Сертификаты и PKI
Тема дорожной карты · Компьютерные сети
PKI (Public Key Infrastructure) — это система политик, ролей и технологий для создания, распространения, управления и отзыва цифровых сертификатов. Сертификаты X.509 связывают открытый ключ с идентификатором и подписываются удостоверяющим центром (CA). TLS использует PKI для аутентификации серверов во время handshake. Сертификаты и PKI играют ключевую роль в обеспечении безопасности сетевых соединений, а также в поддержании доверия между пользователями и серверами. Утилиты openssl и cfssl являются популярными инструментами для работы с сертификатами.
Как это работает
Сертификаты и PKI: TLS 1.3 (1-RTT или 0-RTT handshake, modern cipher suites) — дефолт. PKI (Public Key Infrastructure) — CA выпускают X.509-сертификаты, подтверждающие domain ownership; браузеры доверяют root store. Let's Encrypt + ACME автоматизировали cert issuance бесплатно. Распространённые атаки: MITM (intercept + alter — TLS побеждает); DDoS (заваливают трафиком — Cloudflare, AWS Shield); spoofing (подделка identity — DNSSEC, SPF, DKIM побеждают). VPN: WireGuard (современный, быстрый, audited) + OpenVPN (старый, конфигурируемый). Zero Trust = "не доверяй, всегда верифицируй" — каждый запрос authenticated независимо от network location.
Сертификаты X.509 содержат информацию о владельце сертификата, срок его действия, открытый ключ, а также информацию о цепочке сертификатов, которая включает в себя сертификаты удостоверяющего центра. Удостоверяющий центр (CA) выпускает сертификаты, которые затем используются для аутентификации и шифрования данных. Серверы и клиенты используют эти сертификаты для установления безопасного соединения и для проверки подлинности друг друга.
Когда применять
TLS 1.3 only — отключите 1.0/1.1/1.2 если можно. Автоматизируйте cert renewal (Let's Encrypt + cert-manager / acme.sh). Современные ciphers (AEAD). Для VPN в 2026 WireGuard — дефолт: быстрее + чище OpenVPN. Адоптируйте Zero Trust даже на private-сетях — implicit-trust internal networks = 2010s паттерн, не масштабирующийся.
Сертификаты и PKI используются в различных сценариях, таких как защита веб-соединений, шифрование данных на диске, аутентификация пользователей и серверов. Важно использовать современные протоколы шифрования, такие как TLS 1.3, и автоматизировать процесс обновления сертификатов, чтобы избежать просроченных сертификатов и обеспечить непрерывную безопасность.
Типичные ошибки
Ловушки Сертификаты и PKI: self-signed certs в prod (браузеры + клиенты отвергают); просроченный cert (ручное renewal забыто — outage); allow legacy TLS (1.0/1.1 — атакабельно); VPN как security perimeter (Zero Trust — современный аналог; perimeter предполагает что внутри safe, что редко правда).
Типичные ошибки в работе с сертификатами и PKI включают использование самоподписанных сертификатов в продакшне, что может привести к отказу браузеров и клиентов. Также распространенной ошибкой является использование устаревших версий TLS, таких как 1.0 или 1.1, которые могут быть уязвимыми для атак. Использование VPN как единственный метод защиты может быть недостаточным, так как это предполагает, что все устройства внутри сети безопасны, что часто не соответствует реальности.