Digitalt sertifikat

Et digitalt sertifikat er en unik datafil som kan brukes som digital legitimasjon. Et digitalt sertifikat kan utstedes til en person, en organisasjon, et dataprogram, en gjenstand eller andre enheter som har en unik identitet.

Digitale sertifikater benyttes i dag i en lang rekke sammenhenger hvor det kreves et elektronisk bevis på at noe er ekte. På Internett brukes de blant annet til å bevise at et nettsted er ekte eller at en e-post ikke er forfalsket. Sertifikater kan legges på plastkort for å identifisere eieren av plastkortet. Innen elektronikk kan sertifikater brukes for å bevise at en elektronisk komponent er ekte. Sertifikater kan også brukes til å skape en digital underskrift. Dette kan benyttes for å signere bindende avtaler eller bekrefte samtykke til en transaksjon. Digitale sertifikater kan også brukes for å kryptere dokumenter eller annen informasjon.

Et digitalt sertifikat inneholder vanligvis:

• Identiteten til den eller det som sertifikatet skal identifisere
• En gyldighetsperiode
• Et løpenummer som identifiserer sertifikatet unikt
• Hvilket anvendelsesområde sertifikatet er utstedt for
• En "offentlig nøkkel"

Hele sertifikatet er digitalt signert av en utsteder som bekrefter sertifikatets gyldighet.

Public Key Infrastructure (PKI) er en infrastruktur for utstedelse, administrasjon og bruk av digitale sertifikater. I en PKI kan digitale sertifikatet brukes til å identifisere seg for å få adgang til beskyttet informasjon, og til å signere digitale dokumenter.

Offentlig og privat nøkkel

Et digitalt sertifikat består av en offentlig del med en tilhørende privat del. Den offentlige delen inneholder en offentlig nøkkel. Den private delen består i sin helhet av en privat nøkkel som passer til den offentlige nøkkelen. Den private nøkkelen skal holdes hemmelig og skal bare være kjent for den som sertifikatet er utstedt til. Den offentlige delen kan distribueres bredt uten begrensninger. Det er i praksis umulig å gjette den private nøkkelen selv om man kjenner den offentlige nøkkelen. Den som innehar den private nøkkelen kan bruke denne som et ledd i en kryptografisk prosess for å legitimere seg. Den som skal kontrollere legitimasjonen må bruke den offentlige nøkkelen for å verifisere at den private nøkkelen er ekte. Dersom ingen uvedkommende har fått kjennskap til den private nøkkelen kan man på denne måten kontrollere at den som legitimerer seg er den samme som den som opprinnelig fikk utstedt sertifikatet.

Selve sertifikatet består i streng forstand bare av den offentlige delen. Ved å signere et sertifikat bekrefter utstederen at den offentlige nøkkelen tilhører den eller det som er identifisert i sertifikatet. Det er imidlertid utbredt å også omtale den private delen som en del av sertifikatet.

Digitale sertifikater for personer

Det fins flere typer sertifikater for personer:

• Personsertifikat bekrefter en persons identitet.
• Ansattsertifikat bekrefter en persons identitet og ansettelsesforhold (f.eks. at personen er NN, og at NN arbeider i staten).
• Rollesertifikat bekrefter en persons identitet og rolle (f.eks. at personen er NN, og at NN er utdannet lege med rett til å skrive ut resepter).

Sertifikat-infrastruktur

Et digitalt sertifikat er som oftest digitalt signert av en utsteder som kan bekrefte identiteten til den eller det som sertifikatet er utstedt til. En utsteder av digitale sertifikater kalles en sertifikat-autoritet eller "CA" (Certificate Authority). En CA har i sin tur også et digitalt sertifikat. Når en CA signerer et sertifikat bruker den sitt eget sertifikat, som den igjen kan ha fått av en annen CA. En sertifikat-infrastruktur består av et hierarki hvor hver CA har et sertifikat som er signert av en CA høyere opp i hierarkiet. Øverst i hierarkiet står alltid en CA med et "rot-sertifikat". Rot-sertifikatet er ikke signert av noen andre.

Den som skal kontrollere gyldigheten av et sertifikat må på forhånd enten kjenne den offentlige delen av sertifikatet som skal kontrolleres eller den offentlige delen av sertifikatet til en CA lengre opp i hierarkiet. En vanlig bruk er å velge å ha tillit til et CA-sertifikat som er høyt oppe i hierarkiet og som tilhører en kjent utsteder. Man velger da i praksis å stole på at alle sertifikater som er lengre ned i hierarkiet også er gyldige.

Gyldighet og tilbaketrekking

Et sertifikat utstedes alltid for en begrenset periode. Denne perioden bestemmes når sertifikatet lages og kan ikke endres. Når perioden utløper må sertifikatet fornyes ved at det utstedes et nytt sertifikat.

En CA kan publisere lister over sertifikater som allerede er utstedt, men som er trukket tilbake. En slik liste kalles en revokeringsliste eller CRL (Certificate Revocation List). Den som skal kontrollere gyldigheten av et sertifikat må alltid kontrollere at sertifikatet ikke står på revokeringslisten. En CA kan også publisere revokeringsinformasjon online ved hjelp av en OCSP-tjeneste. Årsaken til at et sertifikat trekkes tilbake er som oftest at den private nøkkelen er kommet på avveie.

Anvendelsesområde

Utstederen av et sertifikat kan angi hvilket anvendelsesområde sertifikatet er laget for. Anvendelsesområde for sertifikater utstedt til privatpersoner kan f.eks. være innlogging, digital signering eller kryptering. Et sertifikat kan lages for mange anvendelsesområder, men en utbredt praksis er å heller utstede flere sertifikater til samme mottaker hvor hvert sertifikat har bare ett anvendelsesområde.

Praktisk anvendelse

På Internett benyttes sertifikater blant annet for å bevise at et nettsted er ekte. Denne typen sertifikater kalles SSL-sertifikater og utstedes til et domene. Slike sertifikater utstedes av en rekke alment anerkjente utstedere. Leverandørene av nettlesere legger på forhånd inn CA-sertifikatene til disse utstederne. Nettleseren kan kontrollere SSL-sertifikatet før den viser frem nettsiden til brukeren og gi brukeren en advarsel dersom sertifikatet ikke kan spores tilbake til en kjent utsteder. E-post kan signeres med et digitalt sertifikat. Denne typen sertifikater kan utstedes til en e-postadresse. Mottakerens e-post-program verifiserer da at avsenderens e-postadresse stemmer med e-postadressen som står i sertifikatet og at e-posten ikke er endret etter at den ble signert. Sertifikater kan legges på plastkort og brukes som legitimasjon av fysiske personer. Utstedere av slike sertifikater må kontrollere mottakerens reelle identitet før de leverer ut plastkortet. Dette kan f.eks. skje ved at mottakeren møter opp og viser frem en fysisk legitimasjon. Programvare som distribueres på Internett kan være digitalt signert av den som laget programmet. Datamaskinen som skal kjøre programmet kontrollerer da at programmet er signert med et sertifikat som er utstedt av en CA som datamaskinen er kjent med og aksepterer før programmet startes opp.

Norsk rett

Lov om elektronisk signatur (esignaturloven) § 4 stiller krav til kvalifiserte sertifikater. Nasjonal kommunikasjonsmyndighet vedlikeholder en liste over registrerte tilbydere av kvalifiserte sertifikater. Dersom slike sertifikater benyttes til å signere dokumenter, ved hjelp av et sikkert signaturfremstillingssystem, vil resultatet være en kvalifisert signatur. Kvalifiserte signaturer vil alltid kunne oppfylle eventuelle formkrav til underskrifter, for disposisjoner som kan gjennomføres elektronisk, jf. esignaturloven § 6.

Teknologi

Et digitalt sertifikat er laget ved hjelp av teknologien "asymetrisk kryptografi". I motsetning til tradisjonell kryptografi hvor samme nøkkel brukes både til kryptering og dekryptering opererer asymetrisk kryptografi med to nøkler; en privat nøkkel og en offentlig nøkkel. En fil som er kryptert med en privat nøkkel kan bare dekrypteres med den offentlige nøkkelen. Dette kan brukes til legitimasjonsformål ved at bare den som skal legitimere seg kjenner den private nøkkelen mens alle som skal kunne kontrollere legitimasjonen kjenner den offentlige nøkkelen. Den som skal legitimere seg krypterer en kjent tekst som leveres til den som skal kontrollere legitimasjonen. Denne dekrypterer så teksten med den offentlige nøkkelen. Hvis dette lykkes vet man at teksten ble kryptert av innehaveren av den private nøkkelen.

Eksterne lenker

• Esignaturloven, Lovdata
• Hva er kvalifiserte sertifikater, Post- og teletilsynet
• Oversikt over registrerte tilbydere av kvalifiserte sertifikater, Post- og teletilsynet