Какие обязательные элементы включает в себя инфраструктура открытого ключа

Инфраструктура открытых ключей

Шифрование с открытым ключом (также называемое шифрованием с асимметричным ключом) использует пару ключей для шифрования и расшифровки содержимого. Пара ключей состоит из одного открытого и одного закрытого ключей, которые математически связаны. Пользователь, который намерен безопасно общаться с другими пользователями, может распространять открытый ключ , но должен хранить закрытый ключ в секрете. Содержимое, зашифрованное с помощью одного из ключей, можно расшифровать с помощью другого. Предположим, например, что Боб хочет отправить безопасное сообщение электронной почты Алисе. Это можно сделать следующим образом:

1. У Боба и Алисы есть свои пары ключей. Они сохранили свои закрытые ключи безопасно для себя и отправили свои открытые ключи непосредственно друг другу.
2. Боб использует открытый ключ Алисы для шифрования сообщения и отправляет его ей.
3. Алиса использует свой закрытый ключ для расшифровки сообщения.

В этом упрощенном примере показана по крайней мере одна очевидная проблема, связанная с открытым ключом, который он использовал для шифрования сообщения. То есть, он не может с уверенностью знать, что ключ, который он использовал для шифрования, на самом деле принадлежал Алисе. Возможно, другая сторона, следя за каналом связи между Бобом и Алиса, заменила другой ключ.

Концепция инфраструктуры открытых ключей изменилась для решения этой и других проблем. Инфраструктура открытых ключей (PKI) состоит из программных и аппаратных элементов, которые доверенное третье лицо может использовать для установления целостности открытого ключа и владения им. Доверяющая сторона, называемая центром сертификации (ЦС), обычно выполняет эту задачу, выдавая подписанные (зашифрованные) двоичные сертификаты, которые подтверждают удостоверение субъекта сертификата и привязывают это удостоверение к открытому ключу, содержательному в сертификате. ЦС подписывает сертификат с помощью закрытого ключа. Он выдает соответствующий открытый ключ всем заинтересованным сторонам в самозаверяющем сертификате ЦС. При использовании ЦС предыдущий пример можно изменить следующим образом:

1. Предположим, что ЦС выдал подписанный цифровой сертификат, содержащий его открытый ключ. ЦС самостоятельно подписывает этот сертификат с помощью закрытого ключа, соответствующего открытому ключу в сертификате.
2. Алиса и Боб соглашаются использовать ЦС для проверки своих удостоверений.
3. Алиса запрашивает сертификат открытого ключа из ЦС.
4. ЦС проверяет свою личность, вычисляет хэш содержимого, из которого будет входить сертификат, подписывает хэш с помощью закрытого ключа, соответствующего открытому ключу в опубликованном сертификате ЦС, создает новый сертификат путем объединения содержимого сертификата и подписанного хэша, а также делает новый сертификат общедоступным.
5. Боб извлекает сертификат, расшифровывает подписанный хэш с помощью открытого ключа ЦС, вычисляет новый хэш содержимого сертификата и сравнивает два хэша. Если хэши совпадают, подпись проверяется, и Боб может предположить, что открытый ключ в сертификате действительно принадлежит Алисе.
6. Боб использует проверенный открытый ключ Алисы для шифрования сообщения.
7. Алиса использует свой закрытый ключ для расшифровки сообщения от Боба.

Таким образом, процесс подписи сертификата позволяет Бобу убедиться, что открытый ключ не был изменен или поврежден во время передачи. Перед выдачей сертификата ЦС хэширует содержимое, подписывает (шифрует) хэш с помощью собственного закрытого ключа и включает зашифрованный хэш в выданный сертификат. Боб проверяет содержимое сертификата, расшифровывая хэш с помощью открытого ключа ЦС, выполняя отдельный хэш содержимого сертификата и сравнивая два хэша. Если они совпадают, Боб может быть уверен, что сертификат и содержащийся в нем открытый ключ не были изменены.

Типичная PKI состоит из следующих элементов.

Элемент	Описание
Центр сертификации	Выступает в качестве корня доверия в инфраструктуре открытых ключей и предоставляет службы, которые проверяют подлинность удостоверений отдельных лиц, компьютеров и других сущностей в сети.
Центр регистрации	Сертифицирован корневым ЦС для выдачи сертификатов для определенных применений, разрешенных корнем. В PKI Майкрософт центр регистрации (RA) обычно называется подчиненным ЦС.
База данных сертификатов	Сохраняет запросы на сертификаты, выданные и отозванные сертификаты и запросы сертификатов в ЦС или RA.
Хранилище сертификатов	Сохраняет выданные сертификаты и ожидающие или отклоненные запросы на сертификаты на локальном компьютере.
Сервер архивации ключей	Сохраняет зашифрованные закрытые ключи в базе данных сертификатов для восстановления после потери.

API регистрации сертификатов позволяет отправлять запросы на архивацию сертификатов и ключей в центры сертификации и регистрации и устанавливать выданный сертификат на локальном компьютере. Он не позволяет напрямую управлять базой данных сертификатов или хранилищем сертификатов.

В следующих разделах более подробно рассматривается инфраструктура открытых ключей Майкрософт.

• Сертификаты открытого ключа X.509
• Элементы PKI
• Модели доверия

Инфраструктура открытых ключей

Инфраструктура открытых ключей — это набор алгоритмов, протоколов, сертификатов, услуг и инфраструктурных компонентов, которые позволяют обеспечить безопасность и аутентификацию в среде с использованием шифрования с открытым ключом.

Открытые ключи

Открытые ключи — это часть криптографической системы, которая используется для защиты информации. В отличие от симметричных ключей, которые используются для шифрования и расшифровки данных, открытые ключи используются для создания цифровых подписей и шифрования данных.

Открытый ключ — это публичный ключ, который может быть распространен и использован любым желающим для шифрования сообщений или проверки цифровых подписей. Он не может быть использован для расшифровки сообщений, поскольку только его владелец имеет доступ к соответствующему закрытому ключу. Закрытый ключ — это секретный ключ, который используется для расшифровки сообщений или создания цифровых подписей. Он должен быть хранен в тайне и доступен только его владельцу.

Получи помощь с рефератом от ИИ-шки
ИИ ответит за 2 минуты

Система открытых ключей используется для обеспечения безопасности при передаче данных по открытым сетям, таким как Интернет. Она позволяет пользователям обмениваться зашифрованными сообщениями и проверять целостность данных, не раскрывая своих секретных ключей. Для создания пары открытого и закрытого ключей используется алгоритм шифрования с открытым ключом, такой как RSA, DSA или ECC. При этом открытый ключ генерируется из закрытого ключа и может быть опубликован в открытом доступе, например, на сервере электронной почты или в цифровом сертификате.

Для защиты данных при передаче по открытым сетям используется процесс шифрования, который осуществляется с помощью открытого ключа получателя. Данные шифруются с использованием открытого ключа, а затем передаются по сети. Получатель может расшифровать данные, используя свой закрытый ключ.

Для проверки целостности данных используется процесс создания цифровой подписи, который осуществляется с помощью закрытого ключа отправителя. Цифровая подпись является уникальной для каждого сообщения и позволяет получателю убедиться в том, что данные не были изменены в процессе передачи. Система открытых ключей является основой для многих криптографических протоколов, таких как SSL/TLS для защиты соединений в Интернете, PGP для защиты электронной почты и SSH для безопасного удаленного доступа к серверам.

Начинай год правильно ��
Выигрывай призы на сумму 400 000 ₽

Инфраструктура открытых ключей

Инфраструктура открытых ключей (PKI) — это набор алгоритмов, протоколов, сертификатов, услуг и инфраструктурных компонентов, которые позволяют обеспечить безопасность и аутентификацию в среде с использованием шифрования с открытым ключом. Основные компоненты инфраструктуры открытых ключей включают:

1. Сертификационные авторитеты (Центры сертификации). CA является центральным элементом PKI. CA выдает и подписывает цифровые сертификаты, содержащие открытые ключи и другую информацию о субъекте, такую как имя, адрес электронной почты и так далее. CA также управляет списками отзыва сертификатов (CRL), содержащих информацию о сертификатах, которые были отозваны.
2. Цифровые сертификаты. Цифровые сертификаты содержат информацию о субъекте (владельце сертификата), включая открытый ключ и дополнительные атрибуты. Они подписываются CA и используются для аутентификации и установления доверия между сторонами, осуществляющими коммуникацию.
3. Криптографические алгоритмы и протоколы. PKI использует различные алгоритмы шифрования с открытым ключом, такие как RSA, DSA или ECC, а также протоколы, такие как SSL / TLS, чтобы обеспечить конфиденциальность и целостность данных, аутентификацию и проверку подлинности.
4. Серверы регистрации. Для получения цифрового сертификата пользователь может обратиться к серверу регистрации (RA), который проверяет личность и данные субъекта и затем связывается с CA для получения сертификата.
5. Хранилища ключей. Хранилища ключей используются для хранения закрытых ключей, которые являются секретной частью пары с открытым ключом. Они должны быть надежно защищены от несанкционированного доступа.

Инфраструктура открытых ключей предоставляет механизмы обеспечения конфиденциальности, аутентификации и целостности в сетях и приложениях, где безопасность является критическим аспектом. Она широко используется в таких областях как электронная коммерция, банковское дело, электронная почта и так далее.

При рассмотрении инфраструктуры открытых ключей, важно упомянуть некоторые дополнительные аспекты:

1. Распространение ключей. PKI предоставляет механизмы для распространения открытых ключей и цифровых сертификатов. Это может быть сделано через открытые реестры, такие как центры сертификации или через распределенные системы, такие как блокчейн.
2. Идентификация и проверка подлинности. PKI обеспечивает механизмы проверки подлинности и идентификации, чтобы установить доверие между сторонами, осуществляющими коммуникацию Подлинность проверяется с помощью проверки цифрового сертификата и сопоставления открытого ключа с владельцем сертификата.
3. Подписи и шифрование. Инфраструктура открытых ключей также позволяет использовать цифровые подписи и шифрование с открытым ключом. Цифровые подписи используются для обеспечения целостности данных и проверки подлинности отправителя, а шифрование с открытым ключом позволяет обеспечить конфиденциальность информации.
4. Управление жизненным циклом сертификатов. PKI предоставляет механизмы для управления жизненным циклом цифровых сертификатов. Это включает выдачу, обновление, приостановку и отзыв сертификатов при необходимости.
5. Безопасность. Инфраструктура открытых ключей должна быть организована с соблюдением принципов безопасности для защиты от несанкционированного доступа и злоупотребления. Это включает защиту хранилищ ключей, контроль доступа, аудит и меры по предотвращению фальсификации сертификатов.

Что такое PKI? Главное об инфраструктуре открытых ключей

Представьте, что вы системный администратор в Home Depot. Уже собираясь домой, вы замечаете, что ваша сеть только что одобрила подключение нового кондиционера. Ничего особенного, верно? На следующее утро вы просыпаетесь и обнаруживаете, что терабайты данных, включая логины, пароли и информацию о кредитных картах клиентов, были переданы хакерам. Что ж, именно это и произошло в 2014 году, когда группа хакеров под видом безобидной системы отопления, вентиляции и кондиционирования осуществила атаку, которая обошлась Home Depot более чем в 17,5 миллионов долларов, и всё из-за неправильно настроенного PKI. В этой статье мы расскажем всё самое важное, что нужно знать о PKI.

Итак, что же такое PKI?

Инфраструктура открытых ключей (ИОК, англ. PKI — Public Key Infrastructure) — это термин, подразумевающий набор мер и политик, позволяющих развертывать и управлять одной из наиболее распространенных форм онлайн-шифрования — шифрованием с открытым ключом. Помимо того, что PKI является хранителем ключей для вашего браузера, он также обеспечивает защиту различных инфраструктур, включая внутреннюю коммуникацию внутри организаций, Интернета вещей (IoT), одноранговых соединений (P2P) и так далее. Существует два основных типа PKI:

• Веб-PKI, также известный как «Internet PKI», был определен RFC 5280 и дополнен CA/Browser Forum. По умолчанию он работает с браузерами и со всем остальным, что использует TLS (вы, вероятно, используете его каждый день).

• Внутренний (или локальный) PKI — это PKI, который вы используете для собственных нужд, а именно для зашифрованных локальных сетей, контейнеров данных, корпоративных ИТ-приложений или корпоративных конечных точек, таких как ноутбуки и телефоны. В общем-то, его можно использовать для всего, что вы хотите идентифицировать.

Внутри PKI имеется открытый криптографический ключ, который используется не для шифрования ваших данных, а, скорее, для аутентификации общающихся сторон. Это как вышибала возле элитного клуба: ты не попадешь туда, если тебя нет в списке. Однако без этого «вышибалы» концепция безопасного онлайн-общения будет невозможна.

Как именно это работает?

PKI выстраивается вокруг двух основных концепций – ключи и сертификаты. Как и в случае с машиной «Энигма», где настройки используются для шифрования сообщения (или установления безопасного протокола), ключом внутри PKI является длинная строка битов, используемая для шифрования или дешифрования закодированных данных. Основное различие между машиной Enigma и PKI заключается в том, что с последней вы должны каким-то образом сообщить получателю настройки, используемые для кодирования зашифрованного сообщения.

Инфраструктура открытых ключей называется именно так, потому что каждая сторона в защищенном соединении имеет два ключа: открытый и закрытый.

Открытый ключ известен всем и используется во всей сети для кодирования данных, но доступ к данным невозможен без закрытого ключа, который используется для декодирования. Эти два ключа связаны сложными математическими функциями, которые трудно перепроектировать или взломать грубой силой. Кстати, этот принцип является воплощением ассиметричной криптографии.

Так шифруются данные в инфраструктуре открытых ключей. Но давайте не будем забывать, что проверка личности не менее важна при работе с PKI, и именно здесь в игру вступают сертификаты.

Цифровая идентификация

Сертификаты PKI чаще всего рассматриваются как цифровые паспорта, содержащие множество присвоенных данных. Одна из наиболее важных частей информации в таком сертификате связана с открытым ключом: сертификат – это механизм, с помощью которого этот ключ передается. Точно так же, как, например, когда вы предоставляете кому-то своё удостоверение личности.

Но на самом деле это удостоверение недействительно, если оно не выдано каким-то легитимным органом. В нашем случае такой орган — это центр сертификации (ЦС). Здесь есть подтверждение надежного источника, что субъект является тем, за кого себя выдает.

Имея это в виду, становится очень легко понять, из чего состоит PKI:

• Центр сертификации, который выдает цифровые сертификаты, подписывает их своим открытым ключом и хранит в репозитории для справки;

• Регистрирующий орган, который проверяет личность тех, кто запрашивает цифровые сертификаты. Центр сертификации может выступать в качестве своего регистрационного органа или использовать для этого третью сторону;

• База данных сертификатов, в ней хранятся как сами сертификаты, так и их метаданные и, самое главное, даты истечения срока действия;

• Политика сертификатов — описание процедур PKI (в основном это набор инструкций, который позволяет оценить, насколько надежен PKI).

Для чего используется PKI?

PKI отлично подходит для защиты веб-трафика: данные, проходящие через Интернет, могут быть легко перехвачены и прочитаны, если они не зашифрованы. Более того, может быть трудно доверять личности отправителя, если нет какой-то процедуры проверки.

Сертификаты SSL/TLS (защищающие действия в Интернете) демонстрируют наиболее распространенную реализацию PKI, но список на этом не заканчивается. PKI также может быть использован для:

• Цифровых подписей в программном обеспечении;
• Ограниченного доступа к корпоративным интранетам и VPN;
• Бесплатного доступа к Wi-Fi без пароля в зависимости от владельца устройства;
• Процедуры шифрования электронной почты и данных.

Использование PKI растет в геометрической прогрессии, в наши дни даже микроволновая печь может подключиться к Instagram. Этот развивающийся мир устройств Интернета вещей ставит перед нами новые задачи, и даже устройства, которые, казалось бы, существуют в закрытых средах, теперь требуют безопасности. Взять даже тот самый «злой кондиционер», о котором мы говорили во введении. Многие из наиболее убедительных примеров использования PKI сегодня сосредоточены вокруг Интернета вещей. Производители автомобилей и производители медицинских изделий — вот ещё два ярких примера отраслей, которые в настоящее время внедряют PKI для устройств Интернета вещей. Электронная система медицинского освидетельствования Эдисона также является прекрасным примером, но мы прибережем его для будущего более глубокого рассмотрения.

Является ли PKI панацеей?

Как и в любой технологии, правильное исполнение иногда важнее «умного» дизайна. В недавнем исследовании Института Понемона были опрошены почти 603 специалиста в области ИТ и безопасности в 14 отраслях промышленности, чтобы понять текущее состояние PKI и практики управления цифровыми сертификатами. Это исследование выявило широко распространенные пробелы и проблемы, например:

• 73% специалистов по безопасности признают, что цифровые сертификаты по-прежнему вызывают незапланированные простои и сбои в работе приложений;

• 71% специалистов утверждают, что миграция в облако требует значительных изменений в их практике применения PKI;

• 76% говорят, что неспособность защитить ключи и сертификаты подрывает доверие, на которое опирается их организация в своей работе.

Однако самая большая проблема заключается в том, что большинству организаций не хватает ресурсов для поддержания PKI. Более того, только 38% респондентов утверждают, что у них есть персонал для надлежащего поддержания PKI. Таким образом, для большинства организаций обслуживание PKI становится скорее бременем, чем панацеей от всех бед.

Подводя итог, можно сказать, что PKI — это бесшумный охранник, который обеспечивает конфиденциальность обычных потребителей онлайн-контента. Однако в руках настоящих профессионалов он становится мощным инструментом, создающим практически бесконечно масштабируемую инфраструктуру шифрования. Он живет в вашем браузере, вашем телефоне, вашей точке доступа Wi-Fi, во всем Интернете и за его пределами. Однако самое главное, что правильно настроенный PKI — это буфер между вашим бизнесом и самозваным кондиционером, который хочет заполучить ваши деньги.

Что такое PKI? Немного информации по инфраструктуре открытых ключей (PKI)

Вы когда-нибудь задумывались, что такое Инфраструктура Открытых Ключей (PKI) и как она работает? Это только одна из наиболее важных систем, используемых сегодня для обеспечения аутентификации, целостности данных и конфиденциальности .

Мир криптографии полон идей, и одна из этих идей — инфраструктура открытых ключей (PKI). Но что такое PKI и что это влечет за собой для организаций и конфиденциальности данных? Короче говоря, это система процессов, политик, аутентификации и технологий, которые управляют шифрованием и, в конечном счете, защищают наши текстовые сообщения, электронные письма, пароли, информацию о кредитных картах и любую информацию, вплоть до фотографий.

PKI — это инфраструктура, которая стала неотъемлемой частью нашей повседневной жизни — и подавляющее большинство из нас даже не знают, что это такое! Что ж, это то, что огорчает всех нас здесь, в нашем Блоге, и именно поэтому мы пытаемся разложить сложные, занудные вещи в понятную форму.

Итак, что такое PKI? В этом посте я познакомлю вас с искусством и наукой, которая является инфраструктурой открытых ключей (PKI), и всем, что с этим связано.

Давайте разберемся с этим.

Проблема «ключа» в традиционном шифровании

Но, прежде чем мы перейдем к ответу на вопрос «что такое PKI?» и поговорим о том, как это работает, давайте сначала рассмотрим простой сценарий. Допустим, есть человек по имени Сергей, который хочет отправить конфиденциальную информацию Михаилу, его коллеге по работе. Он не может отправить эту информацию в виде открытого текста, так как недоброжелатели могут легко перехватить и прочитать или взломать ее. По идее Сергею нужно для этого будет зашифровать передаваемую информацию.

Но тут возникает проблема. Если Сергей шифрует сообщение, используя ключ (некоторую логику), то как Михаил расшифрует его? Он должен иметь с собой ключ, верно? Чтобы дать ключ Михаилу, нет другого варианта, кроме как встретиться с ним лицом к лицу, что совершенно нецелесообразно в наше время или отправить его через курьера и рискнуть, так как его могут перехватить.

Такой метод шифрования проблематичен не только в физическом мире, но и в виртуальном мире. Каждый раз, когда два компьютера хотят общаться безопасно, им приходится согласовывать один ключ шифрования при каждом взаимодействии. Это математический процесс и требует времени. И если есть сервер (например, банк), который обменивается данными с несколькими пользователями, то серверу придется выполнять вычислительный процесс для каждой клиентской транзакции, и это еще больше замедлит его. Все эти вещи включают в себя множество сложных процессов и соглашений, которые должны обрабатываться на микро скоростях.

И вот, где приходит на помощь PKI.

Как инфраструктура PKI меняет все

В дополнение к обычному шифрованию (также известному как симметричное шифрование), в котором один и тот же ключ используется для шифрования и дешифрования, PKI также включает использование пары ключей — открытого ключа и закрытого (приватного) ключа — в процессе, который известен под интуитивно известным названием «шифрование с открытым ключом». Один из этих ключей шифрует информацию, а другой расшифровывает ее. Оба эти ключа различны, но они математически связаны друг с другом. Это означает, что информация, зашифрованная одним ключом, может быть расшифрована только с помощью ключа, связанного с ним. Открытый ключ, как следует из названия, доступен публично. Закрытый ключ, с другой стороны, остается приватным.

Таким образом, если Сергей и Михаил используют инфраструктуру открытого ключа вместо симметричного метода шифрования, Сергей может зашифровать секретное сообщение, используя открытый ключ Михаила, который у него есть. Михаил со своим закрытым ключом является единственным человеком, который может расшифровать сообщение. Таким образом, они могут безопасно общаться, не позволяя недоброжелателям (мошенникам) читать/вмешиваться в эту информацию. Не только это, но Михаил может быть уверен в том, что сообщение пришло именно от Сергея, а не от кого-то другого.

Довольно круто, не правда ли?

Популярные области, в которых применяется PKI

Отвечая на вопрос «что такое PKI?» вам нужно поговорить не только о том, что оно составляет, но и о том, как и где оно используется. Существует несколько способов, которыми предприятия и организации по всему миру используют инфраструктуру открытых ключей:

Безопасность сайта (HTTPS/SSL)

Наиболее популярное использование PKI заключается в обеспечении безопасной, зашифрованной связи между веб-браузерами (клиентами) и веб-серверами (веб-сайтами). Это делается с помощью протокола HTTPS, который реализуется путем установки SSL-сертификата на веб-сервере.

Сертификат SSL работает, как удостоверение личности веб-сайта, через которое браузеры могут проверить, что они общаются с нужным веб-сайтом. Приобретая сертификат SSL, вы получаете открытый и закрытый ключи. Закрытый (приватный) ключ хранится на веб-сервере, и сервер использует его для подтверждения своей легитимности.

Благодаря использованию PKI, SSL-сертификат:

• защищает целостность сообщения,
• защищает информацию от атак «man-in-the-middle» и
• аутентифицирует связь обоих сторон (браузер и сервер).

Такой трехсторонний подход к безопасности жизненно важен, когда вы отправляете важную информацию, такую как пароли, данные кредитной карты, личные сообщения и т. д. Поэтому было бы не преувеличением назвать PKI «основой веб-безопасности».

Протокол защищенной оболочки (SSH)

Secure Shell (SSH) — это криптографический сетевой протокол, который обеспечивает безопасные сетевые сервисы между хостами и пользователями по незащищенной сети. Он используется для облегчения безопасного удаленного входа с одного компьютера на другой. В основе SSH также лежит инфраструктура открытых ключей (PKI).

Безопасность электронной почты (протокол S/MIME)

Другое важное использование PKI делается для шифрования и цифровой подписи email сообщений. Это делается с помощью интернет протокола, известного как S/MIME, или так называемого безопасного/многоцелевого расширения электронной почты. Эти сертификаты известны, как сертификаты S/MIME.

Как и протокол SSL/TLS, здесь и PKI реализован с использованием сертификата, но способ, которым они это делают, отличается. Вместо шифрования безопасного канала связи, это сквозное шифрование шифрует само сообщение.

Это означает, что сертификаты S/MIME не только шифруют электронные письма, но и снабжают их цифровой подписью для аутентификации личности отправителя и целостности самого сообщения.

Безопасный обмен сообщениями

Будь то WhatsApp, iMessage, Facebook Messenger или другие подобные службы обмена сообщениями, мы все используем службы связи или приложения. Многие из этих сервисов зашифрованы с использованием PKI и защищают от попыток перехвата данных или взлома. В частности, сквозное шифрование — это то, с чем многие правительства хотели бы покончить, хотя такие компании, как Apple, Microsoft и Facebook твердо придерживаются своих планов по его внедрению.

Подписание документов

Как и физические подписи для аутентификации физических документов, необходимо подписывать документы в цифровом виде. С одной стороны, это помогает получателю убедиться, что сообщение приходит от проверенного объекта; это также позволяет им гарантировать, что это не было подделано. Это также делается PKI с использованием сертификатов подписи документов.

Код / Подписание приложения

Миллионы пользователей загружают миллионы приложений на компьютеры и мобильные устройства каждый день. Компании-разработчики или частные лица создают эти программы. Но какова гарантия того, что устанавливаемое вами программное обеспечение принадлежит компании или индивидуальному разработчику, от которого вы думаете, что оно? Не может ли кто-нибудь просто изменить имя файла и замаскировать вредоносное программное обеспечение, как доверенное программное обеспечение? Да. И это очень реальная проблема для всех. Ну, вот где приходят сертификаты подписи кода.

Сертификат подписи кода удостоверяет личность разработчика или издателя и целостность исполняемого файла. Это позволяет браузерам проверять, что само программное обеспечение не было изменено каким-либо образом с использованием шифрования с открытым ключом. Это делается путем применения цифровой подписи и одностороннего хеширования.

PKI 101: Сертификаты, Ключи и Центры сертификации

Многие люди спрашивают нас: «Что такое PKI?» Что ж, ответ довольно прост: это система, которая используется для целей шифрования и аутентификации, и это не столько конкретный продукт/программное обеспечение. Следовательно, для реализации шифрования требуется некоторая материальная база. Это проявляется в виде различных технологий (аппаратного и программного обеспечения), объектов (таких как Центры Сертификации, о которых мы поговорим позже), процессов, политик и процедур. Эта система облегчает и управляет шифрованием и всем, что делает это возможным — начиная от основ открытых ключей и цифровых сертификатов и заканчивая управлением ими и пониманием Центров Сертификации, которые их выпускают и аннулируют.

Следовательно, можно сказать, что инфраструктура открытых ключей состоит из трех основных элементов: Пар ключей, Цифровых сертификатов X.509 и Органов выдачи сертификатов.

Теперь, когда мы понимаем пару ключей, давайте разберемся с двумя другими важными компонентами PKI — Цифровыми сертификатами и Центрами сертификации (CA).

Цифровые сертификаты

Цифровой сертификат — это набор файлов, с помощью которых мы можем реализовать различные приложения безопасности инфраструктуры открытого ключа (PKI). Проще говоря, это документ, удостоверяющий личность его владельца. Он состоит из информации о ключе, информации о личности его владельца и цифровой подписи Центра сертификации. Существует несколько различных типов цифровых сертификатов, которые (вы можете заметить, соответствуют популярному использованию PKI, которое мы рассмотрели выше). Вот некоторые из типов цифровых сертификатов X.509, которые вы можете найти в инфраструктуре PKI:

• SSL/TLS сертификаты;
• S/MIME сертификаты;
• Code Signing или Сертификаты подписи кода;
• Сертификаты аутентификации клиента в подписывании документов.

Центры сертификации

Давайте разберемся с простым сценарием. Если Сергей хочет отправить Михаилу зашифрованное сообщение, он может получить его цифровой сертификат, зашифровать информацию с помощью открытого ключа и отправить ему защищенное сообщение. Но тут возникает потенциальная проблема: как Сергей может быть уверен, что именно Михаил владеет сертификатом и открытым ключом, который он использовал? Что если он на самом деле отправит сообщение мошеннику, который просто утверждает, что он Михаил?

Здесь на помощь приходят Доверенные Центры Сертификации (CA)

Центры сертификации — это доверенные сторонние организации, которые выпускают цифровые сертификаты и управляют ими. Они являются наиболее важным элементом в PKI, поскольку миллионы пользователей — сознательно или неосознанно — будут полагаться на них.

Перед выдачей цифрового сертификата ЦС должен провести процесс проверки, чтобы удостовериться, что он выдает сертификат законному субъекту. Даже небольшая ошибка в процессе проверки может привести к ошибочной выдаче и вызвать катастрофу не только с точки зрения ущерба, но и с точки зрения общего доверия к системе, которой является PKI. Таким образом, чтобы быть доверенным центром сертификации, вы должны соответствовать очень строгим критериям, сформированным независимой группой браузеров, операционных систем и мобильных устройств, известной, как CA/Browser Forum (или CA/B Forum для краткости). Кроме того, вам нужна инфраструктура на несколько миллионов долларов, которая включает в себя значительные операционные элементы, аппаратные средства, программное обеспечение, структуры политик, практические заявления, аудит, инфраструктуру безопасности и персонал.

Преимущества инфраструктуры открытых ключей (PKI)

Учитывая все это, существует множество преимуществ использования шифрования с открытым ключом, как части вашей инфраструктуры открытого ключа. Кто они такие? О, мы очень рады, что вы спросили .

Аутентификация

В эпоху, когда мошенники пробуют все хитрости, чтобы обмануть пользователей, аутентификация/проверка подлинности становятся необходимостью. Когда вы передаете информацию через веб-сайт, электронную почту или текстовые сообщения, обязательно убедитесь, что вы общаетесь с предполагаемой организацией/личностью. Благодаря процессу проверки, проводимому Центром сертификации и использованию закрытого и открытого ключа, PKI обеспечивает беспрецедентную бесперебойную аутентификацию.

Конфиденциальность

Одним из важных элементов безопасности, когда дело доходит до онлайн-общения, является конфиденциальность. В конце концов, никто не хочет раскрывать свои пароли, информацию о кредитной карте или личную информацию. Зашифровывая данные между отправителем и получателем, PKI обеспечивает безопасность исходных данных, чтобы только предполагаемый получатель мог видеть данные в их первоначальном формате.

Целостность данных

Когда вы отправляете конфиденциальную информацию онлайн, обеим сторонам необходимо, чтобы получатель получал данные в неизмененном виде. С помощью метода, называемого «хэширование», PKI позволяет получателю проверить, остались ли сообщение/документ/данные в той же форме или нет.

Неотрекаемость

PKI предоставляет механизм цифровой подписи онлайн-транзакций (файлов, электронных писем, документов и т. д.), Способ физического подписания документов и прочего. Таким образом, это служит доказательством того, что лицо, подписавшее его, является источником данных. И, следовательно, это также делает невозможным для отправителя отрицать, что он/она был тем, кто подписал и отправил его. Это называется «неотрекаемость».

Недостатки инфраструктуры открытых ключей

Хотя существует много преимуществ инфраструктуры открытых ключей и предоставляемого шифрования, мы признаем, что она не идеальна. Также есть некоторые специфические недостатки, на которые стоит обратить внимание:

Скорость

PKI — это чрезвычайно безопасный процесс, который обеспечивает то, что должен. Большая часть кредита идет на пару ключей и сверхсложные математические алгоритмы. Однако эта сложность приводит к дополнительным вычислительным затратам при шифровании данных в больших объемах. В результате это замедляет процесс передачи данных до минимальной степени, порядка 5 миллисекунд (мс), чтобы быть точным. С точки зрения использования процессора, разница между зашифрованными и незашифрованными соединениями составляет 2%. Хотя это различие довольно мало, вы можете рассмотреть возможность перехода на HTTP/2 для ускорения процесса передачи данных.

Компромисс закрытого ключа

Математика, стоящая за PKI, должна быть настолько сильной, что даже суперкомпьютеры (не говоря уже о хакерах) не смогут взломать ее в течение практического времени. Однако вся безопасность PKI не зависит от непобедимой математики; это также зависит от безопасности закрытого ключа, так как он может расшифровать данные, зашифрованные открытым ключом.

Поэтому, если закрытый ключ скомпрометирован, злоумышленнику не нужно взламывать сверхсложные математические алгоритмы. Они могут расшифровывать данные (как прошлого, так и будущего) с помощью закрытого ключа, а также могут имитировать сервер, чтобы обмануть клиентов. Это может привести к взлому корпоративной секретной информации, паролей, финансовой информации и т.д. Другими словами, это может привести к беспрецедентным бедствиям. Это серьезная причина для беспокойства при использовании PKI.

Опора на Центры сертификации

PKI это не технология, это система. И, как и любая другая система, она имеет компоненты. Одним из ключевых компонентов PKI являются Центры сертификации, которые выдают сертификаты. Как мы видели ранее, ЦС должны проводить процесс проверки и подписывать цифровые сертификаты, чтобы удостовериться, что сертификаты выдаются только законным людям/организациям. Но если по какой-то причине ЦС будет скомпрометирован, то это может стать причиной нарушения безопасности для миллионов людей и организаций во всем мире.

Как PKI работает в SSL/TLS

В мире более 4,5 миллиардов интернет-пользователей, и все они используют PKI через SSL/TLS, даже если они не знают об этом. Поскольку вы читаете это предложение прямо сейчас, ваш браузер и наш сервер передают данные посредством процесса шифрования PKI, известного как «рукопожатие SSL/TLS». Давайте рассмотрим этот процесс немного подробнее:

1. Во-первых, когда клиент (браузер) посещает веб-сервер по запросу пользователя, клиент отправляет серверу свои поддерживаемые комплекты шифров и совместимую версию SSL/TLS, чтобы инициировать соединение. Это рассматривается, как сообщение «привет клиенту».

2. В свою очередь, веб-сервер проверяет комплекты шифров вместе с версией SSL/TLS и отправляет свой открытый сертификат клиенту вместе с сообщением «сервер привет».

3. Получив файл сертификата, клиент (браузер) аутентифицирует его. Если сертификат признан действительным, браузер инициирует процесс проверки секретного ключа, зашифровав «секретный ключ» открытым ключом сертификата SSL/TLS.

4. В свою очередь, веб-сервер дешифрует секретный ключ своим закрытым ключом.

5. Теперь и клиент, и сервер генерируют сеансовые ключи из случайного клиента, случайного сервера. Этот ключ сеанса, сгенерированный обоими, должен быть одинаковым.

6. Клиент отправляет «готовое» сообщение, зашифрованное с помощью ключа сеанса.

7. Сервер отправляет «готовое» сообщение, зашифрованное с помощью ключа сеанса.

После того как все вышеперечисленные шаги выполнены и процесс установления связи SSL/TLS завершен, между клиентом и браузером устанавливается безопасное соединение.

(Примечание. Вышеупомянутый процесс рукопожатия относится к TLS версии 1.2. Хотя этот процесс довольно сложный, мы упростили его здесь для лучшего понимания. Ознакомьтесь с этим постом для более подробного изучения процесса SSL / TLS. Это также важно отметить, что TLS 1.3 также используется, но TLS 1.2 используется чаще на момент написания этой статьи.)

Последнее слово

Мы думаем, что полностью ответили на ваш вопрос «что такое PKI?» Как вы теперь знаете, инфраструктура открытых ключей — это каменная стена, которая защищает киберпреступников от наших электронных писем, паролей, финансовых данных, личных сообщений и т.д. Это то, что формирует основу сегодняшней веб-безопасности — и невозможно представить мир без это, учитывая, что PKI защищает нас от многих фронтов.

Является ли PKI неразрушимым? Нет, у него есть возможности для улучшения; и именно поэтому время от времени мы видим изменения в экосистеме PKI. Ведущие мировые Центры сертификации активно действуют и всегда ищут способы улучшить нашу безопасность. Можно с уверенностью сказать, что мы в лучших руках.