slide1
Download
Skip this Video
Download Presentation
Můstková certifikační autorita (Bridge Certification Authority)

Loading in 2 Seconds...

play fullscreen
1 / 27

Můstková certifikační autorita (Bridge Certification Authority) - PowerPoint PPT Presentation


  • 350 Views
  • Uploaded on

Můstková certifikační autorita (Bridge Certification Authority). Mgr. Pavel Vondruška špecialista na poskytovanie certifikačných služieb ČESKÝ TELECOM, a.s. [email protected] www. telecom.cz ( crypto-world.info ). „Topologie PKI“ Princip můstkové CA Můstkové CA ve světě

loader
I am the owner, or an agent authorized to act on behalf of the owner, of the copyrighted work described.
capcha
Download Presentation

PowerPoint Slideshow about 'Můstková certifikační autorita (Bridge Certification Authority)' - Jims


An Image/Link below is provided (as is) to download presentation

Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author.While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server.


- - - - - - - - - - - - - - - - - - - - - - - - - - E N D - - - - - - - - - - - - - - - - - - - - - - - - - -
Presentation Transcript
slide1
Můstková certifikační autorita (Bridge Certification Authority)

Mgr. Pavel Vondruška

špecialista na poskytovanie certifikačných služieb

ČESKÝ TELECOM, a.s.

[email protected]

www.telecom.cz

( crypto-world.info )

obsah prezentace
„Topologie PKI“

Princip můstkové CA

Můstkové CA ve světě

-----------------------------------------------------------

[A] Vondruška,P.: Navázání vztahu důvěry mezi certifikačními autoritami, Data Security Management, DSM 5/2003, Praha

[B] Vondruška,P.: Vztah důvěry mezi můstkovými certifikačními autoritami, Data Security Management, DSM 6/2003, Praha

[C] Vondruška,P.: Teze požadavků na účastníky Můstkové certifikační autority, Informace 1/2004, projekt „BCA Czech Telecom“

Obsah prezentace
slide3
1. „Topologie PKI“
  • obecný model PKI
  • hierarchický model
  • konstrukce validační cesty
  • křížová certifikace
  • síťové PKI – mesh
  • propojení struktur hub-and-spoke
slide4
CA (Certifiaction Authority) – Certifikační autorita (poskytovatel certifikačních služeb)

Poskytovatel certifikačních služeb je subjekt, který vydává certifikáty a vede jejich správu. Zejména zveřejňuje seznamy vydaných certifikátů a seznamy certifikátů, které byly zneplatněny - CRL (Certificate Revocation List).

BCA (Bridge Certification Authority) – Můstková certifikační autorita

speciální certifikační autorita, která zajišťuje navázání vztahu důvěry mezi uživateli různých CA

PKI (Public Key Infrastructure

PKI je kombinace znalostí, soubor představ, dohod, konvencí, speciálního hardware a software, aplikací, které PKI využívají, standardů, norem, prováděcích směrnic, legislativy a osob….

obecn model pki
Obecný model PKI
  • „řízená důvěra“
  • subjekty
  • certifikační cesta (viz dále)
hierarchick struktura pod zenost nad zenost ca
Hierarchická struktura podřízenost-nadřízenost CA
  • výhody
  • nevýhody
  • certifikační cesta
slide7
Konstrukce certifikační cesty mezi ověřovaným certifikátem a důvěryhodným certifikátem CA (singulární bod důvěry) a ověření každého certifikátu v této cestě.

Oficiální standardy a doporučení pro validaci certifikátu jsou součástí doporučení X.509.4 vydání (ekvivalentní k ISO/IEC 9594-8) a RFC3280.

Konstrukce certifikační cesty zahrnuje vytvoření jedné nebo několika cest, které jsou nejenom formálně správně zřetězeny, ale vyhovují i dalším požadavkům, například maximální přípustné délce cesty, omezením jmen nebo certifikační politiky.

Základní metodou konstrukce cesty je zřetězení jmen od důvěryhodné CA až k posuzovanému subjektu. Konkrétně to znamená, že hodnota atributu Subject Name v jednom certifikátu musí být shodná s hodnotou Issuer Name v následujícím certifikátu v cestě.

Konstrukce a validace certifikační cesty

slide8
- Zřetězení jmen je vyhovující v případě, kdy je zaručena jedinečnost páru veřejného a privátního klíče CA. ()

V budoucnu je nutné počítat s procesy výměny klíčů CA (key rollover), kdy jedinečnost klíčů nebude zaručena a zřetězení jmen nevyhoví.

Alternativní metodou konstrukce cesty je zřetězení identifikátorů AKID a SKID uvedených v extenzích certifikátů

AKID (Authority Key Identifier) je jednoznačný identifikátor veřejného klíče CA

SKID (Subject Key Identifier) je jednoznačný identifikátor certifikátu, obsahující specifický veejný klíč.

Konstrukce cest pomocí zřetězení AKID a SKID je zcela analogická postupu při zřetězení jmen. Existuje několik možností pro výpočet AKID a SKID, například SHA-1 otisk veřejného klíče nebo monotónně rostoucí sekvence čísel.

Konstrukce a validace certifikační cesty

slide9
Křížová certifikace (jedno/ dvoustranná)
  • výhody
  • nevýhody
  • (křížová certifikace s „podřízenou CA“)
slide10
Síťové PKI - mesh

Tato struktura vzniká jednak tehdy, kdy není možné se dohodnout na vztahu podřízenosti a nadřízenosti jednotlivých CA nebo není možné takovýto vztah budovat.

Akreditace CA x akreditační orgán (NBÚ SR)

slide11
Propojení struktur (hub-and-spoke)

Problémy, které nastávají v případě síťové struktury PKI – především propojení velkého počtu autorit a propojení různých struktur, řeší zatím nejobecnější struktura důvěry mezi autoritami – můstková certifikační autorita ….

slide12
2. Princip můstkové certifikační autority
  • nejjednodušší BCA (uživatelské PC  )
  • „řízená důvěra“
  • BCA – různé varianty „řízení důvěry“ v CA, princip
  • administrativní principy začlenění do můstkové CA
slide15
Problém při ověřování certifikátů vydaných různými CA by neměl být řešen na úrovni uživatelů (viz předchozí případ), ale na úrovni správců CA….
slide16
Dotazy na kořenový certifikát

Dotaz na status

Spoléhající se strana

Spoléhající se strana

Spoléhající se strana

Lokální ověření

Základní způsoby ověřování certifikátů v můstkové CA

Oblast A

Bridge CA

Oblast B

CA A

CA C

členství

členství

CA A

CA B

CA C

(signed

bridge CA)

Validation authority

členství

Oblast B

CA B

slide17
Postup začlenění nové struktury PKI není nijak komplikovaný….

Nejprve se žádá formou registrace u můstkové autority o ověření důvěryhodnosti organizace (splnění vyhlášené certifikační politiky můstkové CA).

Po ověření následuje předání rootových certifikátů ostatních CA; certifikát nové autority je distribuován všem ostatním účastnickým organizacím, jejichž důvěryhodnost již byla dříve stejným způsobem ověřena.

Žadatel o vstup obdrží seznam důvěryhodných certifikátů účastnických organizací. (TSL, CTL, ZIP/Signed, …)

Provedením importu doručených certifikátů se nová organizace stává plnohodnotným účastníkem a může bezprostředně zahájit bezpečnou komunikaci s ostatními účastníky .

slide18
Můstková autorita zajišťuje i řadu úloh kolem implementace jednotlivých řešení, disponuje společným know-how, může zajišťovat bezpečnostní (nebo auditní) dohled nad CA atd.

Nový člen může bezprostředně po přijetí začít komunikovat důvěryhodným způsobem se všemi ostatními přihlášenými účastníky – bez toho, aby musel vést zdlouhavá dvoustranná jednání či uzavírat smlouvy o vzájemném uznávání (certifikátů).

Koncepce můstkové CA je založena na využití stávajících PKI a již vydaných certifikátů a tím chrání původní vynaložené investice účastníků.

slide19
3. Můstkové certifikační autorityve světě
  • US Federal Bridge CA (FBCA)
  • The European Bridge-CA organised by German companies
  • IDA (PKICUG)
slide20
Federální můstková certifikační autorita (The Federal Bridge Certification Authority)

http://www.cio.gov/fbca/

http://www.cio.gov/fpkisc

Z technologického hlediska jsou PKI jednotlivých entit křížově certifikovány s FBCA.

Samotná CA pracuje off-line. Základní metodou šíření důležitých dat pro spoléhající subjekty je využití adresářové služby, která má zaručenou dostupnost on-line 24 x 7 x 365. Z důvodu zajištění nepřetržité dostupnosti jsou adresářové služby budovány duálně (1. dc=gov , 2. o=U.S. Government, c=US ).

slide22
Evropská můstková certifikační autorita (European Bridge Certification Authority)

http://www.bridge-ca.org/

Vznikla z podnětu Deutsche Telekom a Deutsche Bank v květnu roku 2000.

V současné době (1.11.2004) združuje 90 organizací.

Distribuovaná data se zazipují a elektronicky podepíšou příslušnou autoritou. Data se potom rozesílají vložená do e-mailu jako příloha. Tento e-mail je zašifrován pro příslušného příjemce a podepsán konkrétním odesílatelem.

V nejbližší době se předpokládá nahrazení této metody důsledným využíváním protokolu CTL. Je to proprietární standard firmy Microsoft, který je založen na de-facto standardu firmy RSA Security - PKCS #7 (Cryptographic Message Syntax Standard).

slide23
Evropská můstková certifikační autorita (European Bridge Certification Authority)

http://www.bridge-ca.org/

slide24
Můstková certifikační autorita IDA (Interchange of Data between Administrations, PKICUG,Bridge/Gateway CA)

http://europa.eu.int/ida/

http://europa.eu.int/ida/servlets/Doc?id=17261

Cílem je bezpečná komunikace a bezpečná výměna elektronicky podepsaných dokumentů mezi státními orgány jednotlivých členských zemích Společenství.

Z technického hlediska se vztah důvěry zajišťuje opět především cross-certifikací certifikačních autorit jednotlivých subjektů (národních certifikačních autorit) s IDA.

Předávaný seznam TSL (Trust Status List) a způsob jeho ověření je podrobně popsán v draftu standardu ETSI TS STF 220-1 (9/2003)

slide25
CTL

CertificateTrustList ::=SEQUENCE

Version Version DEFAULT v1,

subjectUsage Subject Usage,

listIdentifier ListIdentifier OPTIONAL

sequenceNumber INTEGER OPTIONAL

thisUpdate ChoiceOfTime,

nextUpdate ChoiceOfTime,

subjectAlgorithm AlgorithmIdentifier,

trustedSubjects TrustedSubjects,

extensions extensions OPTIONAL

Definice CTL pomocí ASN1.

x

Využití TSL při ověření transakce v modelu můstkové certifikační autority

slide27
Děkuji za pozornost.

Mgr. Pavel Vondruška

špecialista na poskytovanie certifikačných služieb

ČESKÝ TELECOM, a.s.

[email protected]

www.telecom.cz

( crypto-world.info )

ad