Certyfikat z rozszerzeniem KeyUsage=digitalSignature - co oznacza i do czego służy?

Rozszerzenie KeyUsage w certyfikacie X.509 określa, do jakich operacji kryptograficznych może być używany zawarty w nim klucz publiczny. Jedną z najczęściej stosowanych wartości (tzw. flag) jest digitalSignature, która oznacza, że certyfikat został wydany z przeznaczeniem do podpisywania cyfrowego. Przykładem certyfikatu stosującego to rozwiązanie jest DigiCert Document Signing Certificate for Business.

Co oznacza digitalSignature?

Flaga digitalSignature w rozszerzeniu KeyUsage pozwala na wykorzystanie certyfikatu do:

• podpisywania danych (np. dokumentów, tokenów JWT),
• podpisywania wiadomości e-mail (np. w S/MIME),
• uwierzytelniania klienta w połączeniach TLS,
• podpisywania kodu (w połączeniu z odpowiednim ExtendedKeyUsage).

Operacja podpisu cyfrowego polega na użyciu klucza prywatnego do wygenerowania podpisu, który może być zweryfikowany za pomocą powiązanego z nim klucza publicznego. Gwarantuje to:

• autentyczność - potwierdzenie, że dane pochodzą od posiadacza klucza
• integralność - zapewnienie, że dane nie zostały zmodyfikowane

Certyfikat zawierający rozszerzenie KeyUsage=digitalSignature stanowi istotny element infrastruktury klucza publicznego (PKI), umożliwiając bezpieczne podpisywanie danych, potwierdzanie ich pochodzenia oraz zapewnienie integralności. W zależności od scenariusza użycia, certyfikat taki może być wykorzystywany w:

• aplikacjach webowych,
• bankowości (zwłaszcza w API bankowych jak np. OpenAPI czy PSD2, gdzie dane są podpisywane cyfrowo za pomocą JWT bądź JWS),
• komunikacji e-mail,
• a także przy podpisywaniu kodu lub dokumentów.

Dla zastosowań krytycznych prawnie (np. podpis kwalifikowany), wymagany jest dodatkowo QSCD zgodny z eIDAS.

Rozszerzenie KeyUsage i inne możliwe flagi

Oprócz digitalSignature, w polu KeyUsage mogą występować także:

• nonRepudiation – związane z podpisem nieodrzucalnym,
• keyEncipherment – szyfrowanie kluczy sesyjnych (np. w TLS),
• dataEncipherment, keyAgreement, certSign, crlSign – inne funkcje kryptograficzne.

Flagi te mogą (choć nie muszą) występować łącznie – zależy to od zastosowania certyfikatu oraz polityki Urzędu Certyfikacji.

DigiCert Document Signing Certificate for Business - dla kogo?

Jeśli wśród wymagań, które musi spełniać Twój certyfikat znajdują się:

• Potrzeba weryfikowania organizacji, np. w ramach komunikacji z bankiem konieczne jest zweryfikowanie tożsamości Twojej organizacji, a nie konkretnej domeny,
• Korzystanie z opcji podpisu cyfrowego, umożliwiającego podpisywanie payloadów (np. JWT) przy użyciu klucza prywatnego,
• Wsparcie CRL i OCSP w pełni zgodne z wymaganiami banków w zakresie weryfikacji statusu certyfikatu,
• Potrzeba dzielenia się kluczem publicznym, umożliwiająca dystrybucję klucza publicznego za pośrednictwem API w celu weryfikacji podpisu przez bank.

Wszystkie powyższe wymagania spełnia certyfikat DigiCert Document Signing Certificate for Business i w takiej sytuacji będzie on dla Ciebie odpowiednim rozwiązaniem.

Jak uzyskać DigiCert Document Signing Certificate for Business?

Jeśli jesteś zainteresowany zakupem certyfikatu DigiCert Document Signing Certificate for Business, skontaktuj się z nami.