Un'infrastruttura a chiave pubblica (PKI) è un sistema di certificati digitali, Autorità di certificazione (CA) e Autorità di registrazione che verificano e autenticano la validità di ogni entità coinvolta in una transazione elettronica tramite l'uso della crittografia a chiave pubblica. Le PKI sono caratterizzate da standard in continua evoluzione, pur essendo già ampiamente implementate come componente necessaria del commercio elettronico. Per ulteriori informazioni sulla pianificazione di una PKI e sull'uso della crittografia a chiave pubblica, vedere Risorse su Servizi certificati Active Directory.
La PKI Microsoft supporta un modello di CA gerarchico e scalabile, compatibile con un numero crescente di prodotti commerciali e di altre CA.
Nella sua forma più semplice, una gerarchia di certificazione è costituita da una singola CA. In molti casi, tuttavia, una gerarchia contiene più CA, con relazioni padre/figlio chiaramente definite. In questo modello, le CA subordinate figlio sono certificate dai certificati rilasciati dalla CA padre, che associano la chiave pubblica di una CA alla sua identità. La CA in cima alla gerarchia è detta CA radice. La CA figlio di una CA radice è detta CA subordinata. Per ulteriori informazioni, vedere Tipi di Autorità di certificazione.
In Windows, se si considera attendibile una CA radice (ossia, se il relativo certificato è contenuto nell'archivio certificati delle Autorità di certificazione radice disponibili nell'elenco locale), si considerano attendibili tutte le CA subordinate con un certificato CA valido nella gerarchia. Una CA radice è quindi un punto di riferimento molto importante per l'attendibilità in un'organizzazione e deve essere adeguatamente protetto. Per ulteriori informazioni, vedere Certificati CA.
Vi sono diversi motivi pratici che consigliano di configurare più CA subordinate:
-
Utilizzo I certificati possono essere rilasciati per vari scopi, quali la sicurezza della posta elettronica e l'autenticazione di rete. I criteri di rilascio per questi vari utilizzi possono essere distinti; la loro separazione costituisce la base dell'amministrazione di tali criteri.
-
Divisioni organizzative. I criteri di rilascio dei certificati possono variare in base al ruolo di un'entità nell'organizzazione. Anche in questo caso è possibile creare CA subordinate per separare e amministrare questi criteri.
-
Divisioni geografiche. Le organizzazioni possono avere entità presso più siti fisici. La connettività di rete tra questi siti può necessitare di singole CA subordinate per tutti i siti o per una parte di essi.
-
Bilanciamento del carico. Se un PKI dovrà essere utilizzato per rilasciare e gestire un gran numero di certificati, la disponibilità di una sola CA può dare origine a un considerevole carico di rete per tale CA. L'utilizzo di più CA subordinate per il rilascio dello stesso tipo di certificati consente di ripartire il carico di rete tra le CA.
-
Backup e tolleranza di errore. La disponibilità di più CA fa aumentare la possibilità che la rete abbia sempre CA operative per rispondere alle richieste degli utenti.
Una gerarchia di CA può inoltre offrire vantaggi amministrativi:
-
Configurazione flessibile dell'ambiente di sicurezza delle CA, per un equilibrio personalizzato tra sicurezza e usabilità. Ad esempio, è possibile scegliere di utilizzare hardware per scopi specifici di crittografia su una CA radice, di posizionarla in un'area fisicamente sicura oppure offline. Questi interventi possono essere inaccettabili per le CA subordinate, in base a considerazioni di costo o di usabilità.
-
Possibilità di "disattivare" una parte specifica della gerarchia di CA senza influire sulle relazioni di trust esistenti. Ad esempio, è possibile chiudere e revocare facilmente un certificato CA in via di rilascio associato a una specifica Business Unit senza incidere su altre parti dell'organizzazione.