Концепция «инфраструктуры доверия» в исполнительных органах государственной власти Томской области (стр. 7 )

Если ДТС не является непосредственным участником работы службы неотвергаемости, иные сервисы ДТС, такие как выдача сертифицированных ключей (с генерацией ключа и без) или служба управления сертификатами, могут использоваться для создания необходимой инфраструктуры.

На рисунке 5 приведён пример предоставления доверенной третьей стороной услуг неоттвергаемости лицам А и В.

Рисунок 5 - Пример архитектуры, обеспечивающей неотвергаемость

7.3 Службы управления ключами

Управление ключами основывается на сервисах генерации, регистрации, сертификации, распространения, установки, хранения, наследования, архивации, аннулирования, снятия с регистрации и уничтожения. Может задействоваться также ряд сервисов, связанных с обеспечением безопасности, в том числе контроль доступа, аудит безопасности, аутентификация, криптографическое преобразование и фиксация времени.

Внутрисетевая ДТС может выполнять роль сервера управления ключами, поддерживая работу сервисов, использующих криптографические технологии. В зависимости от способа генерации ключевых данных, таким сервисом может быть служба распространения ключей (если ключ генерируется ДТС) либо служба преобразования ключей (если ключ генерируется пользователем системы и передаётся другому пользователю посредством ДТС).

7.3.1 Служба генерации ключей

Данная служба выполняет защищённую генерацию ключей для определённого криптографического алгоритма. Получение секретных непредсказуемых чисел, обладающих заданными свойствами, является фундаментальной основой процесса генерации ключей. Например, случайные числа могут генерироваться криптографически защищённым генератором псевдослучайных последовательностей либо в результате естественного процесса, такого как распад радиоактивных частиц. Случайные числа в различной степени используются для генерации чисел, проверки правильности генерации, генерации и валидации идентификатора домена, генерации пары ключей и проверки подлинности открытых ключей.

7.3.2 Служба регистрации ключей

В этой службе ДТС обеспечивается функционирование центра регистрации, обеспечивающего регистрацию пользовательских ключей таким образом, что зарегистрированный ключ ассоциируется с конкретным пользователем системы. Данный сервис включает ведение реестра ключей, а также сопутствующей информации, с соответствующей степенью защиты (например, открытый реестр для открытых ключей пользователей). Открытые ключи должны быть заверены как минимум одним центром сертификации. Для повышения доступности и надёжности данного сервиса сертифицированные ключи следует распространять через систему общедоступных и надёжных каталогов; в таком случае требуется периодическое обновление каталогов для поддержки целостности системы. Центр регистрации предоставляет услуги регистрации и снятия с регистрации.

7.3.3 Служба сертификации ключей

В данной службе ДТС функционирует центр сертификации, который создаёт сертификаты ключей. Центр сертификации помечает временным маркером и подписывает открытые ключи или атрибуты с целью обеспечения их действительности и подлинности в инфраструктуре доверенных ключей. Пользователи, применяющие сертификаты, должны доверять этому же центру сертификации или хотя бы одному из вышестоящих центров. Сертифицированные ключи могут создаваться службой генерации ключей ДТС или собственниками ключей.

7.3.4 Служба распространения ключей

Назначение данной службы состоит в безопасной передаче ключей пользователям, уполномоченным их получать. В зависимости от политики безопасности ДТС ключи могут переправляться другим службам, например службе каталогов. Данные службы могут входить в состав той же самой или другой ДТС. Распространение ключей между ДТС, а также между ДТС и их пользователями, в особенности через незащищённые каналы, должно быть защищено криптографическими средствами и протоколами.

7.3.5 Служба установки ключей

Обращение к данной службе обязательно перед началом использования ключа, так как с её помощью выполняется безопасное включение ключа в систему управления ключами, гарантирующее защиту ключа от компрометации.

7.3.6 Служба хранения ключей

Данная служба обеспечивает хранение ключей, предназначенных для текущего или кратковременного использования. Нередко её физически отделяют от остальных служб с целью сохранить целостность и конфиденциальность ключей. Необходимо обеспечить возможность обнаружения любых попыток нарушения безопасности службы.

7.3.7 Служба наследования ключей

Данная служба создаёт потенциально большое количество ключей на основе секретного исходного ключа (называемого также ключом наследования), несекретных переменных данных и процесса преобразования. Ключ наследования должен быть особым образом защищён, а процесс преобразования быть непредсказуемым и необратимым, обеспечивая, что компрометация порождённого ключа не ведёт к компрометации ключа наследования или другого порождённого ключа. Потенциально большое количество ключей создаётся в процессе трансформации путём использования исходного ключа, называемого также ключом наследования, и несекретных переменных данных.

7.3.8 Служба архивации ключей

Идентична службе хранения ключей; тем не менее, данная служба предназначена для безопасного долговременного хранения ключей после того, как их обычное использование прекращено. В систему архивации попадают те ключи, которые могут понадобиться значительно позднее для подтверждения или опровержения каких-либо претензий.

7.3.9 Служба аннулирования ключей

Назначение данной службы состоит в безопасной деактивации ключа в тех случаях, когда известна или подозревается его компрометация. Необходимо обеспечить регулярное распространение перечня аннулированных ключей. Аннулирование может быть произведено по инициативе собственника ключа, иного уполномоченного или доверенного лица при наличии подозрения в компрометации. В ряде случаев аннулирование ограничивается жёсткими временными рамками, и допускается наличие лишь небольшого промежутка времени между получением запроса и передачей уведомления об аннуляции. ДТС может отвечать только за аннулирование ключей для своих клиентов, зачастую информируя каждого из них о том, какой из его ключей был аннулирован.

7.3.10 Служба уничтожения ключей

В данной службе ДТС аккредитованный центр регистрации обеспечивает уничтожение ключей, в которых более нет надобности. Сначала ДТС должна предоставить услугу снятия с регистрации, удаляя тем самым связь между ключом и его обладателем. После этого следует уничтожение ключа, которое сопровождается удалением всей связанной с ним информации и исключает любую возможность восстановления ключа. Помимо этого, удаляются все копии заархивированных ключей (после того, как расследование установило, что защищенные этими ключами данные больше никогда не понадобятся).

7.4 Службы управления сертификатами

Форма сертификата открытого ключа и атрибутивного сертификата определёна в рекомендациях ITU-T X.509 | ISO/IEC 9594-8. Формат атрибутивного сертификата совместим с сертификатом X.509 и не ограничен определённой областью применения. Это важно, т. к. позволяет обращаться к тому же самому объекту с атрибутами (например, именем), заданными в сертификате открытого ключа X.509.

В последующих подразделах описаны некоторые службы управления сертификатами.

7.4.1 Служба сертификатов открытых ключей

Центр сертификации представляет собой ДТС, предоставляющую сертификаты открытых ключей и занимающуюся ведением базы данных, необходимой для аннулирования выданных сертификатов. Это производится путём подтверждения личности запрашивающего сертификат перед сертификацией открытого ключа, а также путём ограничения срока действия сертификата. Центр сертификации обязан проверить, что запрашивающему известен закрытый ключ. Центр сертификации может проверить достоверность открытого ключа и, где это применимо, параметров домена заявителя.

Управление жизненным циклом сертификата открытого ключа осуществляется ДТС, предоставляющей услуги центра сертификации. Доверие пользователей к центру сертификации основано на использовании соответствующих оборудования и механизмов криптографии, а также на профессионализме в управлении и менеджменте. Доверие подтверждается независимым аудитом, результаты которого доводятся до сведения пользователей. В обязанности центра сертификации входит:

1) идентификация объектов, предоставивших данные своих открытых ключей для получения сертификата;

2) обеспечение качества пары асимметричных ключей, используемых для получения сертификатов открытых ключей;

3) обеспечение секретности процесса сертификации и закрытого ключа, используемого для подписывания данных открытого ключа;

4) хранение и поддержание актуальности системно-зависимых данных, включаемых в данные открытого ключа; это серийный номер сертификата, идентификатор центра сертификации и т. д.;

5) определение и проверка сроков действия сертификатов;

6) извещение объекта системы, указанного в данных открытого ключе, о выдаче сертификата;

7) обеспечение соответствия всех включаемых в сертификат данных соответствующей политике сертификации; в частности, избежание того, что два различных лица не могут быть отождествлены с одной личностью, т. е. должным образом различаются;

8) ведение и издание списка аннулированных сертификатов;

9) протоколирование всех этапов процесса сертификации открытых ключей.

Один центр сертификации может сертифицировать данные открытого ключа, принадлежащего другому центру сертификации, выдав соответствующий сертификат. Следовательно, аутентификация может затрагивать цепочку сертификатов открытых ключей. Первый сертификат в подобной цепочке должен быть получен и аутентифицирован иным, отличающимся от сертификации открытого ключа способом.

Поскольку получатель цифровой подписи может ранее не вступать в контакт с центром, сертифицировавшим эту подпись, существует потребность в наличии механизма, с помощью которого получатель может установить уровень доверия к центру сертификации. Этот уровень доверия устанавливается путём взаимной сертификации. Взаимная сертификация может быть произведена в результате двухстороннего соглашения между центрами сертификации, когда каждый из них выдаёт сертификат другому.