Identyfikacja stron wymiany informacji

Powszechnym problemem bezpieczeństwa we wszystkich sieciach jest jednoznaczna identyfikacja użytkownika uprawnionego do wykorzystania określonych usług lub zasobów systemów i sieci. Dotyczy to zarówno osób, którym zamierzamy udostępnić jakąś formę usług naszej sieci, jak również własnych pracowników. Akceptacja użytkownika i weryfikacja jego uprawnień musi nastąpić już z chwilą wpisania się (log-in) do sieci. Identyfikacje opiera się na jednej z trzech zasad:

• coś, co znasz - np. hasło, kod PIN, Nr Pesel, nazwisko panieńskie matki,
• coś, co posiadasz - np. karta magnetyczna, karta inteligentna, "token" wyliczający hasło jednorazowe,
• coś, czym (kim) jesteś - bazuje na biometrii - odcisk palca, skan siatkówki lub tęczówki oka, kształt dłoni, tembr głosu, wzór pisma odręcznego.

Dla poprawy bezpieczeństwa zasady pierwsza i druga często są łączone np. karta magnetyczna i kod PIN w dostępie do bankomatów.

Każde z tych rozwiązań, oczywiście za różną cenę, pozwala zweryfikować tożsamość osoby próbującej uzyskać dostęp do zasobów sieci. Cena i skuteczność identyfikacji nie zawsze idą w parze, ale trzeba mieć na uwadze koszty systemowe rozwiązań. Biometria jest wysoce niezawodna, ale droga, karty magnetyczne są tanie, ale wymagają czytników. Tokeny bywają kłopotliwe w użyciu, z reguły mogą obsługiwać jeden system. Karty inteligentne są bardzo skuteczne i stanowią obecnie najdynamiczniej rozwijaną grupę rozwiązań..

Szczególnie ważna jest skuteczna identyfikacja legalnych, zdalnych użytkowników, np. na podstawie kart inteligentnych lub "tokenów". Krytycznym problemem staje się połączenie tych wszystkich ogniw technologicznych w jeden silny łańcuch bezpieczeństwa. Często doskonałe elementy, pochodzące od różnych producentów, po prostu nie chcą ze sobą współpracować.

Rola Zaufanej Trzeciej Strony (TTP)

Najbardziej krytycznymi elementami systemu rozliczeniowego, działającego w otwartej sieci, są zaufanie i bezpieczeństwo. Zgodnie z wcześniejszymi założeniami system, który ma zapewnić te parametry, powinien używać kryptografii opartej na kluczach publicznych. Polityka Bezpieczeństwa (PB) wymaga wytworzenia mechanizmów, które pozwolą powiązać jednoznacznie klucze publiczne funkcjonujące w systemie z ich właścicielami (właściwie z identyfikatorami ich właścicieli). Jedyną metodą realizacji takiego rozwiązania w otwartej sieci, jaką jest Internet, jest wytworzenie Infrastruktury Kluczy Publicznych (ang. Public Key Infostructure, PKI). Celem istnienia PKI jest zapewnienie zaufanego i efektywnego sposobu zarządzania kluczami publicznymi i ich certyfikatami, który zagwarantuje:

• zaufanie,
• poufność przekazu informacji,
• autentyczność treści informacji,
• niezaprzeczalność autorstwa,

w dowolnej aplikacji działającej w zamkniętym lub otwartym środowisku sieciowym.

W skład PKI wchodzą następujące elementy:

• Centrum Certyfikacji Kluczy Publicznych (Certification Authority),
• Centrum Rejestracji abonentów systemu (Registration Authority)
• Katalog (skorowidz) certyfikatów (Directory),
• Lista odwołanych certyfikatów (CRL),
• Klienci systemu wraz z ich kluczami publicznymi i prywatnymi,
• System zapewniający bezpieczną usługę (w tym aplikacje klientowskie).

W praktyce centrum certyfikacji może być rozwinięte do hierarchicznej struktury wielu współzależnych CA. CA może także świadczyć usługę generowania par kluczy publicznych dla abonentów systemu. Centra rejestrujące abonentów mogą istnieć w powiązaniu z CA lub stanowić niezależną sieć urzędów rejestracyjnych. Katalog certyfikatów może mieć postać centralnej bazy danych o klientach, ich danych identyfikacyjnych i certyfikatach kluczy. Katalog może przy okazji spełniać funkcję informacyjną, typową dla tzw. "żółtych stron" (Yellow Pages). Może to być także struktura rozproszonej bazy danych, w której zaimplementowano mechanizmy replikacji i synchronizacji, zwłaszcza dla CRL. Istnienie PKI musi być podporządkowane celowi, jaki kreuje istnienie relacji Klient-Serwer, ze zdefiniowanymi przez Politykę Bezpieczeństwa (e-biznesu) wymogami odnośnie bezpieczeństwa informacji.

Centrum Certyfikacji Kluczy Publicznych - Certification Authority (CA).

Centrum Certyfikacji Kluczy Publicznych jest najistotniejszym elementem PKI.

CA realizuje następujące funkcje:

• pełni rolę Zaufanej (Trzeciej) Strony w systemie,
• rejestruje i określa status subskrybentów sieci,
• generuje pary kluczy RSA dla subskrybentów (opcja),
• dokonuje dystrybucji oprogramowania do generowania kluczy (opcja),
• wydaje i zarządza certyfikatami kluczy,
• utrzymuje i obsługuje katalog wydanych certyfikatów (opcja),
• zarządza odwołaniem, zawieszeniem i wznowieniem certyfikatów,
• ustala politykę certyfikacji i stosowne procedury wykonawcze,
• prowadzi depozyt i /lub archiwum kluczy (opcja),
• poświadcza czas dostarczenia informacji (dokumentu) lub zawarcia transakcji (opcja),
• generuje wznowione klucze dla subskrybentów po przeterminowaniu (opcja),
• uczestniczy w tworzeniu narodowej struktury Centrów Certyfikacji (opcja).

Centrum Certyfikacji Kluczy Publicznych może być produktem - system sprzętowo-programowy lub usługą realizowaną zewnętrznie. W każdym przypadku krytycznymi elementami CA są poziom zaufania do wydawanych certyfikatów oraz poziom bezpieczeństwa kluczy prywatnych CA.

Sporadycznie, oprócz wymienionych wyżej funkcji, CA może dodatkowo prowadzić usługi:

• notariatu,
• archiwum,
• śródła czasu uniwersalnego (UT),
• certyfikacji innych atrybutów niż klucze publiczne,
• depozytu kluczy,
• centrum odtwarzania kluczy.

Odpowiedzialność CA, zależnie od zasięgu wpływów, rozciąga się na całą domenę - główne CA (root CA) lub dotyczy tylko specyficznego obszaru - regionalne/ branżowe CA. CA może funkcjonować samodzielnie lub być elementem hierarchicznego systemu certyfikacji kluczy.

Główne CA (root CA) podpisuje swój klucz publiczny samodzielnie (self-certificate), ponieważ nie ma jednostki nadrzędnej. Z tego powodu zaufanie do jego klucza publicznego jest tak krytycznym elementem. Opublikowanie samego klucza i jego identyfikatora w wielu mediach (sieć, prasa, biuletyny specjalistyczne) pozwala wzbudzić zaufanie także wśród "paranoicznie" nastawionych oportunistów. Konieczne jest podjęcie wszelkich działań mających na celu zabezpieczenie klucza prywatnego głównego CA.

W internetowych usługach rozliczeniowych spotykane są oba modele realizacji CA - jako własne przedsięwzięcie - element PKI instytucji handlowej, finansowej lub banku, regionalne /narodowe CA - element PKI państwa lub społeczności internetowej. O wyborze modelu decydują względy ekonomiczne - CA jest najbardziej kapitałochłonnym elementem PKI. Na drugiej szali wagi spoczywa zaufanie, jakim przedsiębiorstwo musi obdarzyć zewnętrzną instytucję, której poręczenie ma wymierny skutek, w transakcjach finansowych jego klientów.

Należy pamiętać, że certyfikaty kluczy publicznych, wytwarzane przez CA, stanowią wyłącznie potwierdzenie relacji pomiędzy kluczem publicznym i jego identyfikatorem. Żadną miarą nie mogą być traktowane jako certyfikaty wiarygodności treści prezentowanych przez posiadaczy certyfikatów, a tym samym jako potwierdzenie tożsamości ich właścicieli.

Certyfikat klucza to nie to samo co certyfikat handlowy, wypis z rejestru handlowego czy potwierdzenie notarialne. Zaufanie do certyfikatu nie może i nie powinno być wyłącznie konsekwencją faktu istnienia i otrzymania takiego certyfikatu.

Spore zamieszanie wśród wielu użytkowników Internetu wywołują certyfikaty wbudowane do przeglądarek. Są bezkrytycznie deklarowane i niestety przyjmowane jako podstawa do zbudowania zaufania w Sieci. Tym czasem są to certyfikaty miejsc, o których wiadomo tyle, że ufał im producent oprogramowania.

O tym, czy wbudowanym certyfikatom winien zaufać użytkownik przeglądarki, powinna zadecydować analiza dokumentów CA: Polityka Certyfikacji (ang. Certification Policy - CP) i Kodeks Certyfikacji (ang. Certification Practice Statement - CPS). To z tych dokumentów wynika, czy sposób rejestracji, wytworzenia certyfikatu, jego obsługi, zakres obowiązków, gwarancji i zobowiązań instytucji certyfikującej jest właściwy do biznesu, w którym certyfikat ma być użyty, czy jest niewystarczający w jakimkolwiek aspekcie. W praktyce okazuje się, że pojawienie się ikony bezpiecznego połączenia na stronie przeglądanego serwisu winno, zdaniem właścicieli serwera, zaspokoić oczekiwania co do autentyczności i poufności. Domyślne zaufanie do certyfikatów wbudowanych jest, w myśl normalnych reguł biznesowych, niebezpieczną nadinterpretacją określenia "zaufany".

To, czego w takiej sytuacji można być pewnym, to tylko tyle, że połączenie jest realizowane przez szyfrowany kanał z serwerem, który posiada certyfikat od znanego CA. Czy jest to miejsce godne zaufania, użytkownik winien zadecydować sam, w oparciu o własne kryteria budowy zaufania. Opis lokalizacji zawarty w opisie certyfikatu może być pomocny jako jedna z informacji identyfikujących, ale nie powinien być przyjmowany bezkrytycznie jako wiarygodny, bez porównania z podobnym opisem z innych śródeł, np. dokumentów handlowych. W przeciwnym razie możemy obdarzyć zaufaniem dobrze zakamuflowanych oszustów, powierzając im nasze poufne informacje.

Najnowsze artykuły

1. Współpraca z konsultantem
   Rola konsultanta - doradcy, jaką najczęściej przychodzi mi wypełniać oraz typowe problemy, jakie zdarzają się we współpracy z klientami były przyczyną przygotowania tego poradnika. Mam nadzieję, że zarówno inni konsultanci jak i nasi klienci 2007-04-12

2. Przypadek Cementowni NOWINY
   Jak zmniejszyć koszty obsługi systemu załadunku cementu przy okazji zwiększania dostępności informacji kontrolnej? 2007-01-03

3. Ochrona informacji w biznesie
   Ochrona informacji w biznesie. Jak poznac zagrożenia? Na czym polega ryzyko? 2006-06-18

4. Zalecenia ochrony infomacji
   Definicje określeń związanych z bezpieczeństwem i ochroną informacji w systemach i sieciach komputerowych. Zasady projektowania bezpiecznych systemów. Obszary zastosowań i wymagana funkcjonalność zabezpieczeń. 2006-06-06

5. Podstawy kryptografii
   Osoby Alicji i Bartka występują jako strony w realizowanym protokole kryptograficznym, obejmującym np. wymianę poczty, w którym niektóre (lub wszystkie) komunikaty zawierają elementy danych przekształcone przez algorytmy kryptograficznie. 2004-08-05

6. Certyfikaty
   Protokół SSL zapewnia bezpieczeństwo sesji w relacji end-to-end, czyli od biurka do serwera. Otwarty charakter interfejsu SSL umożliwia integrację protokołu z aplikacjami np. przeglądarkami WWW. 2002-10-21

7. Identyfikacja stron wymiany informacji
   Powszechnym problemem bezpieczeństwa we wszystkich sieciach jest jednoznaczna identyfikacja użytkownika uprawnionego do wykorzystania określonych usług lub zasobów systemów i sieci. 2001-05-27