внутренней криптоинфраструктуры.

Часто задаваемые вопросы

Что означает термин «сертификат открытого ключа»?

Сертификат открытого ключа — это подписанный цифровой документ, который связывает открытый ключ с таким идентификатором, как сайт, организация, устройство, пользователь или сервис.

Почему сертификаты открытых ключей важны для криптовалют?

Они важны, поскольку пользователи криптовалют и компании используют защищенные сайты, API, загрузки кошельков, порталы кастодиальных сервисов, инструменты для валидаторов и корпоративные системы.

Сертификат открытого ключа и открытый ключ кошелька — это одно и то же?

Нет. Открытый ключ кошелька помогает проверять подписи в блокчейне, а сертификат открытого ключа связывает ключ с идентификатором через доверенного издателя.

Что содержится в сертификате открытого ключа?

Обычно сертификат содержит идентификатор субъекта, открытый ключ, сведения об издателе, серийный номер, срок действия, информацию о назначении ключа и цифровую подпись издателя.

Что такое сертификат X.509?

Сертификат X.509 — это стандартный формат сертификата открытого ключа, который обычно используется для TLS, HTTPS и интернет-инфраструктуры PKI.

Что такое центр сертификации?

Центр сертификации — это доверенная организация, которая проверяет запросы на выдачу сертификатов и подписывает сертификаты, связывающие идентификаторы с открытыми ключами.

Означает ли HTTPS, что криптосайт безопасен?

Нет. HTTPS означает, что соединение с отображаемым доменом зашифровано и сертификат прошел проверку, но не доказывает безопасность проекта, токена или транзакции.

Может ли у фишингового сайта быть сертификат открытого ключа?

Да. Фишинговый сайт может иметь действительный сертификат для собственного обманного домена, поэтому пользователям необходимо проверять точное доменное имя.

Что такое отзыв сертификата?

Отзыв сертификата — это процесс признания его недействительным до обычного окончания срока действия.

Что такое Certificate Transparency?

Certificate Transparency — это публичная система журналирования выдачи TLS-сертификатов, которая упрощает обнаружение подозрительных или ошибочно выданных сертификатов.

Нужны ли публичным блокчейнам сертификаты открытых ключей для транзакций кошельков?

Большинству публичных блокчейнов сертификаты открытых ключей для обычных транзакций кошельков не нужны, поскольку они математически проверяют подписи с помощью ключей кошелька.

Какую главную ошибку совершают пользователи при проверке сертификатов?

Главная ошибка — считать, что значок замка или действительный сертификат подтверждает легитимность сайта, хотя домен и запрос на проведение транзакции все равно необходимо проверять.

Заключение

Сертификат открытого ключа — это инструмент цифрового доверия, связывающий открытый ключ с идентификатором посредством подписанного сертификата.

Он является одним из основных компонентов инфраструктуры открытых ключей и защищенной связи через интернет.

В криптоиндустрии сертификаты открытых ключей обычно не управляют активами непосредственно в блокчейне.

Вместо этого они защищают сайты, API, загрузки кошельков, порталы кастодиальных сервисов, панели управления валидаторов, корпоративные системы и каналы распространения программного обеспечения, которые используются при работе с блокчейном.

Важно различать открытый ключ кошелька и сертификат открытого ключа.

Открытый ключ кошелька помогает проверять авторизацию в блокчейне, а сертификат — подтверждать идентичность и защищать связь на уровне интернета и инфраструктуры.

Сертификаты открытых ключей дают важные преимущества: HTTPS, цепочки сертификатов, привязку ключей к идентификаторам, отзыв, подписание кода, идентификацию компьютеров и сервисов и Certificate Transparency.

Однако у них есть ограничения: фишинговые домены тоже могут использовать сертификаты, центры сертификации могут ошибаться, приватные ключи могут быть скомпрометированы, а пользователи могут неверно трактовать сигналы безопасности браузера.

Проще всего понять роль сертификата открытого ключа в криптоиндустрии так: он помогает подтвердить, какому онлайн-сервису или системе принадлежит открытый ключ, прежде чем пользователь доверит этому сервису действия, связанные с криптовалютой.

Для надежной защиты криптоактивов нужны и безопасные ключи блокчейна, и заслуживающая доверия связь, защищенная сертификатами.