Infrastruktura klucza publicznego i podpisy elektroniczne

Infrastruktura klucza publicznego i podpisy elektroniczne

Rys.4 Format certyfikatu X.509

CRL X.509 V2. W momencie wydawania certyfikatu zakłada się jego wykorzystywanie przez cały okres ważności. Jednakże różne okoliczności mogą spowodować utratę ważności certyfikatu przed upłynięciem tego terminu. Do takich okoliczności mogą należeć: zmiana nazwy, zmiana powiązania pomiędzy daną jednostką a CA (na przykład pracownik przestaje pracować w danej organizacji) oraz ujawnienie lub podejrzenie ujawnienia odpowiadającego certyfikatowi klucza prywatnego. W takich okolicznościach CA powinien odwołać certyfikat. X.509 definiuje jedną z metod unieważniania certyfikatów. Metoda ta wymaga od każdego CA okresowego wydawania podpisanej struktury danych pod nazwą listy certyfikatów unieważnionych (CRL - Certificate Revocation List). CRL jest podpisywana przez CA i udostępniana publicznie. Każdy unieważniony certyfikat jest identyfikowany w CRL na podstawie swojego numeru seryjnego. System wykorzystujący certyfikaty nie tylko sprawdza podpis certyfikatu oraz jego ważność, ale także sprawdza, czy numer seryjny certyfikatu znajduje się na aktualnej CRL. Znaczenie określenia "aktualna" może zależeć od lokalnej polityki, ale zwykle oznacza ostatnio wydaną CRL. CRL wydawana jest regularnie w określonych interwałach czasowych. Przewidywane jest także wydanie nadzwyczajne w celu przyspieszenia zawiadomienia o fakcie ujawnienia klucza prywatnego.

Zaletą metody unieważniania za pomocą CRL jest możliwość rozprowadzania jej w dokładnie taki sam sposób, jak samych certyfikatów: poprzez dowolne systemy komunikacyjne i serwery. Jedynym ograniczeniem tej metody jest ograniczenie dokładności czasowej unieważnienia do częstotliwości wydawania CRL.

Podstawowe elementy i funkcje systemu PKI

Infrastruktura klucza publicznego i podpisy elektroniczne

Rys.5 Odwołanie certyfikatu

  • Serwer certyfikatów - platforma do generowania, obsługi i zarządzania certyfikatami i łączenia ich z odpowiednimi kluczami publicznymi - zarówno dla podpisów, jak i szyfrowania danych. Wykonuje on także - na żądanie lub w regularnych odstępach czasu - odnawianie certyfikatów. Należy mieć na uwadze to, że w celu zapewnienia niezaprzeczalności klucze prywatne nie są obsługiwane przez ten serwer.

  • Katalog - repozytorium wszystkich informacji publicznych dotyczących PKI, w tym certyfikatów kluczy publicznych, CRL (Certificate Revocation Lists), ARL, certyfikaty wydawców certyfikatów (CA) itp. Ten element infrastruktury jest krytyczny w sensie dostępności i często ma postać rozproszoną. Niezbędna tu jest kompatybilność z protokołem LDAP.

  • System odwołań - możliwość odwoływania klucza w celu uniemożliwienia dostępu do szyfrowania i funkcji podpisu użytkownikom pozbawionym tego prawa (np. z powodu zmiany funkcji w organizacji lub zmiany miejsca pracy). Listy unieważnionych certyfikatów (CRL) powinny być obsługiwane automatycznie i dystrybuowane regularnie w całym systemie w celu zapewnienia wiarygodności certyfikatów.

  • Oprogramowanie po stronie klienta - jeżeli wszystkie powyższe funkcje są w pełni implementowane przez PKI, to do ich wykorzystania jest niezbędny odpowiedni interfejs po stronie klienta - na PC. Oprogramowanie może mieć formę specjalnego klienta PKI, dostarczanego przez dostawcę usług PKI, lub różnego rodzaju aplikacji obsługujących PKI, takich jak przeglądarki czy klienty poczty elektronicznej.

    Funkcje rozwiniętych systemów PKI można ująć w następujące kategorie:

  • Generowanie kluczy - w zależności od przyjętej strategii CA para kluczy prywatny/publiczny może być generowana albo lokalnie przez użytkownika, albo przez CA. W tym drugim przypadku klucze mogą zostać dostarczone użytkownikowi w zaszyfrowanym pliku albo w postaci fizycznej (inteligentna karta albo karta PCMCIA).

  • Rejestracja - proces, za pomocą którego dana jednostka przedstawia się CA - bezpośrednio lub za pośrednictwem Urzędu Rejestracji (Registration Authority - RA), zanim CA wyda jej certyfikat lub certyfikaty.

  • Certyfikowanie - proces, w którym CA wydaje certyfikat dla klucza publicznego danej jednostki, a następnie zwraca jej ten certyfikat, albo udostępnia go publicznie w katalogu certyfikatów.

  • Uaktualnianie kluczy. Wszystkie pary kluczy muszą być regularnie uaktualniane (to znaczy zastępowane nowymi parami), wydawane muszą być także nowe certyfikaty. Proces ten ma miejsce w dwóch przypadkach: normalnym - po upłynięciu terminu ważności klucza, oraz wyjątkowym - jeśli klucz został ujawniony i musi być zmieniony.

    Użytkownik końcowy powinien być wyłączony z tego procesu na tyle, na ile jest to możliwe, chyba że polityka bezpieczeństwa wymaga akcji potwierdzającej z jego strony. Jeżeli takie potwierdzenie nie jest konieczne, uaktualnianie kluczy powinno być całkowicie automatyczne i transparentne dla użytkownika


  • TOP 200