Avaliku võtme infrastruktuur
Kui inimesed viitavad avalik or era- PKI [01], millele nad tegelikult viitavad avalikult usaldatud ja eraviisiliselt usaldatud infrastruktuurid. Pidage meeles, et avalikud ja privaatvõtmed ei ole seotud avalike ja privaatsete võtmetega PKI.
Veelgi enam, mõlemad juhtumid viitavad hostitud PKI or PKI-teenusena (PKIaaS) lahendused. Sisemine (või kohapeal hostitud) PKI saab töötada eraviisiliselt PKI, kuid nende tööriistade ja teenuste rakendamiseks, mida saaksite hostitud, rakendamine nõuab märkimisväärselt palju jõupingutusi ja ressursse PKI or PKIaaS pakkuja.
Põhimõtteliselt a PKI on kaks funktsiooni:
- hallata avalikkuse kollektsiooni[02] ja privaatvõtmed ja
- iga võtme sidumiseks üksuse, näiteks inimese või organisatsiooni identiteediga.
Sidumine luuakse elektrooniliste isikut tõendavate dokumentide, nn digitaalsed sertifikaadid [03]. Sertifikaadid allkirjastatakse krüptograafiliselt privaatse võtmega, et klienditarkvara (näiteks brauserid) saaks sertifikaadi kinnitamiseks kasutada vastavat avalikku võtit autentsus (st sellele kirjutas alla õige privaatvõti) ja terviklikkuse (st seda ei muudetud mingil viisil).
Avalikult usaldusväärne ja eraviisiliselt usaldusväärne PKI
Kuigi mõlemad PKI konfiguratsioonid pakuvad sama funktsiooni, nende eristamine on üsna sirgjooneline.
avalik PKIKlienditarkvara usaldab neid automaatselt, samas kui privaatsed PKIEnne selle poolt väljaantud sertifikaatide kasutamist peab kasutaja käsitsi usaldama (või ettevõtte ja Interneti-keskkonnas domeeni administraatori poolt kõigisse seadmetesse rakendatav) PKI saab valideerida.
Organisatsioon, mis hoiab avalikult usaldatavat PKI nimetatakse a Sertifikaadi asutus (CA). Avaliku usalduse saamiseks tuleb CA-d auditeerida selliste standardite järgi nagu CA / B Foorumi põhinõuded [04] ja võetakse vastu avalikes usalduspoodides, näiteks Microsofti usaldusväärsete juurikaupluste programmis.
Kuigi privaatne PKI Rakendused võivad olla sama turvalised kui nende avalikud kolleegid, vaikimisi neid ei usaldata, kuna nad ei vasta väidetavalt nendele nõuetele ja võetakse vastu usaldusprogrammides.
Miks valida avalikult usaldatav? PKI?
Avalikkuses usaldamine tähendab, et avalikult usaldatakse juursertifikaadid (seostades CA identiteedi nende ametlike avalike võtmetega) on enamikus klientides juba levitatud. Brauseritele, opsüsteemidele ja muule klienttarkvarale on lisatud usaldusväärsete avalike võtmete sisseehitatud loend, mida kasutatakse tuvastatud sertifikaatide valideerimiseks. (Vastutustundlikelt müüjatelt võib tarkvara loendit uuendades ka neid loendeid värskendada.) Seevastu eraviisiliselt usaldusväärseteks juurisertifikaatideks (vaja on privaatset PKI) tuleb enne sellise privaatsuse sertifikaatide käsitsi installimist PKIs saab valideerida.
Selle tagajärjel, kui proovite kaitsta avalikult juurdepääsetavat veebisaiti või muud veebiressurssi, antakse avalikkusele usaldusväärse ettevõtte väljastatud sertifikaat PKI (st CA) on selleks tee, kuna iga külastaja peab privaatse käsitsi installima PKIJuurdesertifikaat nende brauserisse ei ole otstarbekas (ja tõenäoliselt ilmnevad järjepidevad turvahoiatused mõjutavad teie saidi mainet negatiivselt).
Miks valida eraviisiliselt usaldusväärne? PKI?
avalik PKIs peavad rangelt järgima määrusi ja läbima regulaarseid auditeid, olles eraviisiliselt usaldatud PKI võib auditeerimisnõuetest loobuda ja standarditest kõrvale kalduda, mida tema operaator peab vajalikuks. Ehkki see võib tähendada, et nad ei järgi häid tavasid, lubab see klientidel kasutada ka privaatset teenust PKI rohkem vabadust seoses nende sertifikaadipoliitika ja toimingutega.
Üks näide: põhinõuded keelavad avalikult usaldusväärsetel CA-del väljastada sertifikaate sisedomeenidele (nt example.local). Privaatne PKI võib soovi korral väljastada sertifikaate mis tahes domeenile, sealhulgas sellistele kohalikele domeenidele.
Avalikult usaldusväärsed sertifikaadid peavad alati sisaldama ka konkreetset teavet viisil, mis on rangelt määratletud nende kontrollimäärustes ja vormindatud sertifikaatide profiilina, mis vastab avalike sertifikaatide aktsepteeritud X.509 standardile. Mõned kliendid võivad siiski nõuda kohandatud sertifikaadiprofiili, mis on spetsiaalselt kohandatud nende organisatsiooni eeldatavatele kasutusaladele ja turvalisusega seotud probleemidele. Reamees PKI saab sertifikaate välja anda spetsiaalse sertifikaadiprofiili abil.
Peale sertifikaadi enda, eraviisiline PKI võimaldab täielikult kontrollida ka identiteedi ja volituste kontrollimise protseduure. Kliendi enda juurdepääsu kontrollsüsteeme (näiteks ühekordsed sisselogimised või LDAP-kataloogid) saab integreerida privaatsega PKI teenus sertifikaatide hõlpsaks edastamiseks osapooltele, kellele operaator juba usaldab. Seevastu avalikult usaldatud PKI enne mis tahes sertifikaadi väljaandmist peab tegema kvalifitseeritud andmebaaside suhtes ranged käsitsi ja automatiseeritud kontrollid ja valideerimise.
Sertifikaadi läbipaistvus
Peaksime ka märkima, et privaatne PKI ei pea osalema Sertifikaadi läbipaistvus [05].
Nüüd jõustavad sellised brauserid nagu Chrome [06] CT kõigi avalikult usaldusväärsete sertifikaatide jaoks, mis nõuab, et pädevad asutused avaldaksid kõik välja antud sertifikaadid üldkasutatavas andmebaasis. Privaatne PKI operaatorid ei ole siiski kohustatud CT-d rakendama ja võivad selle tulemusel pakkuda tundlikele rakendustele paremat privaatsust või kui sisemise võrgu struktuuri avalikustamist peetakse kahjulikuks [07].
Järeldus
Valides ühe PKI lahendus teise suhtes ei ole tühine otsus. Nii avalik kui ka eraviisiline PKI pakuvad eeliseid ja puudusi ning teie enda valik võib sõltuda paljudest teguritest, sealhulgas üldsuse juurdepääsu vajadusest, kasutusmugavusest ning turvalisuse ja poliitika nõuetest oma infrastruktuuri juhtimiseks.
Siin SSL.com, aitame hea meelega tõhusat üles ehitada PKI kava, mis sobib teie organisatsiooni ainulaadsete vajadustega.
