L’Infrastruttura a Chiave Pubblica (PKI) costituisce un sistema fondamentale che consente a terze parti di verificare in modo affidabile l’identità di un utente. Al centro di questo sistema si trova l’Autorità di Certificazione (CA), un ente affidabile che emette e firma i certificati digitali. Nelle reti aziendali, la CA può essere implementata tramite un server interno, mentre su Internet è comune affidarsi a organizzazioni terze, come ad esempio VeriSign.

Per richiedere un certificato, gli utenti devono compilare un modulo noto come Certificate-Signing Request (CSR). Ogni certificato contiene la chiave pubblica del suo titolare e viene firmato digitalmente dalla CA. Nel contesto della PKI, se un utente A desidera inviare un messaggio riservato a un utente B, deve ottenere il certificato di B contenente la sua chiave pubblica dalla CA. Successivamente, A può cifrare il messaggio utilizzando la chiave pubblica di B, garantendo che solo B sia in grado di decifrarlo.

Oltre all’Autorità di Certificazione (CA), la struttura della PKI include:

1. Registration Authority: Questa autorità gestisce le richieste di certificazione delle chiavi da parte degli utenti, verificandone l’identità e raccogliendo informazioni quali la chiave pubblica e l’indirizzo e-mail. I certificati possono essere emessi per autenticare server, client o per firmare codice. Il formato standard per i certificati è X.509.
2. Certificate Server: Il CS gestisce una lista pubblica dei certificati emessi e delle liste dei certificati revocati o sospesi.

Il formato X.509 comprende varie estensioni, tra cui:

• Certificati per la firma di codice: Necessari per il software che utilizza la firma digitale.
• Certificati per computer: Utilizzati per autenticare i server.
• Certificati per utenti: Simili a quelli precedenti, ma utilizzati per autenticare singoli utenti.
• Certificati di base: Rappresentano i certificati emessi dalle CA.

Nel caso in cui la chiave privata associata a un certificato venga compromessa, il certificato può essere revocato. Questa revoca viene eseguita dall’autorità di certificazione su richiesta dell’utente. Per verificare se un certificato è stato revocato, esistono diversi metodi, tra cui:

1. Lista di Revoca dei Certificati (CRL): Contiene un elenco dei certificati revocati, consentendo ai browser di verificare se un certificato è stato revocato.
2. Protocollo di Stato Online del Certificato (OCSP): Consente ai client di verificare in tempo reale lo stato di un certificato contattando un server OCSP. Questo metodo offre bassa latenza, ma può sollevare preoccupazioni sulla privacy dei dati di navigazione trasmessi al server OCSP.
3. Pinning: Questa tecnica verifica non solo la validità del certificato, ma anche che la parte pubblica corrisponda a quella fornita durante l’instaurazione della connessione. Qualsiasi discrepanza può indicare un possibile uso fraudolento del certificato.