İyi bilinen CA'lar Eliptik Eğri sertifikaları verir mi?

Arka fon

Comodo'nun eliptik bir eğri kökü ("COMODO ECC Sertifika Yetkilisi") olduğunu gördüm, ancak web sitelerinde EC sertifikalarından bahsetmiyorum.

Certicom, diğer ihraççıların EC sertifikaları sunmasını engelleyen fikri mülkiyet haklarına sahip mi? Yaygın olarak kullanılan bir tarayıcı ECC'yi destekleyemiyor mu? ECC, web sunucusu kimlik doğrulaması gibi geleneksel PKI kullanımı için uygun değil mi? Yoksa sadece talep yok mu?

NSA Suite B önerisi nedeniyle eliptik eğriye geçiş yapmak istiyorum. Ancak birçok uygulama için pratik görünmüyor.

Ödül Kriterleri

Ödül için hak talebinde bulunmak için, bir yanıtın, tanınmış bir CA'nın web sitesinde sundukları ECC sertifika seçeneklerini, fiyatları ve nasıl satın alınacağını açıklayan bir sayfaya veya sayfalara bir bağlantı sağlaması gerekir. Bu bağlamda, "iyi bilinen", Firefox 3.5 ve IE 8'de varsayılan olarak uygun kök sertifikanın eklenmesi gerektiği anlamına gelir. ödül kazanacak. Bu herhangi bir bağı ortadan kaldırmazsa (hala umut ediyor!), Kendi takdirime göre bir cevap seçmem gerekecek.

Unutmayın, birisi her zaman ödülün en az yarısını talep eder, bu yüzden lütfen tüm cevaplara sahip olmasanız bile bir şans verin.

Şimdi Comodo tarafından PositiveSSL tekliflerinin bir parçası olarak yayınlanıyorlar. Çok iyi reklam verdiklerini söyleyemem, ancak matematikle yaşayan kanıtlar var:

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Biraz daha derine inmek istedim, bu yüzden Comodo'daki ECC CA'larından sorumlu kişilerle temasa geçtim. Biraz ileri ve geri gittikten sonra, Comodo'ya ECC sertifikaları vermeden önce Certicom / RIM'den lisans almaları gerektiğini ve şu anda onlarla lisans görüşmeleri yaptıklarını söylediler. Bu tartışmaların sonuçlandırılması için bir ETA vermediler, bu yüzden ne zaman bir sertifika alabileceğinizi kim bilebilir?

Hızlı bir güncelleme olarak, Cloudflare bugün Comodo tarafından imzalanan ve ECC'yi kullanan blogu için yeni bir sertifika dağıttı ... Sanırım genel halk için ECC'ler yakında geliyor.

https://blog.cloudflare.com/

Verisign (şimdi Symantec) ECC'yi Secure Site Pro serisinde sunuyor

Bu bağlantıyı yararlı bulduğum emanet altında buldum. http://www.entrust.net/ecc-certs/index.htm

Temel olarak, NSA Suite B'ye küresel olarak (kök düzeyinde) güvenilmez ve şu anda (Ekim 2012 itibariyle) hiçbir CA standardı karşılayan SSL sertifikaları sunmaz. Kendi sertifikanızı imzalayabilirsiniz, ancak modern tarayıcılar kullanıcılara çok cesaret kırıcı bir uyarı verecektir. Genellikle NSA Suite B sertifikaları, doğrudan güvenli sunuculara bağlanan uygulamalara entegre edilir. ECC tarayıcılarında bir desteğin olduğunu unutmayın. ECC, varsayılan olarak yalnızca Chrome v22 + 'da desteklenen TLS 1.1'in bir parçasıdır [ http://en.wikipedia.org/wiki/Transport_Layer_Security#Browser_implementations ]

Certicom'un MS2008 Sertifika Yetkilisi Suite B'yi sunan eliptik eğrinin kullanımını engellediğine inanmıyorum. Eminim ki 7'deki Windows istemcilerinin en son sürümü kullanımını destekliyor. Ben gidip bir göz atacağım, bunu desteklemesi gereken MS kriptografik alt sistemi olacak (CryptoAPI) ve bu onu oldukça kolay bir şekilde destekleyecek bir eklenti CSP mimarisine sahip olacak.

Konuyla ilgili emanet belgelerinden aşağıdakiler alınmıştır: -

Tüm büyük CA yazılım ürünleri, hem sertifika hem de CRL imzalama ve son kullanıcı ortak anahtarları için ECDSA'yı destekler. Bu nedenle, yalnızca kimlik doğrulama ve dijital imza gerektiren uygulamalar için uygun bir CA ürününü kaynaklamak zor olmamalıdır. ECC tabanlı anahtar anlaşması için daha yavaş standardizasyon hızı, şifreleme gerektiren uygulamalar için biraz belirsizlik ekler. Bununla birlikte, büyük CA yazılım tedarikçilerinin tümü, son kullanıcı sertifikalarındaki ECDH anahtarlarını desteklemek için gelişmiş planlara sahiptir. Bu nedenle, bu alanda planlama sadece küçük risk taşır. Öte yandan uygulama, nakliye ürünlerinde bu planların gerçekleştirilmesini beklemek zorundadır

ECC, RSA'dan daha az hesaplama gücü gerektirir ve bu nedenle akıllı kartlar gibi yerleşik sistemler ve kablosuz yönlendiriciler gibi daha az güçlü işlemcilere sahip cihazlar için kullanışlıdır. Yüksek düzeyde güvenli trafiği desteklemek için bariz faydalar sağlayan TLS anahtar değişim işlemlerini desteklemek için web sunucusu tarafından daha az işlem gerektireceği için web sunucuları için yararlı olabilir. Bence bu faktörler talebi artıracak ve aynı zamanda tüm dünyada hükümet sektörüne yoğun ilgi gösteren NIST'e yüksek talep olacak. Bu, satıcılar bu sektöre satış yapmaya çalışırken teknolojinin itilmesine de yardımcı olacaktır.

Mark Sutton
http://www.blacktipconsulting.com