SSL-sertifikaattien elinkaari, hallinnointi ja automatisointi

Abstract

Tänä päivänä tieto on meidän tärkein hyödykkeemme, ja käytämme sitä yhä enemmän verkossa. Silloin haluamme voida luottaa siihen, että muut osapuolet ovat varmasti he, joita esittävät olevansa. Sertifikaatti on tietorakenne, joka sisältää tietoa muun muassa sen omistajasta, myöntäjästä, voimassaoloajasta ja käyttötarkoituksesta. Sertifikaatti on luotettavan tahon antama kiistämätön todiste siitä, että kyseinen toimija on se, jota hän esittää olevansa.

Tämän työn tavoitteena on selvittää sertifikaatteihin sekä niiden elinkaareen ja hallintaan liittyvät asiat. Tarkoituksena on lisäksi selvittää erilaisia menetelmiä ja työvälineitä, joita voi hyödyntää sertifikaattien hallinnassa ja pohdiskella tapoja, joilla hallintaa voisi automatisoida. Työ on rajattu käsittelemään sertifikaatteja SSL/TLS-yhteyksissä.

Työn taustatietona selvitetään sertifikaatteihin ja avainten hallintaan liittyvää tietoa, kuten salauksesta sekä sertifikaattien elinkaaresta ja käytöstä SSL/TLS-yhteyksissä. Taustatiedoissa esitellään myös julkisen avaimen infrastruktuurin (PKI) pääpiirteet.

Opinnäytetyö on tutkimustyyppinen ja työn tutkimusosassa hyödynnetään olemassa olevaa tutkimustietoa. Sen pohjalta keskustellaan erilaisista sertifikaattien hallintaan liittyvistä haasteista sekä esitetään erilaisia työkaluja, joita voi hyödyntää sertifikaattien hallinnassa. Pohdiskellaan lisäksi tapoja, joilla sertifikaattien hallintaa voisi automatisoida.

Tutkimuksen keskeisimmät tulokset ovat tarve lisätä käyttäjien ja järjestelmien ylläpitäjien tietoisuutta ja osaamista, tarve automatisointiin sekä sertifikaattien voimassaoloajan rajoittaminen. Tuloksiin pohjaten on olennaista, että palvelun tai sovelluksen vastuuhenkilö ymmärtää sertifikaattien olevan yhtä lailla osa kyseistä palvelua tai sovellusta, kuin esimerkiksi palvelimet ja ohjelmistot. Tuloksissa todetaan myös manuaalisten prosessien olevan työläitä ja kalliita, joten automatisoinnille on tarvetta, mutta vain tietyssä määrin. Sertifikaattien tarve vaatii edelleen ihmisen arviointia ja validointia. Sertifikaattien voimassaoloajan lyhentämistä perustellaan sillä, että lyhyet voimassaoloajat vähentäisivät tai poistaisivat kokonaan sertifikaattien peruuttamisen tarpeen. Tämä vähentäisi vahinkoa, jota sertifikaattien tai avainten vaarantuminen aiheuttaisi. Avainten ja sertifikaattien uusimiseen liittyy kuitenkin riskejä, ja prosessi on altis inhimillisille virheille.

Tämän opinnäytetyön pohjalta voi todeta, että tietoisuutta aiheesta kaivataan ja parempia ratkaisuja automatisointiin ja integrointiin nykyisiin ympäristöihin tarvitaan.