LINEBURG


<< Пред. стр.

страница 11
(всего 28)

ОГЛАВЛЕНИЕ

След. стр. >>

зация может четко ответить. В закрытой системе PKI не всегда ну-
жен регламент, но требуется сформировать политику применения
сертификатов; в открытой системе PKI, взаимодействующей с внеш-
ними субъектами, необходимы и политика, и регламент, и требова-
ния внутренней безопасности [49].
К числу документов, регулирующих политику PKI, относятся
документы, описывающие политику применения сертификатов, рег-
ламент и операционные процедуры, юридические контракты, заяв-
ления о приватности, соглашения об обслуживании и др. Многочис-
ленность документов соответствует сложности и объему информа-
ции, связанной с действующей инфраструктурой.
Политика большинства систем PKI направлена на решение
технических, административных, юридических и кадровых проблем.




PDF created with pdfFactory Pro trial version www.pdffactory.com
90 ___________________ Основы технологии PKI _________________


Основные требования к политике PKI можно сформулировать
следующим образом:
• соответствие общей корпоративной политике безопасности;
• четкость и однозначность формулировок;
• доступность изложения;
• разграничение ответственности между субъектами PKI;
• адекватность ограничений и пределов ответственности
требованиям сферы приложения сертификатов.
Несмотря на свою сложность, PKI - пока только часть любой
инфраструктуры безопасности организации, поэтому политика PKI
должна формироваться в русле общей корпоративной политики
безопасности и не противоречить ей. Очевидно, что могут возник-
нуть серьезные проблемы, если, например, политика PKI разрешает
выпуск сертификатов для аутентификации электронных транзакций
на сумму до 10 млн долларов, в то время как корпоративная полити-
ка безопасности устанавливает соответствующий предел в 1 млн
долларов.
Политика должна давать ясное и четкое представление о функ-
ционировании PKI, не допуская неправильных интерпретаций и тол-
кований. Продуманная политика позволяет избежать многих ошибок
пользователей и способствует принятию ими осознанных решений
при работе в системе PKI. Политика должна устанавливать ответст-
венность субъектов PKI в случае любой проблемной ситуации, на-
пример, предусматривать ответственность доверяющей стороны за
причиненный ущерб в результате недобросовестной проверки сер-
тификата и взаимодействия вследствие этого не с тем получателем.
Необходимо, чтобы политика PKI защищала не только систему, но
и пользователей, не имеющих достаточных юридических или техни-
ческих знаний для полного понимания работы PKI. Доступность из-
ложения политики способствует правильному пониманию пользова-
телями ответственности сторон и позволяет избежать многих оши-
бок в применении сертификатов.
Политика PKI должна распределять ответственность между
субъектами системы и разумно ограничивать ее в зависимости от
роли и функций каждого. Так, например, ответственность за началь-
ную идентификацию и аутентификацию субъектов чаще всего воз-




PDF created with pdfFactory Pro trial version www.pdffactory.com
5. Политика PKI 91


лагается на регистрационный центр. Ответственность обычно огра-
ничивается верхним предельным значением суммы (в стоимостном
выражении) каждой допустимой PKI-транзакции. Ограничения мо-
гут распространяться также на частоту и источник транзакций. Ус-
танавливаемые ограничения и пределы ответственности должны
быть разумными и не сдерживать коммерческую деятельность пред-
приятий, использующих в своей деятельности сертификаты откры-
тых ключей.
5.2. Политика применения сертификатов и регламент
Как определено стандартом организации IETF RFC 2527 Certifi-
cate Policy and Certification Practices Framework [93], основными до-
кументами, описывающими политику PKI, являются документ
о политике применения сертификатов (ППС) и регламент. Они по-
зволяют согласовывать политики безопасности разных организаций,
хотя объем и сложность большинства документов, содержащих ППС
и регламент, делают этот процесс достаточно трудоемким. Документ
о политике применения сертификатов можно сравнить с ответом на
вопрос «что?», а регламент - с ответом на вопрос «как?».
В соответствии с международным стандартом ISO/ШС 9594-
8/ГГи-Т Recommendation X.509 [69] под политикой применения сер-
тификатов понимается установленный набор правил, характери-
зующих возможность применения сертификата определенным со-
обществом и/или для класса приложений с определенными требова-
ниями безопасности. Политика применения сертификатов позволяет
доверяющей стороне оценить надежность использования сертифи-
ката для определенного приложения. Более детальное описание
практики удостоверяющего центра при выпуске и управлении сер-
тификатами содержится в опубликованном им регламенте.
Политика применения сертификатов
Фактом выпуска сертификата удостоверяющий центр подтвер-
ждает пользователю сертификата (доверяющей стороне), что данный
открытый ключ принадлежит данному лицу (субъекту сертификата).
Степень доверия, с которой пользователю сертификата следует пола-
гаться на его надежность, зависит от назначения сертификата и воз-
можности его использования в конкретном приложении, так как сер-




PDF created with pdfFactory Pro trial version www.pdffactory.com
92 ___________________ Основы технологии PKI _________________


тификаты выпускаются в соответствии с разными практиками и про-
цедурами удостоверяющих центров для разных приложений и целей.
При принятии решения об использовании данного сертификата
для конкретной цели и доверии к нему пользователь может ори-
ентироваться на указатель ППС в сертификате формата Х.509 вер-
сии 3. Таким указателем, характеризующим политику применения
сертификатов, является уникальный зарегистрированный идентифи-
катор объекта - Object Identifier. Регистрация выполняется в соот-
ветствии с процедурами, определенными стандартами Международ-
ной организации стандартизации ISO и Международной электротех-
нической комиссии IEC и ITU. Сторона, регистрирующая Object
Identifier, публикует текстовую спецификацию ППС для ознакомле-
ния и проверки пользователями сертификатов. В одном сертификате
чаще указывается одна, а не несколько политик применения серти-
фикатов. Каждый удостоверяющий центр аккредитуется с учетом
заявленных им политик, которые считаются базовыми. При выпуске
сертификата для другого удостоверяющего центра данный УЦ дол-
жен оценить и отразить в сертификате заявленный перечень политик
применения сертификатов субъекта. Модель доверия стандарта
Х.509 предполагает анализ указателей ППС при обработке цепочки
сертификатов.
Приведем примеры политик применения сертификатов. Пусть,
например, авиакомпания IATA, сотрудничающая с другими авиаком-
паниями-партнерами, желает выработать политики применения сер-
тификатов для PKI в авиационной индустрии: политики общего
и коммерческого назначения [93]. Политика общего назначения
формируется для персонала компании IATA с целью защиты обыч-
ной информации (например, электронной почты) и аутентификации
соединений web-браузеров с серверами для поиска информации об-
щего характера. В этом случае сертификаты могут выпускаться ав-
томатически для любого лица, указанного в списке корпоративного
каталога авиакомпании IATA, или служащего авиакомпании-
партнера, обратившегося к сетевому администратору своей органи-
зации с подписанным запросом на сертификат. Генерация,хранение
и управление парами ключей могут осуществляться посредством
браузеров.




PDF created with pdfFactory Pro trial version www.pdffactory.com
______________________ 5. Политика PKI_______________________ 93


Политика коммерческого назначения разрабатывается для за-
щиты финансовых транзакций или коммуникаций с авиакомпания-
ми-партнерами и предусматривает использование аппаратных крип-
тографических ключей. Сертификаты и аппаратные ключи выдаются
только уполномоченным служащим авиакомпаний после прохожде-
ния ими проверки корпоративной службой безопасности и подписа-
ния обязательств защищенного хранения и правильного использова-
ния аппаратных ключей.
Регламент удостоверяющего центра
Термин регламент удостоверяющего центра (Certification
Practice Statement - CPS) был введен в 1995 году в проекте директив
Американской ассоциации юристов (American Bar Association) как
«заявление о практике выпуска сертификатов удостоверяющим цен-
тром». Регламент может принимать форму подробного изложения
той системы и практики, которых придерживается удостоверяющий
центр в работе с сертификатами. В регламенте могут фиксироваться
положения договора между удостоверяющим центром и подписчи-
ками. Регламент четко формулирует обязанности удостоверяющего
центра перед доверяющей стороной. Лицо, полагающееся на серти-
фикат при проверке цифровой подписи, должно знать или получать
информацию о содержании сертификата. Этим обусловлено требо-
вание включения в сертификат ссылки на регламент удостоверяю-
щего центра, выпустившего данный сертификат. Регламент должен
отражать соответствие практики удостоверяющего центра общепри-
знанным стандартам, только в этом случае может быть оценена при-
годность и принципиальная технологическая совместимость серти-
фикатов, выпущенных удостоверяющим центром, с другими систе-
мами применения сертификатов.
Концепции политики применения сертификатов и регламента
имеют разное происхождение и разрабатывались по разным причи-
нам, но их связь чрезвычайно важна.
Регламент - это детальное изложение практики удостоверяю-
щего центра и всего того, что потенциально необходимо для пони-
мания и принятия во внимание подписчиками и пользователями сер-
тификатов (доверяющими сторонами). Любой регламент, независи-
мо от его уровня детализации, всегда более подробен, чем описание




PDF created with pdfFactory Pro trial version www.pdffactory.com
94 Основы технологии PKI


политики применения сертификатов. Регламент должен быть совер-
шенно понятным, четким документом, описывающим сервисы удо-
стоверяющего центра и процедуры управления жизненным циклом
сертификатов. Регламент необходим для адекватной оценки надеж-
ности удостоверяющего центра, но он не создает базис для функ-
циональной совместимости удостоверяющих центров, управляемых
разными организациями. Таким базисом служат политики примене-
ния сертификатов.
ТаблицаЗ.1. Сравнительная характеристика формулировок
документов, описывающих отдельное положение политики PKI

Формулировка
Формулировка Формулировка
организационных процедур
ППС регламента

Аппаратное обеспечение
Физический дос- Для гарантирования
УЦ размещается в поме-
туп к аппаратно- физической безопасно-
щении с ГГ-блокировкой
му обеспечению сти аппаратного обес-
УЦ разрешен печения УЦ должны на ... этаже офиса ... на
улице .... Дверь защища-
только лицам, соблюдаться следую-
ется замком и устройством
ответственным за щие меры контроля:
биометрической аутенти-
техническую
• вход в помещение, фикации. Ключи раздают-
поддержку сис-
где размещается аппа ся лицам, перечисленным
темы
ратура УЦ, - только по в списке (приложение А),
два человека; биометрические профили
создаются только для этих
• контроль доступа в
лиц. Камеры на северной
помещение - биомет
стене над входом в поме-
рический;
щение и на западной стене
• наблюдение за по за огнетушителем выпол-
мещением - 24 часа в няют наблюдение под
сутки 7 дней в неделю управлением пульта безо-
(по системе 24/7) пасности 24 часа в сутки 7
дней в неделю

Удостоверяющий центр на базе одного регламента может под-
держивать многочисленные политики применения сертификатов,*
используемые для приложений разного назначения или различными
сообществами пользователей сертификатов. Многие удостоверяю-
щие центры с разными регламентами могут поддерживать одну и ту




PDF created with pdfFactory Pro trial version www.pdffactory.com
5. Политика РК1 95


же политику применения сертификатов. Например, если федераль-
ное правительство определяет политику применения сертификатов
для управления конфиденциальной информацией о кадрах, то опи-
санием политики будет служить подробное изложение ее общих ха-
рактеристик и перечисление типов приложений, для которых она
пригодна. Разные департаменты или агентства, управляющие удо-
стоверяющими центрами с разными регламентами, должны поддер-
живать политику федерального уровня, но могут поддерживать на-
ряду с ней и другие политики применения сертификатов.
Любой удостоверяющий центр, используя спецификатор по-
литики, может включить в выпускаемый им сертификат ссылку на
свой регламент. По мнению многих разработчиков политики PKI,
ППС должна описывать все области применения сертификатов дан-
ного удостоверяющего центра, в то время как регламент удостове-
ряющего центра может разрабатываться без учета назначения сер-
тификатов. Таблица 5.1 позволяет сравнить формулировки политики
применения сертификатов, регламента и организационных проце-
дур, описывающие одно и то же положение политики РКГ. защи-
щенность аппаратных средств удостоверяющего центра. Регламент
и политика применения сертификатов содержат достаточно общую
информацию и публикуются открыто, а организационные процеду-
ры носят конфиденциальный характер и поэтому должны оставаться
секретными. Обычно регламент и политика имеют одинаковый фор-
мат публикации, установленный стандартом RFC 2527 [76], и взаимно
дополняют друг друга.
Трудности разработки ППС и регламента
Среди разработчиков политики PKI редко встречаются подлин-
ные специалисты, обладающие необходимым опытом и уровнем зна-
ний. Большинство привлекаемых к этой работе бизнес-менеджеров
оказываются недостаточно технически образованными, чтобы уча-
ствовать в проектировании PKI, а многие менеджеры - специалисты
по информационным технологиям, не знают условий реального биз-
неса или специфики деятельности организации.
В результате документы, описывающие политику PKI, созда-
ются людьми, которые не представляют целостной картины функ-
ционирования PKI и опираются на свои предположения и допуще-




PDF created with pdfFactory Pro trial version www.pdffactory.com
96____________________Основы технологии PKI _________________


ния. Встречающиеся в тексте документов неточности и положения,
которые можно толковать двояко, подвергают серьезному риску
всех субъектов PKI. Например, недооценка важности правильного
выбора предельного значения сумм транзакций может иметь ради-
кальные последствия: если предел установлен слишком низким, не-
обходимые для ведения бизнеса транзакции могут быть отвергнуты,
если предел слишком высок, PKI подвергается риску. Лучшим ре-
шением при отсутствии специалистов необходимой квалификации
является привлечение центра утверждения политики (Policy Approval
Authority) - организации, интегрирующей все составляющие полити-
ки и руководства в процессе выработки политики PKI (в России такая
организация пока не создана).
Среди разработчиков политики PKI широко распространено
мнение, что полезность описывающих политику документов напря-
мую зависит от их объема и степени подробности содержания. На-
пример, политика применения сертификатов, разработанная компа-
нией VeriSign для PKI Trust Network, излагается на 115 страницах,
а регламент занимает 119 страниц. Более того, эти документы изо-
билуют юридической лексикой. Совершенно ясно, что документы
такого объема и сложности находятся за пределами возможностей
понимания среднего человека (субъекта или доверяющей стороны)
и затрудняют разбор конфликтных ситуаций в суде. Некоторые ком-
пании, предоставляющие услуги PKI, поняли это и ищут альтерна-
тивные пути разработки более жизнеспособных документов. Так,
например, компания VeriSign для сопровождения больших докумен-
тов предлагает CPS Quick Summary - краткое изложение регламента.
Краткое изложение делает документ более понятным для среднего
человека, что повышает шансы компании выиграть в суде в случае
конфликта между сторонами - субъектами PKI.
5.3. Краткая характеристика политики PKI
Реальной альтернативой объемным документам, подробно опи-
сывающим политику PKI, может стать краткая характеристика по-
литики - документ PDS (PKI Disclosure Statement). Документ PDS
возник как проект группы инженерной поддержки Интернет IETF,
затем Американская ассоциация юристов (American Bar Association -




PDF created with pdfFactory Pro trial version www.pdffactory.com
5. Политика РК1 97


ABA) воплотила его идею в соответствующее приложение к своему
руководству по оценке инфраструктур открытых ключей - PKI
Evaluation Guidelines, аналогичный документ был разработан также
техническим комитетом по безопасности Европейского института
стандартов связи (European Telecommunications Standards Institute -
ETSI).
Документ, кратко раскрывающий политику PKI, должен зани-
мать не более 2 страниц в отличие от политики применения сертифи-
катов и регламента, которые обычно излагаются на 8-10 и 40-80
страницах соответственно. PDS описывает самые существенные ас-
пекты деятельности PKI: гарантии, ограничения и юридическую от-
ветственность сторон, он может служить контрольным списком для
проверки соответствия практик безопасности двух удостоверяющих
центров до вступления их в доверительные отношения. В целом до-
кумент PDS больше похож на соглашение с конечным пользовате-
лем или владельцем пластиковой карты, чем на обычный документ
о политике. Действительно, пользователя среднего уровня подготов-
ки обычно интересует его ответственность в различных ситуациях,
а отнюдь не используемые криптографические методы или специ-
фические меры безопасности PKI. Например, тот факт, что для хра-
нения секретного ключа удостоверяющего центра используется ап-
паратный ключ (токен), скорее всего, привлечет внимание лишь ог-
раниченного круга лиц, а вот положение об ответственности дове-
ряющей стороны за проверку действительности используемых сер-
тификатов до проведения транзакции заинтересует всех субъектов
PKI.
PDS позволяет ограничивать ответственность удостоверяющего
центра, если сертификат использовался не по назначению. Например,
издатель сертификатов может опубликовать документ PDS, ограни-
чивающий использование сертификатов только целями бизнеса. Ес-
ли в дальнейшем клиент компании пожелает использовать свой сер-
тификат для покупки DVD-диска в Интернет-магазине, то не сможет
в этом случае рассчитывать на гарантии удостоверяющего центра.
Конкретизируя ответственность сторон, PDS не только обеспечивает
защиту издателя сертификатов, но и определяет отношения между
всеми субъектами PKI.




PDF created with pdfFactory Pro trial version www.pdffactory.com
98____________________ Основы технологии PKl_________________


Документ PDS должен быть адресован конечным пользовате-
лям PKI и всем лицам, заинтересованным во взаимной сертифика-
ции. Эффективное управление взаимной сертификацией является
общей проблемой больших компаний, предоставляющих услуги
PKI. Если клиент такой компании вступает в отношения взаимной
сертификации, например, с правительственным агентством, то долж-
ны соблюдаться все требования политики правительства, которые
могут быть несовместимы с требованиями политики компании. Со-
гласование таких объемных и подробных документов, как политика
применения сертификатов и регламент, хотя и не является невоз-
можным, но все же вызывает значительные затруднения.
Как и все другие документы, описывающие политику PKI,

<< Пред. стр.

страница 11
(всего 28)

ОГЛАВЛЕНИЕ

След. стр. >>

Copyright © Design by: Sunlight webdesign