LINEBURG


<< Пред. стр.

страница 4
(всего 28)

ОГЛАВЛЕНИЕ

След. стр. >>

сертифицированные посредниками, которым доверяет пользователь,
PGP считает действительными. Ключи, принадлежащие этим по-
средникам, сами должны быть сертифицированы пользователем или
другими посредниками, которым пользователь доверяет. Таким об-
разом, формируется сеть поручительства участников системы PGP
за достоверность распространяемых ключей, так называемая сеть
доверия. Предоставление всем пользователям возможности действо-
вать в качестве посредников считается целесообразным для децен-
трализованных сред.
PGP поддерживает в качестве частного случая своей обоб-
щенной модели распределенного доверия централизованный сцена-
рий, когда сертификаты открытых ключей пользователей заверяет
своей подписью лицо, пользующееся общим доверием - удостове-
ряющий центр [162]. Любому открытому ключу, заверенному под-
писью удостоверяющего центра, можно доверять в том смысле, что
он принадлежит тому, чье имя он несет. Все пользователи должны
обладать копией открытого ключа удостоверяющего центра для
проверки его цифровой подписи. PGP обеспечивает интегрирован-
ную поддержку распространения и поиска открытых ключей на сер-
верах ключей. Единый удостоверяющий центр особенно подходит
для больших централизованно управляемых организаций, прави-
тельственных или корпоративных. Некоторые организационные
среды используют иерархию удостоверяющих центров, лежащую




PDF created with pdfFactory Pro trial version www.pdffactory.com
30____________________Основы технологии РК1 _________________


в основе стандартной схемы, основанной на централизованном кон-
троле и принудительно централизованном доверии. Иерархия удо-
стоверяющих центров обычно диктует пользователю, кому он дол-
жен доверять. Децентрализованный вероятностный метод определе-
ния действительности ключей, реализованный PGP, позволяет поль-
зователю самостоятельно принимать решение о доверии, строя свою
собственную пирамиду сертификации.
Система защищенных электронных транзакций SET
Протокол SET, базирующийся на техническом стандарте, раз-
работанном компаниями VISA и Master Card [170], обеспечивает
безопасность электронных расчетов по пластиковым картам через
Интернет: гарантирует конфиденциальность и целостность инфор-
мации о платежах, аутентификацию счета владельца карты и дает
возможность подтвердить право коммерсанта (продавца) проводить
финансовые операции с финансовым учреждением [1]. В среде SET
инфраструктура открытых ключей является фундаментом, на кото-
ром базируется вся система аутентификации участников расчетов.
Цифровые сертификаты, также известные как электронные
мандаты или цифровые удостоверения личности, используются для
связывания открытых ключей и субъектов и выпускаются доверен-
ной третьей стороной или компанией - удостоверяющим центром
(УЦ). Сертификаты владельцев карт выдаются только с разрешения
финансового учреждения - эмитента этих карт, снабжаются его
цифровой подписью и не могут быть изменены третьей стороной.
Сертификаты содержат данные о номере счета и периоде действия,
которые шифруются с использованием известного алгоритма шиф-
рования с секретным ключом - Data Encryption Standard (DES). За-
прашивая сертификат, владелец карты сообщает о своем намерении
стать участником электронной торговли. Эти сертификаты переда-
ются продавцам вместе с запросами о покупке и платежными инст-
рукциями.
Сертификаты продавцов снабжаются цифровыми подписями
их финансовых учреждений, открывающих счета продавцов и обра-
батывающих авторизации и платежи по картам. Эти финансовые
учреждения являются получателями платежей, переводимых посред-
ством системы межбанковских расчетов. Чтобы участвовать в систе-




PDF created with pdfFactory Pro trial version www.pdffactory.com
__________ 2. Структура, сервисы и архитектура РК1 _____________ 31


ме SET и получатели платежей, и эмитенты карт также должны
иметь сертификаты от каждой ассоциации платежных карт. Серти-
фикаты SET проверяются в иерархии доверия. Каждый сертификат
связан с сертификатом подписи того субъекта, который снабдил его
цифровой подписью. Следуя по цепочке доверия до известной дове-
ренной стороны, так называемого корневого удостоверяющего цен-
тра, находящегося на верхнем уровне иерархии, можно убедиться
в подлинности сертификата.
Конфиденциальность и целостность сообщений, которыми
обмениваются участники системы защищенных электронных тран-
закций, обеспечивается механизмом двойных подписей. Содержание
каждого сообщения шифруется при помощи случайно сгенериро-
ванного симметричного ключа шифрования. Этот ключ, в свою оче-
редь, шифруется с использованием открытого ключа получателя со-
общения. Полученный в результате последней операции так назы-
ваемый цифровой конверт отправляется получателю вместе с за-
шифрованным сообщением. После получения цифрового конверта,
получатель расшифровывает его, используя свой секретный ключ,
чтобы получить случайно сгенерированный симметричный ключ
для расшифровки исходного сообщения отправителя.
Протокол SET предоставляет сервис аутентификации для уча-
стников посредством использования сертификатов формата Х.509
и имеет средства аннулирования, реализованные с помощью списка
аннулированных сертификатов. В SET определены свои собствен-
ные специфические дополнения сертификатов, которые поддержи-
ваЮтся только в SET - совместимых системах [2].
Для безопасного ведения электронной торговли разработано
.множество транзакций, в том числе регистрация владельца карты,
;$егистрация продавца, запрос о покупке, авторизация платежа, по-
ручение платежа и др. Открытая спецификация SET предоставляет
МЙфраструктуру для использования платежных карт в открытых
ерных сетях, гарантирующую безопасность платежных аств.




PDF created with pdfFactory Pro trial version www.pdffactory.com
32 ___________________ Основы технологии РК1 ________________

2.2. Компоненты и сервисы
инфраструктуры открытых ключей
2.2.1. Основные компоненты PKI
Инфраструктура открытых ключей представляет собой ком-
плексную систему, обеспечивающую все необходимые сервисы
для использования технологии открытых ключей. Цель PKI состоит
в управлении ключами и сертификатами, посредством которого
корпорация может поддерживать надежную сетевую среду. PKI
позволяет использовать сервисы шифрования и выработки
цифровой подписи согласованно с широким кругом приложений,
функционирующих в среде открытых ключей.
Основными компонентами эффективной PKI являются:
• удостоверяющий центр;
• регистрационный центр;
• реестр сертификатов;
• архив сертификатов;
• конечные субъекты (пользователи).
В составе PKI должны функционировать подсистемы аннули-
рования сертификатов, создания резервных копий и восстановления
ключей, поддержки невозможности отказа от цифровых подписей,
автоматической корректировки пар ключей и сертификатов, управ-
ления «историей» ключей и поддержки взаимной сертификации,
прикладное программное обеспечение пользователей должно взаи-
модействовать со всеми этими подсистемами безопасным, согласо-
ванным и надежным способом [9].
Удостоверяющий центр
Непосредственное использование открытых ключей требует
дополнительной их защиты и идентификации для определения связи
с секретным ключом. Без такой дополнительной защиты злоумыш-
ленник может выдавать себя как за отправителя подписанных дан-
ных, так и за получателя зашифрованных данных, заменив значение
открытого ключа или нарушив его идентификацию. Все это приво-
дит к необходимости верификации открытого ключа [147]. Все
пользователи PKI должны иметь зарегистрированное удостоверение,
признаваемое сообществом пользователей законным и надежным.




PDF created with pdfFactory Pro trial version www.pdffactory.com
__________ 2. Структура, сервисы и архитектура PKI ____________ 33


Эти удостоверения хранятся в цифровом формате, известном как
сертификат с открытым ключом. Электронный сертификат пред-
ставляет собой цифровой документ, который связывает открытый
ключ с его владельцем. Для заверения электронного сертификата
используется электронная цифровая подпись удостоверяющего
центра (УЦ), в этом смысле удостоверяющий центр уподобляется
нотариальной конторе, так как подтверждает подлинность сторон,
участвующих в обмене электронными сообщениями или докумен-
тами.
Удостоверяющий центр объединяет людей, процессы, про-
граммные и аппаратные средства, вовлеченные в безопасное привя-
зывание имен пользователей к их открытым ключам. Удостоверяю-
щий центр известен пользователям по двум атрибутам: названию
и открытому ключу. УЦ включает свое имя в каждый выпущенный
им сертификат и список аннулированных сертификатов (САС)
и подписывает их при помощи собственного секретного ключа.
Пользователи могут легко идентифицировать сертификаты по имени
удостоверяющего центра и убедиться в их подлинности, используя
его открытый ключ.
Удостоверяющий центр, главный управляющий компонент
PKI, выполняет следующие основные функции:
• формирует собственный секретный ключ и самоподписан
ный сертификат;
• выпускает (то есть создает и подписывает) сертификаты
подчиненных удостоверяющих центров и сертификаты открытых
ключей пользователей;
• ведет базу всех изданных сертификатов и формирует спи
сок аннулированных сертификатов с регулярностью, определенной
регламентом;
• публикует информацию о статусе сертификатов и САС.
При необходимости удостоверяющий центр может делегиро-
вать некоторые функции другим компонентам PKI. Выпуская сер-
тификат открытого ключа, удостоверяющий центр тем самым под-
тверждает, что лицо, поименованное в сертификате, владеет секрет-
ным ключом, который соответствует этому открытому ключу.
Включая в сертификат дополнительную информацию, удосто-




PDF created with pdfFactory Pro trial version www.pdffactory.com
Основы технологии PKI


веряющий центр подтверждает ее принадлежность этому субъекту.
Дополнительная информация может быть контактной (например,
адрес электронной почты) или содержащей сведения о типах прило-
жений, которые могут работать с данным сертификатом. Когда
субъектом сертификата является другой удостоверяющий центр, из-
датель подтверждает надежность выпущенных этим центром серти-
фикатов.
Действия удостоверяющего центра ограничены политикой
применения сертификатов (ППС), которая диктует ему, какую ин-
формацию должен содержать сертификат. Удостоверяющий центр
выполняет адекватную защиту своего секретного ключа и открыто
публикует свою политику, чтобы пользователи могли убедиться в со-
ответствии ей сертификатов. Ознакомившись с политикой примене-
ния сертификатов и решив, что доверяют удостоверяющему центру
и его деловым операциям, пользователи могут полагаться на серти-
фикаты, выпущенные этим центром. Таким образом, в PKI удосто-
веряющие центры выступают как доверенная третья сторона.
Регистрационный центр
Регистрационный центр (РЦ) является необязательным ком-
понентом PKI. Обычно РЦ получает уполномочия от удостоверяю-
щего центра регистрировать пользователей, обеспечивать их взаи-
модействие с удостоверяющим центром и проверять информацию,
которая заносится в сертификат. Сертификат может содержать ин-
формацию, предоставленную субъектом, подающим заявку на сер-
тификат и предъявляющим документ (например, паспорт, водитель-
ские права, чековую книжку и т.п.) или третьей стороной (кредит-
ным агентством о кредитном лимите пластиковой карты). Иногда
в сертификат включается информация из отдела кадров или данные,
характеризующие полномочия субъекта в компании (например, пра-
во подписи документов определенной категории). РЦ агрегирует эту
информацию и предоставляет ее удостоверяющему центру.
Удостоверяющий центр может работать с несколькими реги-
страционными центрами, в этом случае он поддерживает список ак-
кредитованных регистрационных центров, то есть тех, которые при-
знаны надежными. Удостоверяющий центр выдает сертификат реги-
страционному центру. РЦ выступает как объект, подчиненный удо-




PDF created with pdfFactory Pro trial version www.pdffactory.com
2. Структура, сервисы и архитектура РК1 _____________ 35


стоверяющему центру, и должен адекватно защищать свой секрет-
ный ключ. РЦ известен удостоверяющему центру по имени и откры-
тому ключу. Проверяя подпись РЦ на сообщении или документе,
удостоверяющий центр полагается на надежность предоставленной
РЦ информации.
РЦ объединяет комплекс программного и аппаратного обеспе-
чения и людей, работающих на нем. В функции РЦ может входить
генерация и архивирование ключей, уведомление об аннулировании
сертификатов, публикация сертификатов и САС в сетевом справоч-
нике LDAP и др. Но РЦ не может выпускать сертификаты и списки
аннулированных сертификатов. Иногда удостоверяющий центр сам
выполняет функции регистрационного центра.
Реестр сертификатов
Реестр сертификатов - специальный объект PKJ, база дан-
ных, где хранятся действующие сертификаты и списки аннулиро-
ванных сертификатов. Термин «реестр» введен в практику Законом
РФ «Об электронной цифровой подписи» [19] и является синонимом
ранее использованных в литературе названий хранилища сертифи-
катов: каталог, репозиторий, справочник и др. Этот компонент PKI
значительно упрощает управление системой и доступ к ресурсам.
Реестр предоставляет информацию о статусе сертификатов, обеспе-
чивает хранение и распространение сертификатов и списков анну-
лированных сертификатов, управляет внесениями изменений в сер-
тификаты. К реестру предъявляются следующие требования:
• простота и стандартность доступа;
• регулярность обновления информации;
• встроенная защищенность;
• простота управления;
• совместимость с другими хранилищами (необязательное
требование).
Реестр обычно размещается на сервере каталогов, соответст-
вующем международному стандарту Х.500 и его подмножеству.
Большинство серверов каталогов и прикладное программное обес-
печение пользователей поддерживают протокол облегченного дос-
?упа к каталогам LDAP. Такой унифицированный подход позволяет
обеспечивать функциональную совместимость приложений PKI




PDF created with pdfFactory Pro trial version www.pdffactory.com
36____________________ Основы технологии РК1 _________________


и дает возможность доверяющим сторонам получать информацию
о статусе сертификатов для верификации ЭЦП.
Архив сертификатов
На архив сертификатов возложена функция долговременного
хранения (от имени удостоверяющего центра) и защиты информа-
ции обо всех изданных сертификатах. Архив поддерживает базу
данных, используемую при регулировании споров по поводу надеж-
ности электронных цифровых подписей, которыми в прошлом заве-
рялись документы. Архив подтверждает качество информации в мо-
мент ее получения и обеспечивает целостность данных во время
хранения. Информация, предоставляемая удостоверяющим центром
архиву, должна быть достаточной для определения статуса сертифи-
катов и их издателя. Архив защищает информацию соответствую-
щими техническими средствами и процедурами.
Пользователи
Конечные субъекты, или пользователи, PKI делятся на две ка-
тегории: владельцы сертификатов и доверяющие стороны. Они ис-
пользуют некоторые сервисы и функции PKI, чтобы получить сер-
тификаты или проверить сертификаты других субъектов. Владель-
цем сертификата может быть физическое или юридическое лицо,
приложение, сервер и т.д. Доверяющие стороны запрашивают и по-
лагаются на информацию о статусе сертификатов и открытых клю-
чах ЭЦП своих партнеров по деловому общению.
2.2.2. Сервисы PKI
Криптографические сервисы
Генерация пар ключей. При помощи этого сервиса генерируется
пара ключей (открытый ключ/секретный ключ), секретный ключ
хранится в файле, защищенном паролем или иными средствами (на-
пример, на смарт-карте или при помощи другого аппаратного или
программного средства, гарантирующего конфиденциальность сек-
ретного ключа). В PKI должны поддерживаться две пары ключей
для каждого пользователя. В любой момент времени пользователь
должен иметь одну пару ключей для шифрования и расшифрования
сообщения, а другую пару ключей для выработки или проверки
цифровой подписи.




PDF created with pdfFactory Pro trial version www.pdffactory.com
___________ 2. Структура, сервисы и архитектура PKI_____________ 37


Выработка цифровой подписи. Этот сервис заключается в ге-
нерации дайджеста сообщения и подписи его цифровым образом.
Верификация (проверка) цифровой подписи. Посредством это-
го сервиса устанавливается подлинность сообщения и соответст-
вующей ему цифровой подписи.
Сервисы управления сертификатами'
Сервисы управления сертификатами образуют ядро инфра-
структуры открытых ключей [9].
Выпуск сертификата. Сертификаты выпускаются для пользо-
вателей (физических и юридических лиц), для сертификационных
центров, находящихся на более низких уровнях иерархии доверия,
а также для других сертификационных центров в случае взаимной
сертификации.
Управление жизненным циклом сертификатов и ключей. Если
секретный ключ пользователя потерян, похищен или скомпромети-
рован или есть вероятность наступления таких событий, действие
сертификата должно быть прекращено. Шсле получения подтвер-
ждения запроса пользователя об аннулировании сертификата удо-
стоверяющий центр уведомляет об аннулировании все заинтересо-
ванные стороны, используя список аннулированных сертификатов.
Аналогично аннулированию осуществляется приостановление дей-
ствия сертификата. Оно заключается в однократной отмене серти-
фиката на некоторое время в течение периода его действия. После
этого действие сертификата возобновляется автоматически или же
сертификат аннулируется. Приостановление действия сертификата
осуществляется в тех ситуациях, когда невозможно установить под-
линность лица, обращающегося с запросом об аннулировании.
Поддержка реестра. Выпущенный сертификат или С АС
включается в реестр (в соответствии со спецификациями стандарта
Х.500 или иными требованиями), чтобы третьи стороны могли иметь
к- нему доступ. Обычно реестр контролируется удостоверяющим
щентром, в некоторых случаях - третьей стороной. Доступ к реестру
может быть ограничен. Если необходимо соблюдение прав приват-
ности пользователей, применяются меры защиты данных от лиц, не
имеющих полномочий доступа.




PDF created with pdfFactory Pro trial version www.pdffactory.com
38____________________ Основы технологии PKI_________________


Хранение сертификатов и САС в архиве. Выпускаемые сер-
тификаты и списки аннулированных сертификатов хранятся в архи-
ве длительное время, определяемое правилами хранения заверенных
ЭЦП документов.
Вспомогательные сервисы
В PKI могут поддерживаться также различные дополнитель-
ные сервисы.
Регистрация. Регистрационные сервисы обеспечивают реги-
страцию и контроль информации о субъектах, а также аутентифика-
цию, необходимую для выпуска или аннулирования сертификатов
(от имени удостоверяющего центра). Фактический выпуск сертифи-
катов осуществляется удостоверяющим центром.
Хранение информации в архиве. Сервисы хранения информа-
ции в архиве предназначены для долговременного хранения
и управления электронными документами и другой информацией.
Сервисы обеспечивают создание резервных копий и восстановление
информации в случае уничтожения или старения среды хранения.
Нотариальная аутентификация. Нотариальная аутентифика-
ция включает аутентификацию отправителя сообщения, подтвержде-
ние целостности и юридической силы электронных документов.
Создание резервных копий и восстановление ключей. Удосто-
веряющий центр должен иметь возможность восстановить зашифро-
ванную информацию в случае потери пользователями их ключей
шифрования. Это означает, что удостоверяющему центру необходи-
ма система создания резервных копий и восстановления этих клю-

<< Пред. стр.

страница 4
(всего 28)

ОГЛАВЛЕНИЕ

След. стр. >>

Copyright © Design by: Sunlight webdesign