گواهی ریشه

در رمزنگاری و امنیت رایانه، گواهی ریشه یک گواهی کلید عمومی است که مرجع صدور گواهی ( CA ) را شناسایی می کند. [ ۱] گواهی های ریشه خودامضا هستند ( و ممکن است یک گواهی چندین مسیر اعتماد داشته باشد، برای مثال گواهی ای که توسط ریشه ای صادر شده باشد که دارای امضای متقاطع است ) . گواهی های ریشه اساس زیرساخت کلید عمومی ( PKI ) مبتنی بر X. 509 را تشکیل می دهند. شناسه کلید مرجع می تواند با شناسه کلید موضوع مطابقت داشته باشد؛ که در برخی موارد هیچ شناسه کلید مرجعی وجود ندارد، پس رشته صادرکننده باید با رشته موضوع مطابقت داشته باشد ( RFC 5280 ) . برای مثال، PKIهایی که از HTTPS[ ۲] برای مرور ایمن وب و طرح های امضای الکترونیکی پشتیبانی می کنند، به مجموعه ای از گواهی های ریشه بستگی دارند.
یک مرجع گواهی می تواند چندین گواهی را در قالب یک ساختار درختی صادر کند. گواهی ریشه که دارای بالاترین رتبه در این درخت است، کلید خصوصی ایست که برای "امضاً گواهی های دیگر استفاده می شود. همه گواهی هایی که توسط گواهی ریشه امضا شده اند، با فیلد "CA" که روی true تنظیم شده است، اعتبار آن گواهی ریشه را به ارث می برند - امضای یک گواهی ریشه تا حدودی مشابه موضوع "تأثیر اسناد رسمی" در دنیای فیزیکی است. به چنین گواهینامه ای گواهی میانی یا گواهی CA فرعی گفته می شود. گواهینامه ها در رتبه های پایین درخت نیز به قابل اعتماد بودن واسطه ها بستگی دارند.
گواهی ریشه معمولاً توسط مکانیسمی به غیر از فقط یک گواهینامه، مورد اعتماد واقع می شود. مانند توزیع فیزیکی ایمن. به عنوان مثال، برخی از شناخته شده ترین گواهینامه های ریشه در سیستم عامل ها توسط سازندگان آنها توزیع می شوند. مایکروسافت گواهی های ریشه متعلق به اعضای برنامه Microsoft Root Certificate را در رایانه های رومیزی ویندوز و ویندوز فون ۸ توزیع می کند. اپل نیز گواهینامه های ریشه متعلق به اعضای برنامه ریشه خود را توزیع می کند.
در سال ۲۰۱۱، مرجع گواهی هلندی دیجی نوتار دچار یک نقض امنیتی شد. این امر به صدور گواهینامه های تقلبی مختلف منجر شد که از این گواهینامه ها برای هدف قرار دادن کاربران ایرانی جیمیل استفاده شد. گواهینامه های دیجی نوتار دیگر قابل اعتماد نبودند؛ در نهایت مدیریت عملیاتی شرکت به عهده دولت هلند واگذار شد.
در سال ۲۰۰۹، یکی از کارمندان مرکز اطلاعات شبکه اینترنتی چین ( CNNIC ) از موزیلا درخواست کرد تا CNNIC را به لیست گواهی ریشه موزیلا[ ۳] اضافه کند و البته مورد تأیید قرار گرفت. بعدها، مایکروسافت نیز CNNIC را به لیست گواهی ریشه ویندوز اضافه کرد.