Individual loyiha 2 Mavzu: Ochiq kalitlar infratuzilmasi va asosiy vazifalari

Vaqtinchalik sertifikatlar va bitta tizimga kirish

Ushbu yondashuv a ichida oflayn sertifikat xizmati sifatida ishlaydigan serverni o'z ichiga oladi bitta tizimga kirish tizim. Yagona kirish serveri raqamli sertifikatlarni mijoz tizimiga chiqaradi, lekin ularni hech qachon saqlamaydi. Foydalanuvchilar vaqtinchalik sertifikat bilan dasturlarni va boshqalarni bajarishlari mumkin. Ushbu echimning xilma-xilligini topish odatiy holdir X.509- asoslangan sertifikatlar.
2020 yil sentyabr oyidan boshlab TLS sertifikatining amal qilish muddati 13 oygacha qisqartirildi.

Ishonchli veb-sayt

Ochiq kalit ma'lumotlarini ochiq autentifikatsiya qilish muammosiga muqobil yondashuv - bu o'z-o'zidan imzolangan veb-sayt sxemasi. sertifikatlar va ushbu sertifikatlarning uchinchi tomon attestatsiyalari. "Ishonch to'ri" singari atamasi bitta ishonch tarmog'i yoki umumiy ishonch nuqtasi mavjudligini anglatmaydi, aksincha har qanday potentsial bo'linadigan "ishonch tarmoqlari" dan birini anglatadi. Ushbu yondashuvni amalga oshirishga misollar PGP (Juda yaxshi maxfiylik) va GnuPG (amalga oshirish OpenPGP, PGP ning standartlashtirilgan spetsifikatsiyasi). Chunki PGP va dasturlar foydalanishga imkon beradi elektron pochta ochiq kalit ma'lumotlarning o'z-o'zini nashr etishi uchun raqamli imzolar, o'z ishonchli veb-saytini amalga oshirish nisbatan oson.
Kabi ishonchli veb-saytning afzalliklaridan biri PGP, u ishonchli tanishtiruvchi sifatida sertifikatlarga kafolat berishga tayyor bo'lgan (masalan, kompaniyadagi ichki CA kabi) domendagi barcha tomonlar to'liq ishongan PKI CA bilan hamkorlik qilishi mumkin. Agar "Ishonch to'ri" ga to'liq ishonilsa, u holda ishonchli Internetning mohiyati tufayli bitta sertifikatga ishonish ushbu vebdagi barcha sertifikatlarga ishonchni anglatadi. PKI sertifikatlar berilishini nazorat qiluvchi standartlar va amaliyotlar, shu jumladan, PGP yoki shaxsan tashkil etilgan ishonch veb-tarmog'i, shu korxonaning yoki domenning PKI dasturini amalga oshirishda ishonchliligini sezilarli darajada pasaytirishi mumkin bo'lgan darajada qimmatlidir.^[18]
Ishonch kontseptsiyasi tarmog'i birinchi bo'lib PGP yaratuvchisi tomonidan ishlab chiqilgan Fil Zimmermann 1992 yilda PGP 2.0 versiyasi uchun qo'llanmada:
Vaqt o'tishi bilan siz boshqa odamlardan ishonchli tanish sifatida belgilashingiz mumkin bo'lgan kalitlarni to'playsiz. Qolganlarning hammasi o'zlarining ishonchli tanishtiruvchilarini tanlaydilar. Va har bir kishi asta-sekin o'z kalitlari bilan boshqa odamlarning imzolagan imzo to'plamini to'playdi va tarqatadi, chunki uni olgan kishi kamida bitta yoki ikkita imzoga ishonadi. Bu barcha ochiq kalitlarga ishonchni markazlashtirilmagan xatolarga chidamli veb-tarmog'ining paydo bo'lishiga olib keladi.

II-BOB. Oddiy ochiq kalit infratuzilmasi

Ochiq kalit ma'lumotlarning ommaviy autentifikatsiyasi bilan shug'ullanmaydigan yana bir alternativa bu oddiy ochiq kalit infratuzilmasi (SPKI) ning murakkabliklarini engish uchun uchta mustaqil harakatidan kelib chiqqan X.509 va PGP veb-sayt. SPKI foydalanuvchilarni shaxslar bilan bog'lamaydi, chunki kalit insonga emas, balki unga ishonadigan narsadir. SPKI hech qanday ishonch tushunchasidan foydalanmaydi, chunki tekshiruvchi ham emitent hisoblanadi. Bunga SPKI terminologiyasida "avtorizatsiya tsikli" deyiladi, bu erda avtorizatsiya uning dizayni bilan ajralmas hisoblanadi. Ushbu turdagi PKI sertifikat avtorizatsiyasi, sertifikat ma'lumotlari va hk. Uchinchi shaxslarga ishonmaydigan PKI integratsiyasini amalga oshirish uchun juda foydali; Bunga yaxshi misol Havo bo'shliqlari ofisdagi tarmoq.

2.2. Markazlashtirilmagan PKI

Markazlashtirilmagan identifikatorlar (DID) identifikatorlar uchun markazlashtirilgan registrlarga va kalitlarni boshqarish bo'yicha markazlashtirilgan sertifikat idoralariga bog'liqlikni yo'q qiladi, bu ierarxik PKIda standart hisoblanadi. DID ro'yxatga olish kitobi bo'lgan hollarda tarqatilgan daftar, har bir tashkilot o'zining asosiy vakolati sifatida xizmat qilishi mumkin. Ushbu arxitektura markazlashtirilmagan PKI (DPKI) deb nomlanadi.
PKI uchun paydo bo'lgan yondashuv bu blok zanjiri odatda zamonaviy bilan bog'liq bo'lgan texnologiya kripto valyutasi. Blockchain texnologiyasi tarqatilgan va o'zgarmas kitobni taqdim etishni maqsad qilganligi sababli, ochiq kalitlarni saqlash va boshqarish uchun juda mos bo'lgan fazilatlarga ega. Ba'zi kripto-valyutalar har xil ochiq kalit turlarini saqlashni qo'llab-quvvatlaydi (SSH, GPG, RFC 2230 va boshqalar) va PKI-ni to'g'ridan-to'g'ri qo'llab-quvvatlaydigan ochiq kodli dasturiy ta'minotni taqdim etadi OpenSSH serverlar. Blockchain texnologiyasi taxminiy qiymatga ega bo'lishi mumkin ishning isboti ko'pincha partiyalarning PKIga bo'lgan ishonchiga asoslanib, siyosatga ma'muriy muvofiqlik, operatsion xavfsizlik va dasturiy ta'minotni amalga oshirish sifati kabi muammolar qolmoqda. Sertifikat idorasi paradigmasi ushbu kriptografik usullar va ishlatilgan algoritmlardan qat'i nazar, ushbu muammolarga duch keladi va ishonchli xususiyatlarga ega sertifikatlar berishga intilgan PKI ham ushbu muammolarni hal qilishi kerak.
Blok-zanjirga asoslangan ma'lum bo'lgan PKI ro'yxati:

• 
  CertCoin
  
• 
  FlyClient
  
• 
  BlockQuick
  

PKIdagi o'zgarishlar 1970 yillarning boshlarida Britaniya razvedka agentligida sodir bo'lgan GCHQ, qayerda Jeyms Ellis, Clifford Cocks va boshqalar shifrlash algoritmlari va kalitlarni taqsimlash bilan bog'liq muhim kashfiyotlar qildilar. GCHQ-dagi o'zgarishlar yuqori darajada maxfiylashtirilganligi sababli, ushbu ish natijalari sir saqlangan va 1990-yillarning o'rtalariga qadar ommaviy ravishda tan olinmagan.
Ikkala tomonning ham oshkor qilinishi kalitlarni almashtirish va assimetrik kalit algoritmlari 1976 yilda Diffie, Hellman, Rivest, Shomirva Adleman xavfsiz aloqalarni butunlay o'zgartirdi. Yuqori tezlikdagi raqamli elektron aloqalarni yanada rivojlantirish bilan ( Internet va uning o'tmishdoshlari), foydalanuvchilarning bir-biri bilan xavfsiz tarzda aloqa qilish usullariga va buning natijasi sifatida foydalanuvchilarning kim bilan aslida o'zaro aloqada ekanligiga ishonch hosil qilishlariga ehtiyoj paydo bo'ldi.
Turli xil kriptografik protokollar ixtiro qilindi va ularning ichida yangi bo'lgan tahlil qilindi kriptografik ibtidoiylar samarali foydalanish mumkin edi. Ixtirosi bilan Butunjahon tarmog'i va uning tez tarqalishi, autentifikatsiya va xavfsiz aloqaga bo'lgan ehtiyoj yanada keskinlashdi. Faqat tijorat sabablari (masalan, elektron tijorat, dan ma'lumotlar bazalariga onlayn kirish veb-brauzerlar) etarli edi. Taher Elgamal va boshqalar Netscape ishlab chiqilgan SSL protokol ('httpsInternetda URL manzillari); unga kalitlarni yaratish, serverni autentifikatsiya qilish (v3 dan oldin, faqat bitta tomonlama) va boshqalar kiradi. Shunday qilib xavfsiz aloqani istagan veb-foydalanuvchilar / saytlar uchun PKI tuzilmasi yaratildi.
Sotuvchilar va tadbirkorlar katta bozorning mavjudligini ko'rib, kompaniyalarni (yoki mavjud bo'lgan kompaniyalarda yangi loyihalarni) boshladilar va qonuniy tan olish va javobgarlikdan himoya qilish uchun tashviqot qilishni boshladilar. An Amerika advokatlar assotsiatsiyasi texnologiya loyihasi PKI operatsiyalarining ba'zi taxmin qilinadigan huquqiy jihatlarining keng tahlilini e'lon qildi (qarang. qarang) ABA raqamli imzo bo'yicha ko'rsatmalar) va bundan ko'p o'tmay AQShning bir nechta shtatlari (Yuta 1995 yilda birinchilardan bo'lib) va boshqa yurisdiktsiyalar butun dunyo bo'ylab qonunlar qabul qilishni va qoidalarni qabul qilishni boshladilar. Iste'molchilar guruhlari o'zlarini qiziqtirgan savollarni ko'tarishdi maxfiylik, kirish huquqi va javobgarlik masalalari, bu ba'zi yurisdiktsiyalarda boshqalarga qaraganda ko'proq e'tiborga olingan.
Qabul qilingan qonunlar va qoidalar bir-biridan farq qilar edi, PKI sxemalarini muvaffaqiyatli tijorat operatsiyasiga aylantirishda texnik va ekspluatatsion muammolar mavjud edi va taraqqiyot kashshoflar tasavvur qilganidan ancha sekinlashdi.
21-asrning dastlabki bir necha yillarida asosiy kriptografik muhandislikni to'g'ri joylashtirish oson emas edi. Operatsion protseduralarni (qo'lda yoki avtomatik ravishda) to'g'ri loyihalashtirish oson emas edi (va hatto u ishlab chiqilgan bo'lsa ham, muhandislik talab qiladigan mukammal bajarish). Mavjud standartlar etarli emas edi.
PKI sotuvchilari bozorni topdilar, ammo bu 1990-yillarning o'rtalarida taxmin qilingan bozor emas va u taxmin qilinganidan ham sekinroq va biroz farqli ravishda o'sdi.^[27] PKIlar kutilgan ba'zi muammolarni hal qilmadilar va bir nechta yirik sotuvchilar ishdan chiqib ketishdi yoki boshqalar tomonidan sotib olingan. PKI hukumatni amalga oshirishda eng ko'p muvaffaqiyatga erishdi; hozirgi kunga qadar eng katta PKI dasturidir Mudofaa Axborot tizimlari agentligi (DISA) uchun PKI infratuzilmasi Umumiy kirish kartalari dastur.
Bir yoki boshqa turdagi PKI'lar va bir nechta sotuvchilardan ko'p foydalaniladi, shu jumladan ochiq kalitlarni va foydalanuvchi identifikatorlarini bog'lashni ta'minlaydi:

• 
  Shifrlash va / yoki jo'natuvchi autentifikatsiya ning elektron pochta xabarlar (masalan, foydalanish OpenPGP yoki S / MIME);
  
• 
  Hujjatlarni shifrlash va / yoki autentifikatsiya qilish (masalan, XML imzosi yoki XML shifrlash agar hujjatlar kodlangan bo'lsa, standartlar XML);
  
• 
  Autentifikatsiya foydalanuvchilarning dasturlarga (masalan, aqlli karta tizimga kirish, mijozning autentifikatsiyasi SSL). Raqamli imzolash uchun eksperimental foydalanish mavjud HTTP ichida autentifikatsiya Enigform va mod_openpgp loyihalar;
  
• 
  Yuklab olish kabi xavfsiz aloqa protokollari Internet kalitlari almashinuvi (IKE) va SSL. Ikkalasida ham xavfsiz kanalni dastlabki sozlash (a "xavfsizlik assotsiatsiyasi") foydalanadi assimetrik kalit- ya'ni, ochiq kalit - usullar, holbuki haqiqiy aloqa tezroq qo'llaniladi nosimmetrik kalit- ya'ni, maxfiy kalit- usullar;
  
• 
  Mobil imzolar - bu mobil qurilmadan foydalangan holda yaratilgan va imzo yoki sertifikatlashtirish xizmatlariga asoslangan holda, mustaqil telekommunikatsiya muhitida joylashgan elektron imzolar;
  
• 
  Internetdagi narsalar o'zaro ishonchli qurilmalar o'rtasida xavfsiz aloqani talab qiladi. Ochiq kalit infratuzilma qurilmalar o'rtasida ishonchni o'rnatish va kommunikatsiyalarni shifrlash uchun ishlatiladigan X509 sertifikatlarini olish va yangilashga imkon beradi. TLS.