Infrastruktur Kunci Publik
Ketika orang merujuk publik or swasta PKI [01], mereka sebenarnya mengacu pada dipercaya secara publik dan dipercaya secara pribadi infrastruktur. Harap diingat bahwa kunci publik dan pribadi tidak terkait dengan publik dan pribadi PKI.
Terlebih lagi, kedua kasus mengacu pada dihosting PKI or PKI-sebagai-Layanan (PKIaaS). Internal (atau dihosting secara lokal) PKI dapat bekerja sebagai pribadi PKI, tetapi dibutuhkan banyak upaya dan sumber daya untuk mengimplementasikan alat dan layanan yang akan Anda dapatkan dari yang di-host PKI or PKIpenyedia aaS.
Secara mendasar, a PKI memiliki dua fungsi:
- untuk mengelola koleksi publik[02] dan kunci pribadi, dan
- untuk mengikat setiap kunci dengan identitas entitas individu seperti seseorang, atau organisasi.
Binding didirikan melalui penerbitan dokumen identitas elektronik, yang disebut sertifikat digital [03]. Sertifikat ditandatangani secara kriptografis dengan kunci privat sehingga perangkat lunak klien (seperti browser) dapat menggunakan kunci publik yang sesuai untuk memverifikasi sertifikat. keaslian (Yaitu ditandatangani oleh kunci pribadi yang benar) dan integritas (Yaitu tidak diubah dengan cara apa pun).
Dipercaya secara publik dan Dipercaya secara pribadi PKI
Sementara kedua PKI konfigurasi menyediakan fungsi yang sama, perbedaannya cukup mudah.
Publik PKIs secara otomatis dipercaya oleh perangkat lunak klien, sementara bersifat pribadi PKIs harus dipercaya secara manual oleh pengguna (atau, dalam lingkungan perusahaan dan IoT, yang digunakan untuk semua perangkat oleh administrator domain) sebelum sertifikat apa pun yang dikeluarkan oleh PKI dapat divalidasi.
Organisasi yang memelihara kepercayaan publik PKI disebut a Otoritas sertifikat (CA). Agar dipercaya publik, CA harus diaudit berdasarkan standar seperti Persyaratan Dasar Forum CA / B [04] dan diterima ke toko kepercayaan publik seperti Program Toko Root Tepercaya Microsoft.
Meskipun pribadi PKI implementasi bisa sama amannya dengan rekan-rekan publik mereka, mereka tidak dipercaya secara default karena mereka tidak terbukti memenuhi persyaratan ini dan diterima ke dalam program kepercayaan.
Mengapa memilih yang dipercayai publik PKI?
Dipercaya secara publik berarti dipercaya secara publik sertifikat root (mengaitkan identitas CA dengan kunci publik resmi mereka) sudah didistribusikan di sebagian besar klien. Peramban, sistem operasi, dan perangkat lunak klien lainnya dikirimkan dengan daftar kunci publik tepercaya seperti itu yang digunakan untuk memvalidasi sertifikat yang mereka temui. (Vendor yang bertanggung jawab juga dapat diharapkan untuk memperbarui daftar ini ketika memperbarui perangkat lunak mereka.) Sebaliknya, sertifikat root yang dipercaya secara pribadi (diperlukan untuk pribadi PKI) harus diinstal secara manual di klien sebelum sertifikat dari privat tersebut PKIs dapat divalidasi.
Sebagai konsekuensinya, jika Anda mencoba melindungi situs web yang dapat diakses publik atau sumber daya on-line lainnya, sertifikat yang dikeluarkan dari kepercayaan publik PKI (yaitu, CA) adalah cara untuk pergi, karena mengharuskan setiap pengunjung untuk menginstal pribadi secara manual PKISertifikat root ke browser mereka tidak praktis (dan peringatan keamanan yang konsisten yang kemungkinan besar dihasilkan akan berdampak negatif pada reputasi situs Anda).
Mengapa memilih yang dipercaya secara pribadi PKI?
Publik PKIs harus secara ketat mengikuti peraturan dan menjalani audit rutin, sementara yang dipercaya secara pribadi PKI dapat mengabaikan persyaratan audit dan menyimpang dari standar dengan cara apa pun yang dianggap sesuai oleh operatornya. Meskipun ini dapat berarti bahwa mereka tidak mengikuti praktik terbaik dengan ketat, ini juga memungkinkan pelanggan menggunakan layanan pribadi PKI lebih banyak kebebasan terkait kebijakan dan operasi sertifikat mereka.
Salah satu contoh: Persyaratan Dasar melarang CA yang dipercayai publik untuk menerbitkan sertifikat untuk domain internal (mis example.local). Pribadi PKI dapat, jika diinginkan, mengeluarkan sertifikat untuk domain apa pun yang diperlukan, termasuk domain lokal tersebut.
Sertifikat yang dipercaya secara publik juga harus selalu menyertakan informasi spesifik dengan cara yang ditentukan secara ketat oleh peraturan pengontrolnya dan diformat dalam pemetaan profil sertifikat ke standar X.509 yang diterima untuk sertifikat publik. Namun, beberapa pelanggan mungkin memerlukan profil sertifikat khusus, yang secara khusus disesuaikan dengan penggunaan yang diantisipasi dan masalah keamanan organisasi mereka. Seorang pribadi PKI dapat mengeluarkan sertifikat menggunakan profil sertifikat khusus.
Terlepas dari sertifikat itu sendiri, pribadi PKI memungkinkan kontrol penuh atas prosedur verifikasi identitas dan kredensial juga. Sistem kontrol akses milik pelanggan (seperti single sign-on atau direktori LDAP) dapat diintegrasikan dengan privat PKI layanan untuk dengan mudah memberikan sertifikat kepada pihak-pihak yang sudah dipercaya oleh operator. Sebaliknya, yang dipercaya publik PKI harus melakukan pemeriksaan manual dan otomatis yang ketat dan validasi terhadap database yang memenuhi syarat sebelum mengeluarkan sertifikat apa pun.
Transparansi Sertifikat
Kami juga harus mencatat bahwa itu pribadi PKI tidak diharuskan untuk berpartisipasi dalam Transparansi Sertifikat [05].
Browser seperti Chrome sekarang berlaku [06] CT untuk semua sertifikat tepercaya publik, yang mengharuskan CA untuk menerbitkan semua sertifikat yang diterbitkan ke database yang dapat diakses publik. Pribadi PKI operator, bagaimanapun, tidak berkewajiban untuk mengimplementasikan CT, dan sebagai hasilnya dapat memberikan privasi yang lebih baik untuk aplikasi sensitif, atau di mana pengungkapan publik terhadap struktur jaringan internal akan dianggap berbahaya [07].
Kesimpulan
Memilih satu PKI solusi atas yang lain bukanlah keputusan sepele. Baik negeri maupun swasta PKI menawarkan manfaat dan kelemahan, dan pilihan Anda sendiri dapat bergantung pada banyak faktor, termasuk kebutuhan untuk akses publik, kemudahan penggunaan, dan persyaratan keamanan dan kebijakan untuk mengendalikan infrastruktur Anda.
Di sini, di SSL.com, kami senang membantu Anda membangun yang efektif PKI rencana yang sesuai dengan kebutuhan unik organisasi Anda.
