Certificati Digitali Spiegati: Le Carte d'Identità di Internet
Un certificato digitale (certificato X.509) è un documento elettronico che lega un'identità a una chiave pubblica, verificato da una terza parte fidata (Certificate Authority, CA). È la pietra angolare della PKI (Public Key Infrastructure).
Campi del Certificato (Analogia: Patente di Guida)
| Campo | Analogia | Scopo |
|---|---|---|
| Subject | Nome, foto | Entità identificata (dominio, organizzazione, persona, dispositivo) |
| Issuer | Motorizzazione | CA che ha firmato (DigiCert, Let's Encrypt, GlobalSign, CA interna) |
| Periodo di Validità | Data di scadenza | Not Before / Not After (tipicamente 90 giorni – 1 anno per pubblici; fino a 10 anni per privati) |
| Chiave Pubblica | — | Usata per cifrare al soggetto / verificare le firme del soggetto |
| Algoritmo di Firma | — | es. SHA-256 con RSA / ECDSA |
| Estensioni | Restrizioni (solo moto) | Key Usage, Subject Alt Names (SAN), OCSP, CRL, politiche CA/Browser Forum |
| Numero di Serie | Numero di patente | Unico per ogni emittente |
Tipi Comuni
- TLS/SSL (HTTPS): Domain validated (DV), Organization validated (OV), Extended validation (EV).
- Code Signing: Firma software/binari (Microsoft, Apple, Java).
- Client Auth / S/MIME: Certificati utente/dispositivo per VPN, Wi-Fi (EAP-TLS), cifratura/firma email.
- Document Signing: Adobe CDS, eIDAS qualificato.
Catena di Fiducia
Root CA (offline, nel trust store OS/browser) → Intermediate CA → Leaf (end-entity) certificate. La validazione controlla la catena di firme, scadenza, revoca (OCSP/CRL), corrispondenza nome.
Perché È Importante
Consente riservatezza (cifratura), autenticità (identità server), integrità (rilevamento manomissione), non ripudio (firme digitali). Senza certificati, niente HTTPS, niente email sicura, niente reti zero-trust.