LINEBURG


<< Пред. стр.

страница 18
(всего 28)

ОГЛАВЛЕНИЕ

След. стр. >>

7. Развертывание PKI ____________________ 153


7. РАЗВЕРТЫВАНИЕ ИНФРАСТРУКТУРЫ
ОТКРЫТЫХ КЛЮЧЕЙ
Процесс развертывания PKI состоит из последовательного ря-
да этапов, каждый из которых должен сопровождаться соответст-
вующим документированием и проверками:
1. предварительный этап;
2. проектирование;
3. создание прототипа;
4. пилотный проект;
5. внедрение.
Каждый из этапов создания PKI дает результат в виде явно
оформленного "продукта", позволяющего убедиться в законченно-
сти и общем продвижении процесса [21].
7.1. Предварительный этап
Предварительный этап включает подготовительную работу
для принятия решения о необходимости развертывания инфраструк-
туры, оценку материальных ресурсов и финансовых возможностей
организации, определение цели развертывания и сферы применения
PKI, выбор приоритетных сервисов безопасности, анализ данных
и приложений системы PKI.
Подготовка принятия решения о развертывании
При подготовке принятия решения специалисты организации,
планирующей развернуть PKI, должны изучить возможности и рис-
ки инфраструктур открытых ключей, ознакомиться с предложения-
ми и PKI-решениями различных поставщиков программных продук-
тов и услуг в этой области и получить их консультации относитель-
но целесообразности, возможной стратегии и ожидаемой эффектив-
ности использования технологии цифровых сертификатов. На этом
шаге полезно изучение опыта развертывания или функционирования
существующих инфраструктур открытых ключей.
Оценка готовности к развертыванию
В силу того, что развертывание PKI требует значительных ка-
питаловложений, для принятия решения необходима оценка матери-
альных ресурсов и финансовых возможностей организации на на-




PDF created with pdfFactory Pro trial version www.pdffactory.com
154 __________________ Основы технологии PKI _________________


стоящий момент и в ближайшие годы, экономического эффекта от
использования новой технологии, начальных затрат и стоимости
функционирования системы PKI. В этом процессе должны участво-
вать представители администрации или бизнес-менеджеры, техниче-
ские специалисты и работники планово-финансовых подразделений.
Определение цели развертывания PKI
Проведя тщательную оценку своих потребностей, некоторые
организации вообще могут прийти к выводу, что инфраструктура
открытых ключей им не нужна. Развертывание PKI целесообразно
для крупных территориально распределенных организаций, где не-
обходимо наладить контролируемую защиту документов и серверов
при использовании разнообразных приложений [30]. Для решения
менее масштабных задач пригоден другой инструментарий безопас-
ности. Так, например, для поддержки виртуальных частных сетей
имеются специальные программные средства, как правило, уже ос-
нащенные надежными функциями аутентификации. Сервисы безо-
пасности виртуальных частных сетей используются, главным обра-
зом, организациями, требования которых ограничены безопасным
доступом к внутренней сети через Интернет. Программы персональ-
ного шифрования обеспечивают защиту документов и данных в ло-
кальных системах и удобны для небольших групп пользователей.
Сервер сертификатов может решить проблемы несанкционирован-
ного доступа к web-контенту, особенно в интрасетях, в том числе
расширенных, и на порталах. Для защиты связи с деловыми партне-
рами многие поставщики PKI-услуг предлагают широкий спектр
сервисов безопасности, избавляя тем самым клиентов от необходи-
мости самостоятельного развертывания PKI, но предоставляя им
весьма ограниченные возможности контроля РК1-транзакций.
Любая организация при определении целей развертывания PKJ
должна руководствоваться своей политикой безопасности, учиты-
вать специфику ведения бизнеса или характер деятельности, юриди-
ческие и административные ограничения. К потребностям ведения
бизнеса или деятельности организации можно отнести:
• поддержку аутентификации пользователей в системах
электронной коммерции;
• требований ведения бизнеса;




PDF created with pdfFactory Pro trial version www.pdffactory.com
___________________ 7. Развертывание PKI ____________________ 155


• поддержку деловых коммуникаций в сделках «бизнес-
бизнес» и т.п.
Не менее важен при принятии решения о развертывании PKI и
учет потребностей безопасности, например, необходимость повы-
сить уровень защищенности корпоративной системы, связанной
с Интернет, или следовать требованиям безопасности, установлен-
ным государственными органами. Кроме того, условия конкуренции
вынуждают многие компании использовать новые технологии, что-
бы соответствовать ожиданиям клиентов в отношении безопасности
используемой ими системы.
Определение сферы применения PKI
Правильное определение сферы применения является предпо-
сылкой успешного проектирования PKI. Возможны самые разные
варианты использования PKI. В масштабе страны может быть раз-
вернута федеральная PKI, обеспечивающая контакты между прави-
тельственными учреждениями и всеми гражданами посредством
сертификатов и цифровых подписей. Отдельная компания может
использовать персональные сертификаты на смарт-картах для
управления доступом штатных сотрудников в помещения и к ком-
пьютерным системам и приложениям. При помощи персональных
сертификатов Интернет-магазин может аутентифицировать клиен-
тов, заказывающих товар. В финансовой сфере PKI может использо-
ваться в системе банковских расчетов для перевода денег корпора-
тивным клиентам и операций по аккредитивам.
В таблице 7.1 приводится перечень возможных сфер примене-
ния и приложений PKI, сформированный международным объеди-
нением пользователей и поставщиков услуг и программных продук-
тов в области инфраструктур открытых ключей (PKI Форум) [73].
В зависимости от сферы применения и масштаба PKI ее ко-
нечными субъектами или пользователями могут выступать граждане
страны, клиенты, ИТ-штат или весь персонал организации, деловые
партнеры или другие компании.
При задании сферы применения PKI необходимо определить
уровень взаимодействия участников системы РК1(международный,
межкорпоративный, корпоративный, между несколькими подразде-
лениями компании и т.п.Х




PDF created with pdfFactory Pro trial version www.pdffactory.com
Основы технологии PKI
156



Таблица 7.1. Сферы применения и категории приложений PKI
Сфера Примеры объектов и
Категория
транзакций PKI-
применения приложения
приложений
Банковская и фи- Аутентификация • Покупка акций •
нансовая сферы платежей Денежные переводы по
кредитам на обучение
Контроль доступа • Банковские операции в
онлайновом режиме
Защищенная элек- • Подача документов в
комиссию по ценным бума-
тронная почта
гам и биржам
Защищенное хране- • Электронные ипотечные
ние и поиск доку- кредиты • Заявки на
ментов приобретение ценных бумаг

Цифровой нотариат • Документы о правовом
титуле • Кредиты

• Гарантийные письма
Защищенные тран-
закции
Страхование Электронная циф- Онлайновые: •
ровая подпись квоты; •
заявки; •
разрешения

Аутентификация Онлайновые платежи: •
платежей страховые премии; •
компенсации по страховым
полисам

Контроль доступа • Электронный докумен-
тооборот • Информация о
страхователях




PDF created with pdfFactory Pro trial version www.pdffactory.com
7. Развертывание PKI 157


Окончание табл. 7.1.
Сфера Примеры объектов и
Категория
транзакций PKI-
применения приложения
приложений
Аутентификация
Здравоохранение Выплата компенсаций
платежей
Защищенный обмен Подача заявлений на ком-
сообщениями/ элек- пенсацию
тронная почта
Защищенное хране- Информация о пациентах
ние и поиск доку-
ментов
Квалификационная Удостоверения врачей
идентификация
Персональная иден- Паспорта
тификация
Проход в правительствен-
Правительство Контроль доступа
ные здания
Аутентификация Выплаты органов социаль-
платежей ного обеспечения
Защищенный обмен Финансовые полномочия
сообщениями администрации
Защищенное хране- Юридические документы по
судебным делам
ние и поиск доку-
ментов
Просмотр выбранных доку-
Бизнес Контроль доступа
ментов деловыми партнера-
ми
Аутентификация Защищенные электронные
платежей платежи
Электронная циф- Электронные контракты
ровая подпись
Защищенный обмен • Соглашения о коммер-
сообщениями ческой тайне • Запросы с
предложениями о поставках
• Контракты




PDF created with pdfFactory Pro trial version www.pdffactory.com
158 __________________ Основы технологии PKI _________________


Чрезвычайно важно выявить проблемы взаимодействия с дру-
гими PKI и их функциональной совместимости. Это позволит очер-
тить круг сторон, вовлекаемых в процесс развертывания PKI. В до-
мен доверия PKI не входят индивидуумы или организации, не вклю-
ченные в сферу применения инфраструктуры. По мере функциони-
рования PKI сфера применения может быть пересмотрена и допол-
нена новыми типами пользователей.
Выбор приоритетных сервисов безопасности
Как указывалось ранее (см. раздел 1), PKI обеспечивает под-
держку основных сервисов безопасности. На предварительном этапе
должны быть выбраны приоритетные направления обеспечения ин-
формационной безопасности с учетом ожиданий заинтересованных
сторон относительно уровня безопасности проектируемой инфра-
структуры [72]. Если организации важно реализовать аутентифика-
цию пользователей, то должен быть выбран способ и порядок аутен-
тификации и средства хранения сертификатов и ключей. Если ак-
цент делается на конфиденциальность данных, то при проектирова-
нии PKI следует особенно тщательно подойти к выбору криптогра-
фического алгоритма шифрования данных. Если важна целостность
данных, то могут использоваться цифровые подписи. Если необхо-
димо предотвратить отказ от обязательств, то должны использовать-
ся сертификаты открытых ключей подписи. В силу разнообразия
требований клиентов к защищенности используемых ими приложе-
ний решение проблем безопасности может быть найдено в результате
комбинированного применения нескольких методов и криптогра-
фических алгоритмов.
Важными шагами предварительного этапа являются выбор
тактики введения в действие средств безопасности системы (поэтап-
ного наращивания возможностей или одновременной комплексной
реализации) и планирование ресурсов, согласованное со всем про-
цессом развертывания PKI.
Анализ данных и приложений
Проектирование PKI должно осуществляться на принципах
управления рисками и предваряться анализом рисков, а также дан-
ных и приложений системы PKI, которые необходимо защитить.
Особенно важна защищенность данных, используемых во время




PDF created with pdfFactory Pro trial version www.pdffactory.com
___________________ 7. Развертывание РК1 ____________________ 159


функционирования системы PKI, данных на магнитных и бумажных
носителях, архивных данных, протоколов обновления, записей ауди-
та и документации. В числе приложений должны быть учтены при-
ложения локальной/сетевой связи, контроля доступа и Интернет-
приложения. Анализ должен выявить последствия компрометации
безопасности, степень риска будет определять соответствующий уро-
вень гарантий PKI. При выявлении большого числа рисков, связан-
ных с различными приложениями, возникает необходимость в разра-
ботке нескольких политик применения сертификатов.
На предварительном этапе необходимо изучить преимущества
и риски инфраструктур открытых ключей, сформулировать потребно-
сти безопасности и ведения бизнеса или иной деятельности, оценить
затраты и проанализировать возможные решения по развертыванию
PKI. В результате предварительного этапа, если принимается реше-
ние о необходимости PKI, должен быть составлен разумный и при-
емлемый по срокам план развертывания, учитывающий потребности
организации, а также ее материальные и финансовые возможности.
7.2. Проектирование
Этап проектирования занимает длительное время, так как на
этом этапе должна быть сформирована политика PKI и регламент,
задана архитектура PKI, определены аппаратные и программные
средства поддержки инфраструктуры, выбраны ее компоненты, сер-
висы, режимы работы, протоколы и базовые стандарты [21].
Изучение политик PKI и стандартов
Проектирование PKI должно начинаться со сбора эталонных
политик и использования их в качестве шаблонов для разработки
политики данной PKI [72]. Цифровые сертификаты служат базисом
доверия при коммуникации между сторонами. Политика должна
разрабатываться с учетом всех возможных проблем безопасности в
данной среде, неадекватность и нечеткость политики ведет к ошибкам
при реализации системы безопасности и может угрожать целостно-
сти всей PKI. При формировании политики необходимо ориентиро-
ваться на стандарты в области PKI, позволяющие обеспечить функ-
циональную совместимость различных инфраструктур открытых
ключей.




PDF created with pdfFactory Pro trial version www.pdffactory.com
160___________________Основы технологии РК1 _________________


Модель доверия и архитектура PKI
Фундаментом доверия PKI являются надежные сертификаты
открытых ключей. Надежность сертификатов открытых ключей за-
висит от надежности удостоверяющих центров, которые их подпи-
сывают. Это допущение формирует отношения доверия между раз-
личными сторонами-участниками системы PKI и позволяет конеч-
ным субъектам считать свои транзакции надежными.
Широкомасштабное развертывание PKI может вовлекать в ин-
фраструктуру многие удостоверяющие центры, которые выпускают
разнообразные сертификаты, создавая множественные отношения
доверия в зависимости от области применения сертификатов, типов
используемых приложений, пользователей сертификатов и видов
деловых операций. Для обеспечения функциональной совместимо-
сти компонентов PKI должны быть определены отношения между
этими удостоверяющими центрами и задана архитектура PKI.
Отношения между взаимодействующими удостоверяющими
центрами формируют одну или несколько цепочек сертификатов,
в результате верификации которых принимается решение о доверии
к сертификату другой стороны - участника системы PKI. Организа-
ции, развертывающей PKI, необходимо определить, как управлять
цепочками сертификатов и подтверждать надежность сертификатов.
В PKI закрытой корпоративной системы все владельцы сертифика-
тов работают в одной организации, доверяют одному и тому же удо-
стоверяющему центру, и путь доверия строится на базе корневого
сертификата этого центра.
При развертывании PKI сложной структуры организация
должна определить, будет ли она доверять сертификатам пользова-
телей и приложений только своего домена доверия или других до-
менов тоже. Домен доверия, или домен политики, определяется на-
бором политик, в соответствии с которыми выпускает сертификаты
данный удостоверяющий центр. Если принимается решение о дове-
рии ограниченному набору доменов, то должны быть выпущены
взаимные сертификаты, и тем самым внедрена модель доверия дан-
ной организации в другие домены. Если организация планирует ис-
пользовать, например, приложение глобальной защищенной элек-
тронной почты, то потребуется более сложная структура взаимной




PDF created with pdfFactory Pro trial version www.pdffactory.com
____________________7. Развертывание РК1 ____________________ 161


сертификации всех входящих в состав PKI удостоверяющих цен-
тров, способная обеспечить формирование цепочек сертификатов
между любыми двумя владельцами сертификатов из любых доменов
доверия.
Модель доверия важна для определения отношений не только
с внешними сторонами, но и между сторонами внутри организации.
Так, некоторым организациям традиционно свойственна сложная
корпоративная иерархия, поэтому в составе их PKI могут быть один
центральный удостоверяющий центр и множество подчиненных ему
удостоверяющих центров отделов и подразделений, то есть модель
доверия будет базироваться на традиционных для конкретной ком-
пании правилах ведения бизнеса и отношениях между подразделе-
ниями. Наконец, модель доверия PKI организации может строиться
на основе подписанных соглашений о политике применения серти-
фикатов и ответственности удостоверяющих центров, связанных
путем доверия. В этом случае должны быть рассмотрены вопросы
о степени ответственности организации при взаимной сертификации
и ситуации, когда ответственность возлагается на пользователей
сертификатов.
Политика применения сертификатов
Политика применения сертификатов (ППС) разрабатывается
на достаточно длительный срок и должна удовлетворять строгим
требованиям, обычно она излагается в соответствии с форматом
описания политики, который задает документ RFC 2527 Certificate
Policy and Certification Practices Framework [93]. Этот документ со-
держит стандартный иерархический набор положений, сгруппиро-
ванный в 8 основных разделов и 185 подразделов второго и третьего
уровней (подробное описание формата политики применения сер-
тификатов и регламента удостоверяющего центра см. в гл. 5). При-
мерный перечень положений служит ориентиром при описании по-
литики применения сертификатов и помогает разработчикам поли-
тики не упустить важные моменты.
Разработка дополнений и ограничений политики
Как правило, архитектура PKI эволюционирует от одиночных
изолированных удостоверяющих центров к более сложным формам,
устанавливающим отношения доверия между разнородными


<< Пред. стр.

страница 18
(всего 28)

ОГЛАВЛЕНИЕ

След. стр. >>

Copyright © Design by: Sunlight webdesign