Public Key Infrastructure - Polski Serwis Naukowy

Diagram infrastruktury klucza publicznego

Infrastruktura klucza publicznego (ang. Public Key Infrastructure (PKI)) – w ogólności jest to zespół urządzeń, oprogramowania, ludzi, polityk oraz procedur umożliwiający tworzenie, przechowywanie, zarządzanie i rozprowadzanie cyfrowych certyfikatów klucza publicznego. W szczególności jest to szeroko pojęty kryptosystem, w skład którego wchodzą urzędy certyfikacyjne (CA), urzędy rejestracyjne (RA), subskrybenci certyfikatów klucza publicznego (użytkownicy), oprogramowanie oraz sprzęt. Infrastruktura klucza publicznego tworzy hierarchiczną strukturę zaufania, której podstawowym dokumentem jest certyfikat klucza publicznego. Najpopularniejszym standardem certyfikatów PKI jest X.509 w wersji trzeciej.

Lista unieważnionych certyfikatów (lista CRL, ang. Certificate Revocation List) to lista certyfikatów unieważnionych przez organ certyfikujący z różnych powodów.

Certyfikat klucza publicznego – informacja o kluczu publicznym podmiotu, która dzięki podpisaniu przez zaufaną trzecią stronę jest niemożliwa do podrobienia.

Do podstawowych funkcji PKI należą:

Weryfikacja tożsamości subskrybentów

Wymiana kluczy kryptograficznych

Wystawianie certyfikatów

Weryfikacja certyfikatów

Podpisywanie przekazu

Szyfrowanie przekazu

Potwierdzanie tożsamości

Znakowanie czasem

Dodatkowo, w pewnych konfiguracjach, możliwe jest:

Odzyskiwanie kluczy prywatnych.

Ważniejsze pojęcia:

Kryptosystem – system, którego podstawowym celem jest dokonywanie operacji kryptograficznych. Jest to zbiór współdziałających ze sobą szyfrów, procedur ich użycia, protokołów zapisu danych, urządzeń.

Klucz – w kryptografii informacja umożliwiająca wykonywanie pewnej czynności kryptograficznej – szyfrowania, deszyfrowania, podpisywania, weryfikacji podpisu itp.

CA - Certification Authority - urząd certyfikacji - wystawia certyfikaty, listy CRL, certyfikuje inne CA.

RA - Registration Authority - urząd rejestracji - zbiera wnioski o wydanie certyfikatu, weryfikuje tożsamość subskrybentów.

Subskrybent - właściciel certyfikatu.

Rozwinięciem tradycyjnego modelu infrastruktury klucza publicznego może być zastosowanie podpisu elektronicznego z mediatorem, w którym podpis finalizowany jest online z udziałem mediatora, który przechowuje połówkę klucza prywatnego.

Certyfikat klucza publicznego – informacja o kluczu publicznym podmiotu, która dzięki podpisaniu przez zaufaną trzecią stronę jest niemożliwa do podrobienia.

MD5 (z ang. Message-Digest algorithm 5 - Skrót wiadomości wersja 5) - algorytm z dziedziny kryptografii. Jest to popularna kryptograficzna funkcja skrótu, która z dowolnego ciągu danych generuje 128-bitowy skrót.

Skuteczny atak na PKI

W 2008 roku grupie naukowców udało się przeprowadzić udany atak na centrum certyfikacji (CA), używające w podpisie certyfikatu funkcji skrótu MD5. Efektem tego ataku było otrzymanie certyfikatu CA z poprawnym podpisem, pomimo złożenia wniosku o certyfikat kliencki. Certyfikat ten umożliwia podpisywanie certyfikatów klienckich, którym zaufa większość popularnych przeglądarek internetowych, a więc efektywne podszycie się pod dowolną stronę internetową używającą certyfikatów. Praca opisująca ten atak została przedstawiona 30 grudnia 2008 roku na Chaos Communication Conference w Berlinie.

Szyfr (inaczej kryptograficzny algorytm szyfrujący) – jest to funkcja matematyczna wykorzystywana do szyfrowania tekstu jawnego lub jego deszyfrowania. Zazwyczaj jedna funkcja wykorzystywana jest do szyfrowania, a inna do deszyfrowania wiadomości. Wiadomość przed zaszyfrowaniem nazywana jest tekstem jawnym, zaś wiadomość zaszyfrowaną nazywamy szyfrogramem. Proces zamiany tekstu jawnego na szyfrogram nazywamy szyfrowaniem.

Przeglądarka internetowa – program komputerowy, służący do pobierania i wyświetlania zawartości dokumentów z serwerów internetowych, a także odtwarzania plików multimedialnych (czasem za pomocą różnych wtyczek).

Przypisy

Alexander Sotirov, Marc Stevens, Jacob Appelbaum, Arjen Lenstra, David Molnar, Dag Arne Osvik, Benne de Weger: Creating a rogue CA certificate. 2008.