Il protocollo di sicurezza dei certificati online sono gli standard su cui sono costruite le applicazioni di emissione e autenticazione dei certificati. Il protocollo indica esattamente quali informazioni devono essere fornite per fornire lo stato del certificato e identificare il server di origine.
Quando un server tenta di connettersi a un computer protetto, avviene uno scambio di certificati. Affinché il certificato possa essere autenticato, esiste un insieme standard di informazioni che devono essere scambiate e verificate. Il protocollo di sicurezza del certificato online indica quali sono queste informazioni e il formato in cui devono essere trasmesse. Ogni trasmissione deve includere la versione del protocollo, la richiesta del server e l’identificatore del certificato di destinazione. Esistono anche estensioni facoltative che possono essere accettate dal risponditore del protocollo di sicurezza del certificato in linea.
Quando il risponditore del protocollo di sicurezza del certificato in linea riceve la richiesta, verifica se il messaggio è formattato correttamente, che i server richiesti siano disponibili presso il risponditore e se le informazioni richieste sono incluse. In caso contrario, viene inviato un messaggio di errore all’autore.
Il protocollo fornisce gli standard minimi e include i dettagli di tutte le possibili risposte. Tutte le risposte dai certificati accettati devono avere uno dei seguenti; una firma dell’autorità di certificazione di origine, di una terza parte fidata o di un risponditore designato per l’autenticazione del certificato, debitamente autorizzato a elaborare queste richieste.
Il protocollo di sicurezza del certificato online può essere paragonato al settore dei fabbri. Sebbene esista un’ampia gamma di società di serrature, società chiave e opzioni di sicurezza, esistono funzioni di base coerenti in tutto il settore, gli standard accettati costituiscono la base per questi accordi.
Un messaggio di risposta positiva ha la versione della risposta, il nome del risponditore, le risposte incluse, eventuali estensioni facoltative, la firma dell’algoritmo e la firma calcolata lungo l’hash della risposta. Nella risposta è incluso lo stato del certificato e sono disponibili tre opzioni; buono, revocato e sconosciuto.
È responsabilità del client del protocollo di sicurezza del certificato online confermare che una risposta firmata è valida, il firmatario corrisponde al destinatario, il firmatario è autorizzato l’ora dell’aggiornamento dello stato è recente e il certificato ricevuto corrisponde a quello richiesto.
Le regole del protocollo di sicurezza dei certificati online come formato standard accettato sono state create nel giugno 1999, come parte di un più ampio tentativo di creare un quadro che circonda la gestione dei certificati. Il protocollo è stato sviluppato dal Network Working Group, con rappresentanti di VeriSign, CertCo, ValiCert, My CFO e Entrust Technologies.
Ciascun emittente di certificati di sicurezza ha firmato l’accettazione di questo protocollo e integra funzionalità aggiuntive nelle proprie offerte di prodotti concorrenti, pur mantenendo le infrastrutture richieste. È la cooperazione di queste aziende concorrenti per creare e rispettare una pratica standard che ha permesso a questo settore di ottenere un’ampia accettazione.
Il protocollo di sicurezza del certificato online copre un’ampia gamma di argomenti, comprese le risposte consentite dal programma di autenticazione del certificato, la sintassi richiesta, lo sviluppo di messaggi di errore standard, le linee guida per l’archiviazione e come gestire le considerazioni sulla sicurezza e le risposte appropriate.