Сертификат является документом, который связывает открытый ключ с идентификационными данными. Эта привязка сделана цифровой подписью выпускающего сертификата. Идея - это если

• сертификаты утверждают, что некоторый ключ K принадлежит некоторым идентификационным данным I
• схема цифровой подписи является безопасной (т.е. практически нековкой),
• только выпускающий может использовать закрытый ключ выпускающего (т.е. выпускающий не скомпрометирован),
• подлинная копия открытого ключа выпускающих доступна
• выпускающему доверяют (в подходящем смысле)

затем доверчивое третье лицо должно прийти к заключению, что K действительно принадлежит мне. Если последнее утверждение верно, и выпускающему доверяют, то это обычно называют центром сертификации (CA). CA является частью того, что называют инфраструктурой с открытым ключом (PKI), которые обычно также включают службы каталогов для распределения сертификатов и информации о них и сервисах состояния аннулирования для проверки законности сертификатов.

К сожалению, в жизни практики часто немного более сложно, чем вышеупомянутая идея, так как существуют неудобства, такие как цепочки сертификата, время жизни и преждевременное аннулирование сертификата, с которым нужно иметь дело. Все же задача, к которой сертификаты помогают обратиться, остается: как распределить открытые ключи защищенным способом?

Среди самых известных сертификатов x509 сертификаты, которые повсеместны в сетях. ssl/tls, ipsec и S/MIME используют сертификаты X.509, поэтому каждый раз, когда Вы используете https в сети, Вы пачкаете руки. Но даже некоторые бренды ssh могут использовать сертификаты X.509.

Другим важным типом сертификата является OpenPGP, который используется прежним pgp и gpg. Они имеют намного более простую структуру, чем сертификаты X.509. Основным различием между X.509 и OpenPGP является их базовая доверительная модель. В то время как X.509 организован иерархический, где существует один и только один центр сертификации, OpenPGP следует за сетью доверия, где нет такого центрального экземпляра. (Пользователь является ее собственным центром сертификации.)

Заинтересованные читатели могут также посетить Information Security SE для вопросов и ответов по темам безопасности.