Udostępnij za pośrednictwem

Certyfikaty i klucze publiczne

  • Artykuł

Usługi certyfikatów są jedną z podstaw infrastruktury kluczy publicznych (PKI), która zapewnia środki ochrony i uwierzytelniania informacji. Relacja między właścicielem certyfikatu, tożsamością właściciela certyfikatu a kluczem publicznym właściciela certyfikatu jest krytyczną częścią infrastruktury kluczy publicznych. Ta infrastruktura składa się z następujących części:

Para kluczy publicznych/prywatnych

Infrastruktura kluczy publicznych wymaga użycia par kluczy publicznych/prywatnych . Matematyka par kluczy publicznych/prywatnych wykracza poza zakres tej dokumentacji, ale należy pamiętać o relacji funkcjonalnej między kluczem publicznym i prywatnym. Algorytmy kryptograficzne infrastruktury kluczy publicznych używają klucza publicznego odbiornika zaszyfrowanego komunikatu w celu szyfrowania danych oraz powiązanego klucza prywatnego i tylko powiązanego klucza prywatnego w celu odszyfrowania zaszyfrowanego komunikatu.

Podobnie podpisu cyfrowego zawartości opisanej bardziej szczegółowo poniżej jest tworzony przy użyciu klucza prywatnego użytkownika podpisującego. Odpowiedni klucz publiczny, który jest dostępny dla wszystkich, służy do weryfikowania tego podpisu. Należy zachować tajemnicę klucza prywatnego, ponieważ struktura rozpada się po naruszeniu klucza prywatnego.

Biorąc pod uwagę wystarczającą ilość czasu i zasobów, para kluczy publicznych/prywatnych może zostać naruszona, czyli klucz prywatny można odnaleźć. Tym dłużej klucz, tym trudniej jest użyć siły brutalnej, aby odnaleźć klucz prywatny. W praktyce wystarczająco silne klucze mogą służyć do zapewnienia, że nie jest możliwe określenie klucza prywatnego w odpowiednim czasie, dzięki czemu infrastruktura kluczy publicznych stanie się zrozumiałym mechanizmem zabezpieczeń.

Klucz prywatny może być przechowywany w formacie chronionym na dysku, w takim przypadku można go używać tylko z tym konkretnym komputerem, chyba że jest fizycznie przenoszony do innego komputera. Alternatywą jest posiadanie klucza na karcie inteligentnej, który może być używany na innym komputerze, pod warunkiem, że ma czytnik kart inteligentnych i oprogramowanie pomocnicze.

Klucz publiczny, ale nie klucz prywatny, podmiot certyfikatu cyfrowego jest dołączany w ramach żądania certyfikatu . (W związku z tym przed złożeniem żądania certyfikatu musi istnieć para kluczy publicznych/prywatnych). Ten klucz publiczny staje się częścią wystawionego certyfikatu.

Żądanie certyfikatu

Przed wystawieniem certyfikatu należy wygenerować żądanie certyfikatu . To żądanie dotyczy jednej jednostki, na przykład użytkownika końcowego, komputera lub aplikacji. Na potrzeby dyskusji załóżmy, że jednostka jest sama. Szczegóły tożsamości znajdują się w żądaniu certyfikatu. Po wygenerowaniu żądania jest on przesyłany do urzędu certyfikacji (CA). Następnie urząd certyfikacji używa informacji o tożsamości, aby określić, czy żądanie spełnia kryteria urzędu certyfikacji do wystawiania certyfikatu. Jeśli urząd certyfikacji zatwierdzi żądanie, wystawia certyfikat jako jednostkę o nazwie w żądaniu.

Urząd certyfikacji

Przed wystawieniem certyfikatu urząd certyfikacji weryfikuje twoją tożsamość. Po wystawieniu certyfikatu tożsamość jest powiązana z certyfikatem zawierającym klucz publiczny. Certyfikat zawiera również podpis cyfrowy urzędu certyfikacji (który można zweryfikować przez każdego, kto otrzymuje certyfikat).

Ponieważ certyfikat zawiera tożsamość urzędu wystawiającego certyfikaty, zainteresowana strona, która ufa temu urzędowi certyfikacji, może rozszerzyć tę relację zaufania na certyfikat. Wystawianie certyfikatu nie ustanawia zaufania, ale przesyła relację zaufania. Jeśli konsument certyfikatu nie ufa wystawiającemu urzędowi certyfikacji, nie będzie on (lub przynajmniej nie powinien) ufać certyfikatowi.

Łańcuch podpisanych certyfikatów umożliwia również przesyłanie zaufania do innych urzędów certyfikacji. Dzięki temu strony korzystające z różnych urzędów certyfikacji nadal mogą ufać certyfikatom (pod warunkiem, że istnieje wspólny urząd certyfikacji w łańcuchu, czyli urząd certyfikacji, który jest zaufany przez obie strony).

Certyfikat

Oprócz klucza publicznego i tożsamości wystawiającego urzędu certyfikacji wystawiony certyfikat zawiera informacje o celach klucza i certyfikatu. Ponadto zawiera ścieżkę do listy odwołanych certyfikatów urzędu certyfikacji i określa okres ważności certyfikatu (daty rozpoczęcia i zakończenia).

Przy założeniu, że konsument certyfikatu ufa urzędowi wystawiającemu certyfikat, konsument certyfikatu musi określić, czy certyfikat jest nadal ważny, porównując daty rozpoczęcia i zakończenia certyfikatu z bieżącą godziną i sprawdzając, czy certyfikat nie znajduje się na liście odwołanych certyfikatów urzędu certyfikacji.

Lista odwołania certyfikatów

Zakładając, że certyfikat jest używany w prawidłowym okresie, a konsument certyfikatu ufa wystawiającemu urzędowi certyfikacji, istnieje jeszcze jeden element, który ma być sprawdzany przed użyciem certyfikatu: lista odwołania certyfikatów (CRL). Odbiorca certyfikatu sprawdza listę CRL urzędu certyfikacji (ścieżkę, do której jest dołączone jako rozszerzenie certyfikatu), aby upewnić się, że certyfikat nie znajduje się na liście certyfikatów, które zostały odwołane. Listy CRL istnieją, ponieważ istnieją czasy, gdy certyfikat nie wygasł, ale nie może być już zaufany. Okresowo urząd certyfikacji opublikuje zaktualizowaną listę CRL. Użytkownicy certyfikatów są odpowiedzialni za porównywanie certyfikatów z bieżącą listą CRL przed rozważeniem zaufania certyfikatu.

Klucz publiczny używany do szyfrowania

Jeśli nadawca chce zaszyfrować komunikat przed wysłaniem go do Ciebie, nadawca najpierw pobierze certyfikat. Gdy nadawca ustali, że urząd certyfikacji jest zaufany, a certyfikat jest prawidłowy i nie został odwołany, nadawca używa klucza publicznego (przypomnij sobie, że jest częścią certyfikatu) za pomocą algorytmów kryptograficznych w celu zaszyfrowania komunikatu w postaci zwykłego tekstu do szyfrowania. Po otrzymaniu szyfru używasz klucza prywatnego do odszyfrowania tekstu.

Jeśli inna firma przechwytuje zaszyfrowaną wiadomość e-mail, inna firma nie będzie mogła go odszyfrować bez dostępu do klucza prywatnego .

Należy pamiętać, że większość działań wymienionych w tym miejscu jest obsługiwana przez oprogramowanie, a nie bezpośrednio przez użytkownika.

Klucz publiczny używany do weryfikacji podpisu

podpis cyfrowy jest używany jako potwierdzenie, że wiadomość nie została zmieniona i jako potwierdzenie tożsamości nadawcy wiadomości. Ten podpis cyfrowy jest zależny od klucza prywatnego i zawartości wiadomości. Używając komunikatu jako danych wejściowych i klucza prywatnego, algorytmy kryptograficzne tworzą podpis cyfrowy. Zawartość wiadomości nie jest zmieniana przez proces podpisywania. Odbiorca może użyć klucza publicznego (po sprawdzeniu ważności certyfikatu, wystawiającego urzędu certyfikacji i stanu odwołania), aby określić, czy podpis odpowiada zawartości wiadomości i określić, czy wiadomość została wysłana przez Ciebie.

Jeśli inna strona przechwytuje zamierzony komunikat, zmienia go (nawet nieznacznie) i przekazuje go oraz oryginalny podpis adresatowi, adresatowi, po zbadaniu wiadomości i podpisu, będzie w stanie ustalić, czy wiadomość jest podejrzana. Podobnie, jeśli inna strona tworzy wiadomość i wysyła ją z fałszywym podpisem cyfrowym pod pozorem, że pochodzi od Ciebie, odbiorca będzie mógł użyć klucza publicznego, aby określić, że wiadomość i podpis nie odpowiadają sobie nawzajem.

nonrepudiation jest również obsługiwana przez podpisy cyfrowe. Jeśli nadawca podpisanej wiadomości odmawia wysłania wiadomości, odbiorca może użyć podpisu, aby odrzucić to oświadczenie.

Należy pamiętać, że większość działań wymienionych w tym miejscu jest również obsługiwana przez oprogramowanie, a nie bezpośrednio przez użytkownika.

Rola usług certyfikatów firmy Microsoft

Usługi certyfikatów firmy Microsoft pełnią rolę wystawiania certyfikatów lub odmawiania żądań dotyczących certyfikatów, zgodnie z zaleceniami modułów zasad, które są odpowiedzialne za zapewnienie tożsamości podmiotu żądającego certyfikatu. Usługi certyfikatów umożliwiają również odwoływanie certyfikatu, a także publikowanie listy CRL. Usługi certyfikatów mogą również centralnie dystrybuować (na przykład do usługi katalogowej) wystawione certyfikaty. Możliwość wystawiania, rozpowszechniania, odwoływanie i zarządzanie certyfikatami oraz publikowanie list CRL zapewnia niezbędne możliwości infrastruktury kluczy publicznych.