Инфраструктура открытых ключей

Что такое инфраструктура открытых ключей?

Инфраструктура открытых ключей, часто сокращенно называемая PKI, — это система технологий, правил, процессов и доверенных сторон, используемая для выпуска, управления, проверки и отзыва цифровых сертификатов.

В криптовалютной сфере PKI важна, поскольку помогает защищать сайты, приложения-кошельки, API, валидаторов, системы хранения активов, институциональные панели управления, инструменты для разработчиков и другие сервисы, которыми пользователи пользуются еще до подписания ончейн-транзакции.

В определении инфраструктуры открытых ключей NIST PKI описывается как система, созданная для выпуска, поддержания и отзыва сертификатов открытых ключей.

Сертификат открытого ключа — это цифровая запись, связывающая открытый ключ с идентификатором, например доменом сайта, организацией, человеком, сервером, устройством или сервисом.

В глоссарии NIST о сертификатах объясняется, что сертификат содержит открытый ключ субъекта и заверяется цифровой подписью доверенной стороны, связывающей этот ключ с субъектом.

Проще говоря, PKI помогает ответить на важный вопрос: можно ли доверять тому, что этот открытый ключ принадлежит человеку, сайту, сервису или организации, которую он представляет?

Это отличается от базовой модели владения в блокчейне, где приватный ключ контролирует средства, а сеть проверяет подписи без участия центра сертификации.

PKI в большей степени связана с идентификацией, аутентификацией, зашифрованной коммуникацией и управлением доверием между системами.

Пользователи криптовалют обычно не замечают PKI, однако она входит в инфраструктуру безопасности сайтов HTTPS, загрузок кошельков, подключений к API, облачных систем, порталов хранения активов и корпоративных блокчейн-сервисов.

Как работает инфраструктура открытых ключей

PKI использует криптографию с открытым ключом вместе с цифровыми сертификатами и доверенными центрами сертификации.

Пользователь, сервер, организация или устройство создают пару открытого и приватного ключей.

Приватный ключ хранится в секрете, а открытый можно передавать.

Центр сертификации, часто называемый CA, проверяет личность заявителя на сертификат согласно установленным правилам.

После проверки CA подписывает цифровой сертификат, который связывает личность заявителя с его открытым ключом.

Получив сертификат, другая система может проверить цифровую подпись CA и решить, заслуживает ли сертификат доверия.

Если сертификат действителен, не просрочен и не отозван, система может использовать содержащийся в нем открытый ключ для установления защищенного соединения или проверки подписей.

Так устроена базовая модель доверия, лежащая в основе HTTPS.

В проекте Certificate Transparency объясняется, что Web PKI включает все необходимое для выпуска и проверки сертификатов, используемых в веб-протоколе TLS.

Для криптовалютных пользователей это означает, что PKI помогает убедиться в подключении к нужному сайту или сервису перед загрузкой кошелька, изучением документации, использованием API или открытием торгового интерфейса.

Почему PKI важна для криптовалютной сферы

PKI важна для криптовалютной сферы, поскольку многие потери происходят еще до того, как задействуется блокчейн.

Пользователь может посетить поддельный сайт, загрузить вредоносный кошелек, подключиться к фишинговой странице или довериться поддельному адресу API.

PKI помогает снизить эти риски, обеспечивая зашифрованную и аутентифицированную связь между пользователями и настоящими онлайн-сервисами.

Когда пользователь открывает сайт по HTTPS, браузер проверяет TLS-сертификат сайта в процессе установления защищенного соединения.

Если сертификат недействителен, просрочен, выпущен ошибочно или не вызывает доверия, браузер может показать предупреждение.

Такое предупреждение может уберечь пользователей от ввода паролей, API-ключей, сид-фраз или персональных данных на поддельном или небезопасном сайте.

PKI не делает криптовалютный сайт честным и не подтверждает безопасность токена или проекта.

Она лишь помогает подтвердить, что соединение зашифровано, а сертификат выдан для заявленной идентичности.

Это различие важно: мошеннический сайт тоже может иметь действительный TLS-сертификат для собственного домена.

PKI — важный уровень безопасности, но она не дает полной гарантии доверия.

Инфраструктура открытых ключей и публичные ключи блокчейна

PKI и публичные ключи блокчейна — связанные, но не одинаковые понятия.

Публичный ключ блокчейна обычно является частью пары ключей кошелька, которая используется для проверки подписей транзакций.

В официальной документации Ethereum об аккаунтах объясняется, что внешний аккаунт состоит из пары публичного и приватного ключей, а транзакции подписываются приватным ключом.

В документации о кошельках из руководства Bitcoin Developer Guide поясняется, что программы-кошельки создают публичные ключи для получения биткоина и используют соответствующие приватные ключи для его отправки.

В этих блокчейн-системах публичный ключ помогает проверить, что транзакция подписана соответствующим приватным ключом.

PKI добавляет еще один уровень: она позволяет установить, связан ли публичный ключ с реальной или системной идентичностью посредством цифрового сертификата.

Обычному адресу блокчейн-кошелька, как правило, не нужен сертификат CA для получения или отправки средств.

Блокчейн математически проверяет подписи, а не спрашивает центр сертификации, одобрена ли идентичность владельца кошелька.

Поэтому пользователи криптовалют могут создавать кошельки без регистрации в центральном органе PKI.

Однако криптовалютные сервисы, работающие через сайты, приложения, API, корпоративные узлы и порталы хранения активов, часто используют PKI для защиты коммуникационного уровня вокруг кошельков и систем.

Основные компоненты PKI

Первый ключевой компонент PKI — центр сертификации.

Центр сертификации — это доверенная организация, которая выпускает и подписывает цифровые сертификаты.

Второй компонент — регистрационный центр.

Регистрационный центр может проверять личность заявителя до выдачи сертификата.

Третий компонент — сам цифровой сертификат.

Цифровой сертификат содержит такие сведения, как открытый ключ, идентификатор субъекта, издатель, срок действия, разрешенные способы использования и цифровая подпись выдавшего его CA.

Четвертый компонент — связанный с сертификатом приватный ключ.

Приватный ключ необходимо защищать, поскольку он подтверждает контроль над открытым ключом сертификата.

Пятый компонент — отзыв сертификатов.

Отзыв — это процесс признания сертификата недействительным до истечения обычного срока его действия.

Шестой компонент — хранилище доверенных сертификатов.

Хранилище доверенных сертификатов — это список доверенных корневых сертификатов, используемый браузерами, операционными системами, устройствами или приложениями.

Центры сертификации

Центр сертификации — это доверенный издатель в системе PKI.

Подписывая сертификат, CA подтверждает, что проверил его согласно установленным правилам.

В открытой Web PKI браузеры и операционные системы хранят списки доверенных корневых CA.

Если сертификат сайта ведет к доверенному корневому CA и проходит проверку, браузер может принять его.

Эта цепочка доверия лежит в основе работы HTTPS.

Однако CA также может стать источником риска: скомпрометированный или небрежный центр сертификации может выдать некорректные сертификаты.

В стандарте IETF RFC 5280 для PKI на основе X.509 отмечается, что поддельные сертификаты и списки отозванных сертификатов могут подорвать доверие к системе.

Поэтому в современных системах PKI используются строгие технические меры контроля, аудиты, прозрачность сертификатов, механизмы отзыва и правила браузеров.

Для криптовалютных компаний тщательный выбор сертификатов, управление ими и мониторинг входят в обеспечение безопасности инфраструктуры.

Цифровые сертификаты

Цифровой сертификат можно представить как машиночитаемый документ, подтверждающий идентичность открытого ключа.

Он указывает, что определенный открытый ключ принадлежит определенной идентичности в соответствии с полномочиями выдавшего его CA.

Для сайта сертификат обычно связывает открытый ключ с доменным именем.

В корпоративной системе сертификат может связывать ключ с устройством, сервисом, пользователем, рабочей нагрузкой, адресом валидатора или внутренним приложением.

В объяснении DigiCert о цифровых сертификатах говорится, что центры сертификации выдают такие учетные данные для подтверждения онлайн-идентичности и защиты передаваемых данных.

В криптовалютной инфраструктуре сертификаты могут защищать панели управления, системы хранения активов, API, конечные точки удаленного вызова процедур, инструменты управления узлами, внутренние платформы разработчиков и системы соответствия требованиям.

Сертификат не доказывает, что бизнес-модель криптовалютного сервиса хороша.

Он подтверждает, что открытый ключ сертифицирован для указанной идентичности по правилам CA.

Эта ограниченная, но важная функция делает сертификаты одним из основных элементов безопасного доступа к криптовалютным сервисам в интернете.

TLS, HTTPS и криптовалютные сайты

TLS — протокол безопасности, используемый для защиты HTTPS-соединений.

Когда пользователь открывает криптовалютный сайт по HTTPS, браузер и сервер выполняют TLS-рукопожатие.

В ходе этого процесса сервер предъявляет сертификат, чтобы браузер мог проверить подлинность сервера и установить зашифрованное соединение.

Это помогает не допустить чтения или изменения данных между пользователем и сайтом злоумышленниками.

Для пользователей криптовалют HTTPS особенно важен: если соединение не защищено, загрузки кошельков, панели транзакций, документация, формы и страницы аккаунта могут раскрыть конфиденциальную информацию.

HTTPS не означает, что сайт легитимен во всех отношениях.

Фишинговый домен тоже может использовать HTTPS, если получит действительный сертификат для этого домена.

Поэтому пользователям следует проверять как наличие защищенного соединения, так и точное доменное имя.

Действительный сертификат поддельного домена не делает его безопасным.

PKI защищает соединение, но пользователи должны сами проверять, к какому сайту подключаются.

Отзыв сертификатов

Отзыв сертификата — это признание его недействительным до истечения срока действия.

Сертификат может потребоваться отозвать, если приватный ключ украден, домен сменил владельца, сертификат выдан ошибочно или организация больше не контролирует указанную идентичность.

Отзыв важен, поскольку срок действия сертификатов может составлять дни, месяцы или более длительный период.

Если скомпрометированный сертификат остается доверенным до естественного истечения срока действия, злоумышленники могут выдавать себя за сервис.

Системы PKI используют списки отозванных сертификатов и онлайн-проверки статуса, чтобы помочь клиентам определить, остается ли сертификат действительным.

В криптовалютной инфраструктуре отзыв сертификата может иметь значение, если скомпрометированы сайт кошелька, конечная точка API, панель валидатора, портал хранения активов или внутренняя панель администратора.

Своевременный отзыв может сократить период, в течение которого злоумышленники способны использовать украденные ключи сертификатов.

Однако системы отзыва не идеальны и должны дополняться мониторингом, реагированием на инциденты и управлением жизненным циклом сертификатов.

Надежная криптовалютная организация должна уметь быстро отзывать и заменять сертификаты в чрезвычайной ситуации.

Прозрачность сертификатов

Certificate Transparency, или CT, — это публичная система регистрации сертификатов.

CT помогает владельцам доменов, браузерам, исследователям и специалистам по безопасности выявлять сертификаты, которые не следовало выдавать.

В проекте Certificate Transparency объясняется, что CT входит в более широкую экосистему Web PKI и поддерживает выпуск и проверку TLS-сертификатов.

В статье Cloudflare 2025 года о журнале Certificate Transparency объясняется, что CT создает общедоступный журнал аудита сертификатов, выданных публичными CA.

Это полезно для криптовалютных компаний, поскольку злоумышленники могут попытаться получить вводящие в заблуждение сертификаты для доменов, похожих на настоящие домены проектов.

Мониторинг журналов CT помогает команде раньше замечать подозрительную выдачу сертификатов.

Например, провайдер кошелька может отслеживать домены, похожие на его настоящий адрес сайта.

При обнаружении подозрительного сертификата команда может провести расследование, предупредить пользователей, запросить удаление сайта или усилить защиту.

CT не предотвращает все фишинговые атаки, но повышает прозрачность системы доверия, аудит которой раньше был намного сложнее.

PKI и загрузка кошельков

Загрузка кошельков — один из важнейших сценариев использования PKI в криптовалютной сфере.

Если пользователь загрузит программу-кошелек с неправильного сайта, он может установить вредоносное ПО, которое крадет сид-фразы или подменяет адреса для получения средств.

PKI помогает защитить процесс загрузки благодаря поддержке HTTPS на официальном сайте и сертификатам подписи кода для некоторых каналов распространения программ.

Подпись кода — связанный механизм доверия: программа подписывается цифровой подписью, чтобы пользователи или операционные системы могли проверить издателя и обнаружить изменения.

Безопасная загрузка должна предусматривать правильный домен сайта, действительный сертификат, официальные каналы выпуска, контрольные суммы, если они предоставлены, и понятные инструкции для пользователей.

Не следует загружать кошельки по рекламным ссылкам в поиске, случайным ссылкам в соцсетях, с файлообменников или из личных сообщений.

PKI может помочь подтвердить безопасность соединения, но не защитит пользователя, который намеренно загружает программу с сайта-подделки.

Лучше добавить официальные сайты кошельков в закладки и тщательно проверять домен перед загрузкой любых файлов.

PKI и криптовалютные API

Криптовалютные приложения часто используют API для получения данных о ценах и аккаунтах, доступа к узлам, операций хранения активов, проверок на соответствие требованиям, аналитики и отправки транзакций.

PKI помогает защищать связь через API, проверяя подлинность серверов и шифруя трафик.

Без надежной проверки сертификатов злоумышленник может попытаться перехватить или изменить ответы API.

Это опасно, если приложение использует данные API для отображения балансов, формирования инструкций для транзакций, оценки комиссий или принятия автоматизированных решений.

В корпоративных криптовалютных системах может использоваться взаимный TLS, при котором сертификаты предъявляют и клиент, и сервер.

Взаимный TLS помогает убедиться, что взаимодействуют только одобренные системы.

Это полезно для платформ хранения активов, институциональных торговых систем, операторов узлов и инфраструктуры соответствия требованиям.

В таком контексте PKI становится частью управления машинными идентификаторами.

Задача состоит не только в защите людей, но и в защите связи между серверами, устройствами, рабочими нагрузками и внутренними сервисами.

PKI и валидаторы

Валидаторы и операторы узлов могут использовать PKI для защиты инфраструктуры, даже если в самом протоколе консенсуса блокчейна применяются отдельные криптографические ключи.

У валидатора могут быть ключи консенсуса, ключи вывода средств, ключи кошелька, ключи SSH, TLS-сертификаты, учетные данные мониторинга и облачные учетные данные.

Эти ключи выполняют разные задачи, и их не следует путать.

PKI может защищать панели управления валидаторов, системы оповещений, средства удаленного администрирования, балансировщики нагрузки, внутренние API и защищенную связь между компонентами инфраструктуры.

Например, оператор валидатора может использовать сертификаты для защиты частного интерфейса мониторинга.

Блокчейну может быть безразличен такой TLS-сертификат, но он важен для безопасности инфраструктуры оператора.

Компрометация панели администратора может привести к простою, риску слэшинга, краже ключей или сбоям в работе — в зависимости от сети и конфигурации.

Поэтому PKI входит в общий комплекс мер по защите профессиональной криптовалютной инфраструктуры.

PKI и корпоративный блокчейн

Корпоративные блокчейн-системы часто нуждаются в идентификации, контроле доступа, возможности аудита и защищенной связи между известными участниками.

PKI может помочь в решении этих задач, выдавая сертификаты организациям, узлам, пользователям, API и сервисам.

В блокчейн-средах с ограниченным доступом сертификаты могут помогать определять, какие участники вправе запускать узлы, отправлять транзакции, обращаться к закрытым каналам или управлять административными сервисами.

Это отличается от открытых публичных блокчейнов, где любой желающий может создать пару ключей кошелька без обращения в CA.

В корпоративной среде часто требуется более строгая идентификация, поскольку участниками могут быть банки, компании, государственные учреждения, аудиторы, поставщики или регулируемые сервис-провайдеры.

PKI подходит для такой среды, поскольку позволяет связывать ключи с проверенными организационными идентификаторами.

Однако использование PKI также вызывает вопросы управления.

Сеть должна определить, кто контролирует CA, как выдаются сертификаты, как работает отзыв и что происходит при компрометации ключей организации.

Конфигурация PKI в сети с ограниченным доступом может существенно повлиять на ее безопасность и степень децентрализации.

PKI и децентрализованная идентификация

PKI обычно основана на центрах сертификации и иерархической модели доверия.

Системы децентрализованной идентификации стремятся уменьшить зависимость от централизованных издателей, используя идентификаторы, проверяемые учетные данные, кошельки и блокчейн- или распределенные реестры данных.

Эти две модели могут пересекаться, поскольку обе работают с ключами, идентификацией, подписями и доверием.

Однако они отвечают на вопросы доверия по-разному.

PKI обычно позволяет выяснить, подписал ли доверенный CA сертификат для указанной идентичности.

Системы децентрализованной идентификации могут проверять, выданы ли учетные данные доверенным издателем, контролирует ли их субъект и подтверждаются ли они с помощью децентрализованных идентификаторов.

Криптовалютные проекты могут одновременно использовать обе модели.

Например, на сайте проекта может применяться PKI и HTTPS, а уровень идентификации пользователей может использовать подписи кошелька или проверяемые учетные данные.

Появление идентификации на блокчейне не делает PKI устаревшей.

Она остается одной из наиболее широко используемых систем защиты интернет-коммуникаций.

PKI и смарт-контракты

Для обычных транзакций кошелька смарт-контракты обычно не зависят от традиционной Web PKI.

Смарт-контракт проверяет подписи, адреса, разрешения или состояние блокчейна согласно своему коду.

Однако PKI может быть важна для инфраструктуры вокруг смарт-контрактов.

Разработчики используют защищенные с помощью PKI сайты для публикации документации, аудитов, интерфейсов, панелей управления и репозиториев исходного кода.

Пользователи взаимодействуют с децентрализованными приложениями через веб-интерфейсы, которые обычно используют сертификаты HTTPS.

Оракулы и офчейн-сервисы могут применять защищенные PKI API для передачи данных или работы инфраструктуры.

В корпоративных системах смарт-контрактов сертификаты могут использоваться для доступа с ограничениями или офчейн-авторизации.

Смарт-контракт может быть децентрализованным, хотя сайт, через который к нему обращаются, по-прежнему зависит от Web PKI.

Поэтому безопасность интерфейсов остается важной, даже если код контракта размещен ончейн.

Взломанный или поддельный интерфейс может обманом побудить пользователей подписать транзакции, которые настоящий интерфейс контракта никогда не запрашивал бы.

Риски безопасности PKI

Несмотря на широкое применение, PKI сопряжена с серьезными рисками безопасности.

Центр сертификации может допустить ошибку или быть скомпрометированным.

Приватный ключ, связанный с сертификатом, могут украсть.

Сертификат может быть выдан для запутывающего или вводящего в заблуждение домена.

Пользователь может проигнорировать предупреждение браузера и перейти на небезопасный сайт.

Организация может забыть продлить сертификат, что приведет к сбоям в работе сервиса.

Отзыв сертификата может не сработать, задержаться или плохо проверяться клиентами.

Внутренние сертификаты могут неправильно управляться в облачных системах, контейнерах и на устройствах.

Криптовалютные компании должны считать PKI постоянно действующей программой безопасности, а не разовой настройкой.

Важны инвентаризация сертификатов, ротация ключей, мониторинг, планирование отзыва, мониторинг CT, контроль доступа и автоматизация.

Ненадлежащее управление PKI может создать серьезные риски, даже если сам протокол блокчейна остается безопасным.

PKI и фишинг

PKI помогает бороться с фишингом, но не устраняет его.

Сертификат в браузере может подтвердить, что пользователь подключен к домену по защищенному соединению, однако пользователю все равно нужно убедиться, что это правильный домен.

Злоумышленники часто регистрируют похожие домены, используя похожие буквы, дополнительные слова, перестановку символов или вводящие в заблуждение поддомены.

Для таких доменов могут быть выданы действительные TLS-сертификаты, поскольку CA проверяет контроль над доменом, но не намерение владельца имитировать другой бренд.

Например, фишинговая страница может отображать значок замка и все равно быть опасной.

Пользователям криптовалют следует проверять написание домена, добавлять официальные ссылки в закладки, не переходить по рекламным ссылкам для загрузки кошельков и никогда не вводить сид-фразы на сайтах.

PKI защищает канал связи между пользователем и сайтом.

Она не гарантирует, что сайту можно доверять.

Это один из важнейших практических принципов повседневной безопасности при работе с криптовалютой.

PKI и истечение срока действия сертификатов

У цифровых сертификатов есть срок действия.

Ограниченный срок позволяет ограничить период доверия к сертификату и способствует его регулярному обновлению.

Если срок действия сертификата истечет, браузеры и клиенты могут отклонить соединение или показать предупреждение.

Для криптовалютных сервисов просроченный сертификат может лишить пользователей доступа, нарушить работу ботов и API и вызвать оповещения систем мониторинга.

Просрочка сертификата также может вызвать тревогу у пользователей, которые решат, что сервис взломан.

Качественное управление PKI включает автоматическое продление сертификатов, оповещения до истечения срока, тестирование и резервные процедуры.

Управление жизненным циклом сертификатов особенно важно для компаний, которые используют множество доменов, API, сервисов и внутренних систем.

Небольшая ошибка с сертификатом может привести к крупному сбою, если она затронет доступ к кошельку, одобрение операций хранения активов или инфраструктуру транзакций.

Профессиональным криптовалютным командам следует считать истечение срока сертификатов операционным риском, а не мелкой административной задачей.

PKI и постквантовая криптография

На системы PKI также влияет будущее квантовых вычислений.

Во многих современных сертификатах применяются алгоритмы с открытым ключом, например RSA или криптография на эллиптических кривых.

В будущем крупные отказоустойчивые квантовые компьютеры могут представлять угрозу для некоторых из этих систем.

Поэтому правительства, органы стандартизации, браузеры и компании, занимающиеся инфраструктурой, готовятся к переходу на постквантовую криптографию.

Пользователи криптовалют часто думают о квантовых рисках только применительно к кошелькам, однако к миграции также нужно готовить веб-сертификаты и сертификаты инфраструктуры.

Переход PKI на постквантовые решения должен учитывать алгоритмы, размеры сертификатов, подписи, совместимость, производительность и обновления хранилищ доверенных сертификатов.

Криптовалютным компаниям, использующим инфраструктуру для долгосрочной работы, следует отслеживать развитие постквантовой PKI, поскольку от нее могут зависеть защищенные сайты, API, системы хранения активов и корпоративные соединения.

Готовность к постквантовым угрозам не означает, что пользователям следует паниковать уже сегодня.

Это означает, что критически важные системы нужно проектировать с учетом криптографической гибкости, чтобы при необходимости алгоритмы можно было обновить.

Преимущества инфраструктуры открытых ключей

Первое преимущество PKI — аутентификация.

PKI помогает пользователям и системам проверять, что они взаимодействуют с нужным субъектом.

Второе преимущество — зашифрованная связь.

PKI поддерживает такие протоколы, как TLS, которые защищают данные при передаче по сети.

Третье преимущество — проверка цифровых подписей.

Сертификаты помогают подтвердить, что подписанное программное обеспечение, документы, сообщения или код получены из ожидаемого источника.

Четвертое преимущество — масштабируемая модель доверия.

Браузер может доверять множеству сайтов, поскольку он доверяет корневым CA и проверяет цепочки сертификатов.

Пятое преимущество — возможность отзыва.

PKI позволяет признать сертификат недействительным при компрометации ключей или смене идентичности.

Шестое преимущество — контроль над инфраструктурой.

Организации могут использовать PKI для управления идентификаторами серверов, устройств, пользователей, рабочих нагрузок и внутренних систем.

Ограничения инфраструктуры открытых ключей

Первое ограничение — зависимость PKI от доверенных органов.

Ошибка или компрометация CA может ослабить доверие к системе.

Второе ограничение — PKI не доказывает безопасность бизнеса, токена, смарт-контракта или криптовалютного проекта.

Она лишь помогает проверять идентичность, подтвержденную сертификатом, и защищать связь.

Третье ограничение — неправильное понимание пользователями.

Многие считают, что значок замка означает надежность сайта, хотя он может подтверждать только шифрование соединения с данным доменом.

Четвертое ограничение — сложность эксплуатации.

Сертификаты необходимо правильно выпускать, обновлять, отслеживать, менять и отзывать.

Пятое ограничение — фишинг.

Похожие домены могут получить действительные сертификаты и по-прежнему вводить пользователей в заблуждение.

Шестое ограничение — будущие риски, связанные с алгоритмами.

PKI должна адаптироваться по мере устаревания криптографических алгоритмов или появления уязвимости к новым атакам.

Рекомендации пользователям криптовалют

Перед подключением кошелька или загрузкой программ всегда проверяйте точный домен сайта.

HTTPS необходим, но его недостаточно.

Никогда не вводите сид-фразы, приватные ключи или слова восстановления на сайтах, которые обещают проверить, разблокировать, перенести или защитить средства.

Не загружайте кошельки по ссылкам из рекламы, ответов в соцсетях, личных сообщений или неофициальных зеркал.

Проверив сайты по надежным источникам, добавьте их в закладки.

Обращайте внимание на предупреждения браузера о сертификатах и прекращайте работу, если сайт показывает неожиданную ошибку безопасности.

Будьте осторожны с похожими доменами, даже если браузер показывает, что соединение защищено.

Помните, что PKI защищает связь, а подписи кошелька контролируют активы в блокчейне.

Не считайте сертификат сайта доказательством легитимности токена, NFT или инвестиционной возможности.

Наиболее безопасный подход — сочетать понимание PKI с грамотным использованием кошелька, проверкой транзакций и самостоятельным анализом.

Рекомендации криптовалютным проектам

Криптовалютным проектам следует вести полный реестр доменов, сертификатов, внутренних сервисов, API и средств подписи кода.

По возможности используйте автоматическое продление сертификатов.

Следите за сроками действия сертификатов и журналами Certificate Transparency.

Защищайте приватные ключи сертификатов с помощью строгого контроля доступа и надежных средств хранения.

Оперативно отзывайте сертификаты при компрометации ключей или выводе сервисов из эксплуатации.

Используйте понятные доменные имена, чтобы снизить риск путаницы пользователей.

Предупреждайте пользователей об официальных доменах и распространенных способах фишинга.

Для важных внутренних или институциональных систем рассмотрите использование взаимного TLS.

Отделяйте ключи для подписания блокчейн-транзакций от ключей сертификатов веб-инфраструктуры.

Создавайте криптографически гибкую инфраструктуру, готовую к будущему переходу на постквантовую PKI.

Распространенные заблуждения об инфраструктуре открытых ключей

Одно из заблуждений заключается в том, что PKI — это то же самое, что пара ключей блокчейн-кошелька.

Пара ключей кошелька контролирует ончейн-транзакции, а PKI управляет сертификатами, которые связывают публичные ключи с идентификаторами.

Другое заблуждение — считать HTTPS доказательством безопасности криптовалютного проекта.

HTTPS лишь помогает защитить соединение с доменом и не подтверждает надежность токена, проекта или контракта.

Также ошибочно полагать, что публичные ключи всегда связаны с реальными личностями.

Публичные ключи блокчейна могут быть псевдонимными, а сертификаты PKI обычно связывают ключи с проверенными идентификаторами или доменами.

Еще одно заблуждение — будто центры сертификации не имеют значения для криптовалютной сферы.

Они по-прежнему важны, поскольку пользователи криптовалют обращаются к кошелькам, сайтам, API, документации и инфраструктуре через интернет.

Некоторые считают, что PKI избавляет от необходимости защищать кошелек.

PKI может помочь защитить связь, но не восстановит украденные приватные ключи и не отменит вредоносные ончейн-подписи.

Часто задаваемые вопросы

Что означает понятие «инфраструктура открытых ключей»?

Инфраструктура открытых ключей — это система сертификатов, центров сертификации, правил, программ и процессов, используемая для выпуска, управления, проверки и отзыва сертификатов открытых ключей.

Почему PKI важна для криптовалютной сферы?

PKI важна, поскольку помогает защищать сайты, API, загрузки кошельков, порталы хранения активов, инструменты валидаторов и корпоративные блокчейн-системы.

PKI — это то же самое, что публичный ключ криптокошелька?

Нет. Публичный ключ криптокошелька используется для проверки подписей транзакций, а PKI применяет сертификаты, чтобы связывать публичные ключи с такими идентификаторами, как домены, организации, устройства или сервисы.

Что такое центр сертификации?

Центр сертификации — это доверенная организация, которая проверяет запросы на сертификаты и подписывает сертификаты цифровой подписью.

Что такое цифровой сертификат?

Цифровой сертификат — это подписанная запись данных, связывающая открытый ключ с идентификатором и содержащая такие сведения, как издатель, срок действия и разрешенные способы использования.

Означает ли HTTPS, что криптовалютный сайт безопасен?

Нет. HTTPS означает, что соединение с доменом зашифровано и прошло проверку сертификата, но не доказывает надежность сайта или криптовалютного проекта.

Может ли фишинговый сайт иметь действительный сертификат?

Да. Фишинговый сайт может иметь действительный сертификат для собственного обманного домена, поэтому пользователям необходимо проверять точное доменное имя.

Что такое отзыв сертификата?

Отзыв сертификата — это признание его недействительным до истечения обычного срока действия.

Что такое Certificate Transparency?

Certificate Transparency — это общедоступная система регистрации, которая помогает обнаруживать подозрительные или ошибочно выданные сертификаты.

Нужны ли блокчейнам центры сертификации для проверки транзакций?

Для обычной проверки транзакций большинству публичных блокчейнов центры сертификации не нужны, поскольку они математически проверяют подписи с помощью ключей кошелька.

Как PKI помогает криптовалютным компаниям?

PKI помогает криптовалютным компаниям защищать домены, API, внутренние системы, пользовательские порталы, распространение программ, корпоративные соединения и машинные идентификаторы.

Какой риск PKI самый серьезный для пользователей криптовалют?

Главный риск для пользователей — предположить, что сайт с защищенным соединением заслуживает доверия, не проверив официальный ли это домен и безопасен ли запрашиваемый способ подписания транзакции.

Заключение

Инфраструктура открытых ключей — одна из основных систем доверия, обеспечивающих защищенную связь в интернете, и она по-прежнему имеет большое значение для криптовалютной сферы.

PKI не заменяет ключи блокчейна и не определяет владельца ончейн-активов.

Вместо этого она помогает связывать публичные ключи с идентификаторами посредством цифровых сертификатов, чтобы сайты, серверы, приложения, устройства и организации могли подтверждать свою подлинность и безопасно обмениваться данными.

Пользователи криптовалют чаще всего сталкиваются с PKI на сайтах HTTPS, страницах загрузки кошельков, при подключении к API, проверке подписей программ и появлении предупреждений браузера о сертификатах.

Для криптовалютных компаний PKI входит в систему операционной безопасности, которая защищает инфраструктуру, клиентские порталы, инструменты валидаторов, процессы хранения активов и корпоративные системы.

PKI дает очевидные преимущества, включая аутентификацию, шифрование, идентификацию на основе сертификатов, отзыв сертификатов и масштабируемую модель доверия.

У нее есть и ограничения: зависимость от доверия к CA, риск фишинга, ошибочная выдача сертификатов, сложность эксплуатации и необходимость будущего перехода на постквантовые решения.

Проще всего понимать роль PKI в криптовалютной сфере так: ключи блокчейна подтверждают контроль над активами, а PKI помогает подтвердить идентичность систем и сервисов, к которым пользователи подключаются перед взаимодействием с этими активами.

Для безопасной работы с криптовалютой необходимы и надежное управление ключами кошелька, и защита коммуникаций на основе PKI.