Księgarnia PWN: Carlisle Adams, Steve Lloyd - PKI. Podstawy i zasady działania Spis treści Słowo wstępne... 15 Przedmowa... 17 Uzasadnienie dla PKI...18 Zmiany w drugim wydaniu książki... 19 Odbiorcy... 20 Układ książki... 20 Część I. Koncepcje... 21 Część II. Standardy... 22 Część III. Uwagi dotyczące wdrażania... 23 O autorach... 25 Część I. Koncepcje... 27 Rozdział 1. Wprowadzenie... 29 Rozdział 2. Kryptografia klucza publicznego... 33 Szyfry symetryczne i asymetryczne... 33 Tajny klucz... 33 Konieczność wymiany tajnych kluczy... 35 Trudności w komunikowaniu się nieznanych jednostek... 36 Kłopoty z liczbą kluczy... 36 Architektury symetrycznego serwera centralnego... 36 Nowe kierunki: klucz publiczny... 37 Para kluczy publiczny/prywatny... 38 Usługi kryptografii klucza publicznego... 38 Bezpieczeństwo komunikacji pomiędzy nieznajomymi... 39 Szyfrowanie...40 Podpis cyfrowy... 41 Integralność danych... 42 Ustanowienie klucza... 43 Inne usługi... 43 Algorytmy... 43 RSA... 44 DSA... 44 DH... 44
4 Zrozumieć PKI ECDSA oraz ECDH... 45 SHA 1... 45 Dalsze prace...46 Podsumowanie... 46 Rozdział 3. Koncepcja infrastruktury... 49 Wszechobecny czynnik... 49 Umożliwienie działania aplikacjom... 50 Bezpieczna rejestracja... 51 Bezpieczne pojedyncze zgłoszenie (SSO)... 52 Szeroki zakres bezpieczeństwa... 54 Korzyści biznesowe...55 Definiowanie infrastruktury klucza publicznego... 56 Urząd certyfikacyjny... 57 Repozytorium certyfikatów... 57 Unieważnianie certyfikatu... 58 Kopie zapasowe i odzyskiwanie kluczy... 58 Automatyczne uaktualnianie kluczy... 59 Historia kluczy... 60 Certyfikacja wzajemna... 60 Obsługa niezaprzeczalności... 61 Znaczniki czasu... 61 Oprogramowanie klienta... 62 Podsumowanie... 63 Rozdział 4. Podstawowe usługi PKI: uwierzytelnienie, integralność i poufność... 65 Definicje... 65 Uwierzytelnienie... 65 Identyfikacja jednostki: lokalna a zdalna... 66 Identyfikacja jednostki: jednoczynnikowa, a wieloczynnikowa... 67 Uwierzytelnianie jako usługa PKI... 67 Integralność... 70 Poufność... 71 Mechanizmy... 71 Uwierzytelnienie... 71 Integralność... 72 Poufność... 73 Warunki działania... 74 Wydajność...74 Działania online a działania offline... 74 Powszechność stosowanych algorytmów... 75 Nazywanie jednostek... 76 Podsumowanie... 76 Rozdział 5. Usługi umożliwiane przez PKI... 77 Bezpieczna komunikacja... 77 Bezpieczny znacznik czasu... 78
Spis treści 5 Potwierdzenie notarialne... 79 Niezaprzeczalność... 79 Powiązanie z innymi usługami... 80 Potrzeba bezpiecznej archiwizacji danych... 81 Złożoność niezaprzeczalności... 81 Czynnik ludzki... 81 Zarządzanie uprawnieniami... 82 Uwierzytelnienie i autoryzacja... 82 Urzędy autoryzacyjne... 83 Delegowanie... 83 Powiązanie z PKI... 84 Prywatność... 84 Mechanizmy wymagane do tworzenia usług obsługiwanych przez PKI... 86 Podpisy cyfrowe, skróty, kody MAC i szyfry... 86 Zaufane źródła czasu... 87 Mechanizm tworzenia reguł nadawania uprawnień... 87 Maszyny przetwarzające reguły nadawania uprawnień... 88 Mechanizmy infrastruktury zarządzania uprawnieniami... 88 Architektura prywatności... 89 Względy operacyjne...89 Mechanizm dostarczania zaufanego czasu... 90 Bezpieczne protokoły... 90 Nadmiarowość serwerów... 90 Fizyczne zabezpieczanie archiwów... 90 Certyfikaty zachowujące prywatność i przypisywanie tożsamości... 91 Rzeczywiste rozwiązania... 91 Kompletna infrastruktura PKI oraz codzienna praktyka... 92 Podsumowanie... 95 Rozdział 6. Certyfikaty i certyfikacja... 97 Certyfikaty... 98 Certyfikat cyfrowy... 99 Struktura i semantyka certyfikatu... 100 Alternatywne formaty certyfikatów... 107 SPKI... 107 PGP... 108 SET... 109 Certyfikaty atrybutów... 110 Reguły certyfikatów... 111 Identyfikatory obiektów... 112 Urzędy określające reguły... 114 Urzędy certyfikacyjne... 114 Urząd rejestracyjny... 115 Podsumowanie... 116 Rozdział 7. Zarządzanie kluczami i certyfikatami... 117 Zarządzanie cyklem życia klucza/certyfikatu... 118
6 Zrozumieć PKI Faza inicjowania... 119 Rejestracja jednostki końcowej... 119 Generowanie pary kluczy... 120 Tworzenie certyfikatu i dystrybucja kluczy/certyfikatów... 122 Rozpowszechnianie certyfikatów... 123 Kopie zapasowe kluczy... 124 Faza wydania... 125 Pobieranie certyfikatu... 126 Zatwierdzanie certyfikatu... 126 Odzyskiwanie kluczy... 127 Aktualizacja kluczy... 127 Faza kasowania... 128 Termin ważności certyfikatu... 129 Unieważnienie certyfikatu... 129 Historia klucza... 130 Archiwum kluczy... 131 Podsumowanie... 131 Rozdział 8. Unieważnianie certyfikatów... 133 Mechanizmy okresowego publikowania... 135 Listy unieważnień certyfikatów (CRL)... 135 Rozszerzenia dotyczące poszczególnych pozycji... 138 Rozszerzenia dotyczące całego CRL... 139 Rozszerzenia prywatne... 141 Kompletne CRL... 141 Listy unieważnionych certyfikatów urzędów certyfikacji (CARL)... 142 Lista unieważnionych certyfikatów klucza publicznego jednostek końcowych (EPRL)... 143 Punkty dystrybucji CRL... 143 Listy przekierowania CRL... 144 Listy Delta CRL i pośrednia Delta CRL... 146 Pośrednie listy CRL... 148 Drzewa unieważnień certyfikatów (CTR)... 148 Mechanizm zapytań online... 150 Protokół OCSP... 151 Ograniczenia OCSP... 152 Protokół SCVP... 153 Inne opcje dotyczące unieważnień... 154 Wydajność, skalowalność i aktualność... 155 Podsumowanie... 157 Rozdział 9. Modele zaufania... 159 Ścisła hierarchia urzędów certyfikacji... 160 Luźna hierarchia urzędów certyfikacji... 163 Hierarchie oparte na regułach... 163 Rozproszona architektura zaufania... 164 Konfiguracja siatki... 165
Spis treści 7 Konfiguracja typu Hub and Spoke... 166 Czworokątny model zaufania... 166 Model sieci WWW... 168 Zaufanie oparte na użytkowniku... 170 Certyfikacja wzajemna... 171 Nazywanie jednostek... 174 Przetwarzanie ścieżki certyfikatu... 175 Budowa ścieżki... 176 Zatwierdzanie ścieżki... 177 Uwagi na temat kotwicy zaufania... 177 Podsumowanie... 178 Rozdział 10. Wiele certyfikatów na jednostkę... 179 Wiele par kluczy... 179 Użytkowanie pary kluczy... 180 Związek między parą kluczy a certyfikatem... 181 Rzeczywiste trudności... 183 Niezależne zarządzanie certyfikatami... 183 Obsługa niezaprzeczalności... 184 Podsumowanie... 185 Rozdział 11. Rozpowszechnianie informacji w PKI: repozytoria i inne techniki... 187 Rozpowszechnianie prywatne... 187 Publikowanie i repozytoria... 188 Lokalizacja repozytoriów... 190 Kompromisy... 191 Opcje i problemy związane z repozytoriami międzydomenowymi... 193 Dostęp bezpośredni... 195 Repozytorium graniczne... 195 Repozytoria współdzielone... 196 Replikacja międzydomenowa... 196 Protokół wymiany wewnętrznej... 197 Podsumowanie... 197 Rozdział 12. Działanie PKI... 199 Oprogramowanie po stronie klienta... 199 Działania offline... 201 Bezpieczeństwo fizyczne... 202 Komponenty sprzętowe... 203 Ujawnienie klucza użytkownika... 204 Przygotowanie do katastrofy i przywrócenie działania... 207 Powiadomienie podmiotów zależnych... 207 Przygotowanie... 208 Przywrócenie działania... 210 Dodatkowe uwagi... 210 Podsumowanie... 211
8 Zrozumieć PKI Rozdział 13. Prawa związane z podpisem elektronicznym... 213 Przepisy prawne związane z podpisem elektronicznym... 213 E Sign... 214 Podpisy cyfrowe w szerszym kontekście... 214 Dyrektywa Unii Europejskiej dotycząca podpisu cyfrowego... 216 Znaczące inicjatywy związane z podpisem elektronicznym... 217 Prawne uwarunkowania PKI... 218 Wymagania dotyczące CA... 218 Role i odpowiedzialność... 220 Odpowiedzialność subskrybenta... 220 Odpowiedzialność CA... 221 Odpowiedzialność stron polegających na certyfikacie... 222 Prywatne PKI firmowe... 222 Inne ustalenia kontraktowe... 223 Poufność... 224 Podsumowanie... 224 Rozdział 14. PKI w praktyce... 225 Co robi PKI... 226 Czego PKI nie robi... 226 Wartość PKI... 230 Spotkanie ludzi i certyfikatów... 233 Scenariusz poczty elektronicznej... 233 Scenariusz sieci WWW... 236 Podsumowanie... 236 Rozdział 15. Przyszłość PKI... 237 Co się stało?... 237 Jak zmienia się świat... 241 Uznany urząd (władza) mający autorytet... 241 Motywacja... 242 Użytkownicy... 244 Powody do ostrożnego optymizmu... 245 Podsumowanie... 246 Rozdział 16. Wnioski i zalecane lektury... 247 Wnioski... 247 Zalecane lektury... 248 Część II. Standardy... 249 Rozdział 17. Wprowadzenie... 251 Rozdział 18. Główne działania standaryzacyjne... 253 X.509... 253 PKIX... 254 X.500... 256
Spis treści 9 LDAP... 256 ISO TC68... 257 ANSI X9F... 257 S/MIME... 257 IPsec... 258 TLS... 258 SPKI... 259 OpenPGP... 260 EDIFACT... 260 IEEE... 260 WAP... 261 Działania oparte na XML... 261 Inne działania... 262 U.S. FPKI... 262 MISPC... 263 GOC PKI... 263 SET... 264 SEMPER... 264 ECOM... 264 JCP... 265 ICE CAR... 265 Podsumowanie... 266 Rozdział 19. Stan standaryzacji i dalsze perspektywy... 267 Bieżący stan standaryzacji... 267 X.509... 267 PKIX... 268 X.500... 268 LDAP... 268 S/MIME... 269 IPsec... 269 TLS... 270 Wymagania dotyczące zestawu narzędzi (interfejsy API i mechanizmy)... 270 Inne... 270 Trwające prace standaryzacyjne... 271 Podsumowanie... 272 Rozdział 20. Standardy potrzebne, lecz niewystarczające... 273 Znaczenie standardów, profilu i testowania współdziałania... 273 Testowanie profili i współdziałania... 275 Inicjatywy dotyczące współpracy... 275 Automotive Network exchange... 275 Przykład mostu CA... 277 Federalna infrastruktura PKI... 277 Specyfikacja minimum współdziałania... 277 National Automated Clearing House Association... 278 PKI X.509... 279
10 Zrozumieć PKI Próbna koncepcja SIRCA... 280 Wyzwanie dla PKI projekt EEMA... 280 Podsumowanie... 281 Rozdział 21. Wnioski i zalecane lektury... 283 Wnioski... 283 Zalecane lektury... 283 Składnia certyfikatów i list CRL oraz protokoły zarządzania cyklem ich życia... 283 Przechowywanie i wyszukiwanie certyfikatów i list CRL... 284 Inicjatywy oparte na XML... 286 Inicjatywy dotyczące współpracy... 286 Witryny organizacji standaryzujących... 287 Książki... 288 Część III. Uwagi dotyczące wdrożeń... 289 Rozdział 22. Wprowadzenie... 291 Rozdział 23. Korzyści z infrastruktury PKI i jej koszty... 293 Rozważania dotyczące DQDOL]\RSáDFDOQRFLinwestycji... 293 Rozważania dotyczące kosztów... 295 Wdrożenie: teraz czy później?... 297 Podsumowanie... 298 Rozdział 24. Kwestie związane z wdrożeniem i podejmowanie decyzji... 299 Modele zaufania: hierarchiczny kontra rozproszony... 300 Insourcing kontra outsourcing... 301 Tworzenie kontra zakup... 302 Środowisko zamknięte kontra otwarte... 303 X.509 kontra alternatywne formaty certyfikatów... 303 Aplikacje ukierunkowane kontra rozwiązania wszechstronne... 304 Rozwiązania standardowe kontra firmowe... 304 Kwestie dotyczące współdziałania... 305 Profile certyfikatów i list CRL... 305 Wiele standardów akceptowanych w zastosowaniach biznesowych... 305 Aplikacje z możliwością współpracy z PKI... 306 Kontrola reguł/biznesu... 306 Działanie online kontra działanie offline... 306 Obsługa urządzeń peryferyjnych... 307 Wymagania dotyczące lokalizacji... 307 Wymagania dotyczące personelu... 308 Unieważnienie certyfikatu... 308 Roaming jednostek końcowych... 309 Odzyskiwanie klucza... 309 Kwestie związane z repozytorium... 310 Przewidywanie katastrof i powrót do pracy po ich wystąpieniu... 310 Zapewnienie bezpieczeństwa... 310
Spis treści 11 Łagodzenie ryzyka... 311 Podsumowanie... 312 Rozdział 25. Bariery wdrażania PKI... 313 Problemy dotyczące repozytoriów... 313 Brak standardu zaakceptowanego przez branżę... 313 Współdziałanie wielu dostawców... 314 Skalowalność i wydajność... 314 Wykwalifikowany personel... 315 Aplikacje z obsługą infrastruktury PKI... 315 Akceptacja na poziomie korporacji... 316 Podsumowanie... 316 Rozdział 26. Typowe modele biznesowe... 317 Biznesowy model komunikacji wewnętrznej... 317 Biznesowy model komunikacji zewnętrznej... 318 Komunikacja biznes biznes... 319 Komunikacja biznes klient... 320 Połączenia wewnętrznych i zewnętrznych modeli biznesowych... 321 Czynniki wpływające na model biznesowy... 321 Inicjatywy sponsorowane przez rząd... 322 Zaufanie międzydomenowe... 322 Identrus... 322 Pomostowe urzędy certyfikacji... 323 Sieć zaufania VeriSign... 323 GTE CyberTrust/Baltimore Technologies OmniRoot... 323 Inne sieci zaufania... 324 Podsumowanie... 324 Rozdział 27. Wnioski i zalecane lektury... 327 Wnioski... 327 Sugestie dotyczące dalszych lektur... 328 Bibliografia... 329 Skorowidz... 341