Che cos'è un'Autorità di certificazione?

In poche parole, un'autorità di certificazione è un'entità che emette certificati digitali. Le autorità di certificazione svolgono un ruolo fondamentale nella sicurezza informatica. I certificati digitali che emettono rappresentano un modo per dimostrare che il tuo sito web è legittimo e non gestito da hacker o da altri malintenzionati. Se le autorità di certificazione non esistessero, non sarebbe sicuro acquistare, effettuare operazioni bancarie o trasmettere altre informazioni sensibili su Internet. La "s" nel prefisso https vuol dire "sicuro", quindi sai che il proprietario del sito web è stato verificato da un'autorità di certificazione.

Autorità di certificazione pubblica rispetto a privata

Sebbene svolgano funzioni simili, esistono differenze fondamentali tra le autorità di certificazione pubbliche e private.

• Le autorità di certificazione private sono specifiche di un'azienda e rilasciano certificati per scopi e casi d'uso interni, come reti private e VPN, autenticazione degli utenti e firma del codice.
• Le autorità di certificazione pubbliche sono entità di cui i browser si fidano per fornire sicurezza, tramite verifica e crittografia, agli utenti che interagiscono con siti e servizi pubblici.

In che modo un'autorità di certificazione ottiene fiducia?

Le autorità di certificazione pubbliche sono entità controllate che devono soddisfare i requisiti di base stabiliti dal Forum CA/Browser. Le autorità di certificazione e i browser internet hanno collaborato per sviluppare standard più rigorosi e uniformi per la gestione delle autorità di certificazione e l'emissione di certificati TLS/SSL. I requisiti di base 1.0 sono entrati in vigore il 1 luglio 2012.

Certificati SSL e PKI

Oltre alla "s" in https, quando visiti un sito web e vedi un lucchetto nella barra in alto del tuo browser, la tecnologia che lo rende possibile è un certificato SSL. Questo certificato è stato emesso da un'autorità di certificazione pubblicamente affidabile, che si basa sulla PKI. Per proteggere la tua organizzazione, i clienti effettivi e quelli potenziali agli attacchi informatici relativi alle transazioni del sito web, la distribuzione di certificati TLS/SSL è fondamentale.

Tipi di certificati TLS/SSL

Ogni interazione online deve essere protetta da attacchi dannosi. I certificati TSL/SSL sono alla base della privacy, della protezione e dell'integrità del marchio nel regno digitale. La maggior parte delle autorità di certificazione offre una gamma di tipi di certificati a seconda dei livelli di garanzia desiderati, dei requisiti di conformità e del numero di domini da proteggere.

• I certificati SSL a convalida estesa (EV) forniscono la massima sicurezza e la procedura di verifica è la più rigorosa. Quando viene installato su un sito web, diventano visibili ai visitatori l'icona di un lucchetto, il nome dell'organizzazione e la designazione HTTPS. Questo tipo di certificato è generalmente utilizzato per le applicazioni web che richiedono la garanzia dell'identità per la raccolta di dati, l'elaborazione degli accessi o l'esecuzione dei pagamenti online.
• I certificati SSL di convalida dell'organizzazione (OV, Organization validation) garantiscono sicurezza e crittografia dell'identità e sono i più adatti a crittografare le informazioni degli utenti durante le transazioni. La maggior parte dei siti web rivolti ai consumatori è legalmente obbligata a implementare certificati SSL OV per garantire che la riservatezza delle informazioni comunicate durante una sessione.
• I certificati SSL di convalida del dominio (DV, Domain Validation) hanno meno requisiti di verifica dell'identità rispetto ai certificati EV o OV limitandosi a dimostrare il controllo del dominio. Sono spesso usati per applicazioni a basso rischio, come blog, comunità di utenti o siti informativi. In questo modo i certificati DV sono meno costosi e più semplici da ottenere.
• I certificati SSL Wildcard sono verificati a livello di convalida dell'organizzazione e rappresentano una soluzione conveniente per proteggere un dominio di base e un numero qualsiasi di sottodomini affiliati. Oltre ai costi inferiori (rispetto all'acquisto di più certificati singoli), offrono una maggiore semplicità perché gli utenti non devono inviare più richieste di firma del certificato (CSR) né gestire le date di scadenza per più certificati TLS/SSL su diversi URL.
• I certificati SSL per comunicazioni unificate (UC) vengono verificati a livello di convalida estesa o di convalida dell'organizzazione. Un modo efficiente per consolidare più certificati è quello di sfruttare i nomi alternativi del soggetto (SAN, Subject Alternative Names) per risparmiare sui costi. I certificati SSL UC stabiliscono identità affidabili ed eliminano le notifiche del browser che avvertono i visitatori di non accedere al tuo sito.

Perché i certificati TLS/SSL sono fondamentali

Disporre di certificati TLS/SSL affidabili provenienti da un'autorità di certificazione affidabile è estremamente importante per una serie di motivi.

• Aumento dei requisiti di conformità. Regolamento europeo in materia di protezione generale dei dati (General Data Protection Regulation, GDPR) implementato in Europa è stato adottato in tutto il mondo. Le organizzazioni che violano gli standard del GDPR rischiano multe elevate o perdita di fatturato.
• Perdita di visibilità sui motori di ricerca. I motori di ricerca stanno inasprendo i controlli sui siti web che rappresentano una minaccia alla sicurezza inserendo indicatori di sicurezza negativi e rimuovendo i siti dai risultati dei motori di ricerca.
• Maggiore sicurezza dei dati. È fondamentale proteggere password, numeri di carte di credito, transazioni finanziarie e altri dati di alto valore.
• Enfasi sull'identità affidabile. L'autorità di certificazione verifica l'identità delle organizzazioni, conferma che l'organizzazione ha il controllo sui propri domini e assicura che il richiedente del certificato sia dipendente dall'organizzazione.

La necessità della gestione dei certificati

La gestione dei certificati può essere impegnativa per le organizzazioni che dispongono di un numero crescente di certificati. Per avere una visibilità completa negli inventari dei certificati, gli strumenti di gestione del loro ciclo di vita diventano necessari . Per garantire che il tuo ambiente di fiducia corrisponda alle tue esigenze aziendali, cerca soluzioni di gestione che forniscano un'ampia serie di integrazioni. I certificati digitali devono essere in linea con tutte le tue esigenze, inclusi casi d'uso tradizionali e casi d'uso moderni come Internet of Things (IoT) e DevOps. Per risolvere problemi complessi in caso di necessità, ti serviranno servizi professionali di esperti e un team di assistenza clienti disponibile 2/47, 365 giorni all'anno.

La connessione tra autorità di certificazione e PKI

Le autorità di certificazione sono una parte fondamentale del più ampio ecosistema PKI (infrastruttura a chiave pubblica) sia che si tratti di trust pubblico o che privato. L'infrastruttura PKI è la pietra angolare della sicurezza informatica e viene utilizzata per stabilire la fiducia e proteggere le interazioni tra persone, sistemi e oggetti. Il modo migliore per farlo è tramite i certificati digitali emessi da un'autorità di certificazione per la firma, l'autenticazione o la crittografia, o tutti e tre.

Web of trust rispetto a Autorità di certificazione

Il web of trust è un modello decentralizzato per la crittografia e funge da alternativa alla PKI. Per stabilire la legittimità e legare la chiave pubblica di crittografia al suo proprietario, il web of trust, anziché fare affidamento su un'autorità di certificazione, si basa su una serie di firme provenienti da fonti diverse. Il concetto di web of trust è stato introdotto da Phil Zimmermann nel 1992 nel suo manuale per PGP (Pretty good privacy) versione 2.0. Al contrario, l'autorità di certificazione si affida a entità di terze parti fidate che devono soddisfare requisiti rigorosi e sono verificate annualmente.