Infrastruktury klucza publicznego

Mechanizmy bezpieczeństwa oparte na systemach klucza publicznego odgrywają coraz większą rolę w przedsiębiorstwach. Powstaje jednak pytanie o sposób efektywnej integracji infrastruktury klucza publicznego (PKI) z otoczeniem informatycznym.

Mechanizmy bezpieczeństwa oparte na systemach klucza publicznego odgrywają coraz większą rolę w przedsiębiorstwach. Powstaje jednak pytanie o sposób efektywnej integracji infrastruktury klucza publicznego (PKI) z otoczeniem informatycznym.

W systemach klucza publicznego do ochrony informacji przed nieuprawnionym dostępem stosuje się klucze publiczne i klucze tajne.

W systemach klucza publicznego do ochrony informacji przed nieuprawnionym dostępem stosuje się klucze publiczne i klucze tajne.

Papier i tradycyjna poczta (snail mail) wychodzą z mody, nastaje era elektronicznych dokumentów i elektronicznej poczty. O ile w przeszłości większość procesów biznesowych wymagała osobistego udziału lub wytworzenia papierowych dokumentów, o tyle dzisiaj procesy te można kształtować znacznie bardziej racjonalnie dzięki światowej infrastrukturze informatycznej. Przedsiębiorstwa, instytucje i organa władzy w coraz większym stopniu przetwarzają dokumenty na komputerach, następnie przesyłają je w sieciach wewnętrznych i zewnętrznych. Dzięki temu dane w postaci elektronicznej można włączać bezpośrednio do procesów roboczych bez zmiany postaci nośnika. Daje to ogromną oszczędność czasu i kosztów.

Przetwarzane lub generowane dane mają dla przedsiębiorstwa ogromną wartość. Ochrona ważnych danych powinna mieć zatem najwyższy priorytet, a środki zapobiegawcze są nieodzowne. Potencjalny napastnik ma zawsze możliwość przechwytywania wiadomości z sieci publicznych, a poprzez ich wykorzystanie lub manipulację - wyrządzenia przedsiębiorstwu potencjalnie olbrzymich szkód. Już stosunkowo proste środki wystarczają, żeby uzyskać nieuprawniony dostęp do ważnych danych lub poczty elektronicznej.

Poufność, uwierzytelnianie i integralność to podstawowe zagadnienia ochrony aplikacji i danych. W ostatnich latach nastąpił szybki rozwój rozwiązań opartych na asymetrycznych systemach klucza publicznego, które służą do szeroko pojętej ochrony danych. Można przypisać weryfikowalną autentyczność użytkownikom i usługom w całej sieci.

Niniejszy rozdział wyjaśnia najpierw podstawowe problemy, jakie powstają przy planowaniu infrastruktury klucza publicznego (PKI). W drugiej części omówiono bliżej rozwiązania oferowane przez konkretne firmy.

Systemy klucza publicznego pomagają utworzyć odpowiednią bazę bezpieczeństwa. Zastosowanie kryptografii klucza publicznego w sieciach przedsiębiorstw wymaga jednak budowy i eksploatacji niezbędnej infrastruktury. Infrastruktura klucza publicznego (PKI) umożliwia na przykład bezpieczne przechowywanie kluczy prywatnych, organizację kluczy publicznych w ogólnie dostępne katalogi, a także udostępnia moduły sprzętowe i programowe do szyfrowania i stosowania podpisów cyfrowych.

Sprawnie działająca PKI zapobiega kradzieży tożsamości, czyli uczestnictwu w komunikacji z cudzą tożsamością, oraz uniemożliwia dostęp do dokumentów osobom do tego nieuprawnionym.

Ogólnie PKI składa się ze sprzętu, oprogramowania i regulaminu przedsiębiorstwa, nazywanego również polityką w zakresie bezpieczeństwa. Polityka definiuje reguły bezpieczeństwa, według których świadczone są usługi. Elementami składowymi polityki są: firmowa koncepcja PKI, wytyczne dla użytkowników oraz instrukcje robocze i organizacyjne.

Certyfikat cyfrowy

Analogie między dowodem osobistym a certyfikatem cyfrowym

Analogie między dowodem osobistym a certyfikatem cyfrowym

Centralnym elementem struktury klucza publicznego jest cyfrowy dowód tożsamości - certyfikat. Odgrywa rolę dowodu osobistego lub paszportu w świecie komunikacji elektronicznej. Zawiera informacje o posiadaczu i wystawcy certyfikatu; służy do przyporządkowania pary kluczy do osoby.

Najważniejszą częścią składową certyfikatu jest klucz publiczny właściciela, nierozerwalnie z nim związany. Za pomocą tego klucza każdy może sprawdzić podpis elektroniczny właściciela certyfikatu. Oprócz tego certyfikat opatrzony jest jednoznacznym numerem, zawiera nazwisko posiadacza oraz datę ważności certyfikatu. Poniższa tabela jest zestawieniem najważniejszych analogii między dowodem osobistym a certyfikatem cyfrowym.

Jako środek przekazu certyfikatów mogą służyć pliki chronione hasłem lub tokeny USB, jednak w praktyce najczęściej stosuje się SmartCards. Zawierają one miniaturowy układ scalony, w którym zapisano algorytmy klucza publicznego i dane. Zaletą jest to, że szyfrowanie odbywa się na karcie, a więc klucz prywatny nie opuszcza karty. To zapewnia znacznie większe bezpieczeństwo w porównaniu z rozwiązaniami czysto programowymi.

Niezależnie od tego użycie karty jest możliwe dopiero po podaniu prawidłowego kodu PIN. Nie bez znaczenia jest również, że zgodne z prawem stosowanie podpisu cyfrowego wymaga korzystania z kart wyposażonych w mikroprocesor, a więc bardzo bezpiecznych.

Trust Center

Urzędy certyfikacji (CA) wystawiają certyfikaty, które bezpośrednio wiążą tożsamość uczestnika z odpowiadającym mu kluczem publicznym oraz publikują je w ogólnie dostępnym katalogu.

Urzędy certyfikacji (CA) wystawiają certyfikaty, które bezpośrednio wiążą tożsamość uczestnika z odpowiadającym mu kluczem publicznym oraz publikują je w ogólnie dostępnym katalogu.

Aby mieć pewność, że nikt nie manipuluje certyfikatem, a wszystkie dane są poprawne, potrzebujemy "centralnego organu", który wystawia certyfikat i "plombuje" go. Zadanie to wykonują centra certyfikacji, zwane w fachowym żargonie Trust Center lub certification authority (CA). Jest to centralna instytucja zaufania, która odpowiada za wiążące, dedykowane przyporządkowanie par kluczy do osób ("certyfikację"). CA nadaje jednoznaczną tożsamość i zarządza parą kluczy wraz z przynależnym certyfikatem każdego użytkownika systemu. Każdy certyfikat wystawiony przez CA łączy klucz publiczny uczestnika z jego nazwiskiem i wymienionymi powyżej danymi dodatkowymi. W ten sposób CA gwarantuje, że nazwisko i klucz publiczny wymieniony w certyfikacie należą do tej samej osoby.

Przyjęło się, że rejestracja uczestników i certyfikacja kluczy są od siebie oddzielone, a nawet częściowo odbywają się w różnych miejscach. Urząd certyfikacji (CA) zajmuje się wyłącznie sprawami certyfikacji, natomiast obsługa użytkowników należy do zadań odrębnej instytucji, urzędu rejestracji (registration authority - RA).

Rola RA polega na zbadaniu, czy użytkownik zidentyfikował się w trakcie rejestracji zgodnie z wytycznymi polityki bezpieczeństwa. Jeżeli tak, sporządza wniosek o wystawienie certyfikatu do CA i zarządza wystawionymi certyfikatami użytkowników.

Przegląd usług CA i RA

Przegląd usług CA i RA.

Przegląd usług CA i RA.

Certyfikowane klucze publiczne muszą zostać w końcu opublikowane. Zwykle miejscem publikacji jest LDAP (zob. słownik). Służba informacyjna jest do pewnego stopnia odpowiednikiem usługi 913 w telekomunikacji - informuje o nazwiskach uczestników systemu i podaje - zamiast numerów telefonów - informacje o przynależnych do nich kluczach publicznych. Tu właśnie odbiorca cyfrowo podpisanej wiadomości może sprawdzić aktualny status certyfikatu.

Służba katalogowa zarządza i udostępnia listy zablokowanych certyfikatów (certificate revocation list, CRL), to jest certyfikatów, które w okresie swojej ważności zostały uznane przez CA za nieważne. Możliwe powody to: ujawnienie hasła, nadużycie certyfikatu, odejście posiadacza certyfikatu z firmy, która go wystawiła. Usługa znakowania czasem umożliwia umiejscowienie w czasie dokumentu lub transakcji.

Stempel czasowy w postaci, w jakiej dostarcza go Trust Center (TC TimeStamp) jest nie tylko dowodem, że dane elektroniczne istniały w określonym momencie; o wiele ważniejsze jest, że wszelkie później wprowadzone zmiany są natychmiast widoczne.


Zobacz również