Концепция «инфраструктуры доверия» в исполнительных органах государственной власти Томской области (стр. 8 )

В ходе процесса взаимной сертификации следует обратить внимание на ряд вопросов, в т. ч.:

1) процессы идентификации;

2) процессы генерации и хранения ключей;

3) ответственность;

4) процессы аннулирования ключей;

5) процессы обеспечения безопасности;

6) расхождения в политиках и технических регламентах.

7.4.2 Служба атрибутирования

Некоторые атрибуты привилегий могут изменяться чаще других. Тем самым, предполагается, что в сертификат открытого ключа включаются только часто используемые и редко изменяемые атрибуты. Для защиты часто изменяемых атрибутов (например, кредитный лимит, права доступа, право представительства) следует использовать отдельную структуру данных.

Существуют два основных подхода к защите атрибутов:

1) Тикеты – тикетом называется структура данных, которая содержит какие-либо атрибуты и зашифровывается ДТС. Тикеты используются, например, в системе Kerberos (RFC 1510), где они включают данные о личности пользователя, сетевой адрес и т. д.

2) Атрибутивный сертификат – может применяться самостоятельно либо в сочетании с сертификатом открытого ключа. Сочетание атрибутивного сертификата с сертификатом открытого ключа может быть необходимым для подтверждения подлинности владельца ключа.

Рисунок 6 ‑ Связь атрибутивного сертификата с сертификатом открытого ключа

На рисунке 6 проиллюстрирован второй подход, когда атрибутивный сертификат точно непосредственно ссылается на сертификат открытого ключа. С сертификатом открытого ключа может быть связан более чем один атрибутивный сертификат. Различные атрибутивные сертификаты могут относиться к разным областям применения, например, к кадровым вопросам (кредитный лимит в системах электронной коммерции) или к уровню полномочий в рамках организации.

ДТС, выдающая только атрибутивные сертификаты, действует в качестве центра атрибутирования. В этом случае функциональные связи между сертификатами открытых ключей и атрибутивными сертификатами предполагают наличие соответствующих соглашений между центром сертификации и центром атрибутирования.

7.4.3 Внутрисетевая служба аутентификации, основанная на сертификатах

Процесс внутрисетевой аутентификации со стороны ДТС функционирует как служба сертификации для аутентификационных сертификатов; восстановление аутентификационных сертификатов возможно при последующем аутентификационном обмене. Подобная ДТС обычно называется сервером аутентификации.

7.4.4 Служба аннулирования сертификатов

Лицо, уполномоченное и желающее аннулировать сертификат, должно известить центр сертификации о том, что данный сертификат более не является действительным. После проверки состояния сертификата центр сертификации готовит список аннулированных сертификатов (CRL) и подписывает его собственным закрытым ключом.

Список аннулированных сертификатов представляет собой заверенный при помощи ЭЦП перечень, который содержит информацию об аннулированных сертификатах, выпущенных центром сертификации.

Каждый центр сертификации должен вести список аннулированных сертификатов, содержащий сведения обо всех аннулированных сертификатах, в том числе их уникальные серийные номера и даты аннулирования.

В другом подходе внутрисетевая ДТС может использоваться как сервер валидации сертификатов, предоставляющий информацию о состоянии каждого отдельного сертификата (включая сведения об аннуляции).

7.5 Службы электронного нотариата

Электронный нотариат – это службы высокого уровня, использующие большое количество базовых сервисов, в том числе фиксацию времени, сертификацию, службы каталогов, архивирования и поддержки неотвергаемости. Документ передаётся ДТС, которая заверяет или сертифицирует его с помощью ЭЦП либо каким-то иным способом. Частью этого сервиса может быть служба каталогов, позволяющая извлекать информацию, например, о ранее сертифицированных документах, из базы данных или каталога.

Служба электронного нотариата может заверять и сертифицировать определённые классы документов, т. е. предоставлять свидетельства того, что документ существовал в некоторый момент времени, подтверждая тем самым его подлинность и достоверность. Такая служба может играть роль посредника при разрешении споров между объектами системы и может быть наделена официальными полномочиями.

Служба нотариального засвидетельствования работает как электронный нотариус. Она способна хранить подписанные и помеченные временным маркером документы (не все эти документы подлежат обязательной регистрации).

7.5.1 Служба предоставления свидетельств

Данная служба включает ДТС, собирающую сведения обо всех событиях в сети/системе, связанных с документами, сообщениями или безопасностью. К ним могут относиться:

1) сведения об объектах системы;

2) их местоположение;

3) тип передаваемых данных;

4) метод передачи;

5) временной маркер.

Большая часть этих данных, как правило, необходима для проведения аудита безопасности.

Когда ДТС занимается сбором данных о событиях в интересах объектов системы, те же самые сведения могут потребоваться для исследования и анализа с последующей передачей результатов анализа объектам (без идентификации источников данных). Процесс сбора таких данных должен быть подробно описан в сервисном соглашении между ДТС и пользователями.

7.5.2 Служба хранения свидетельств

Служба хранения свидетельств функционирует совместно со службами передачи и получения свидетельств. Состав хранимой информации зависит от действующей политики безопасности.

7.5.3 Служба арбитража

При возникновении разногласий, которые не могут быть разрешены с помощью предусмотренных ДТС процедур и механизмов разрешения споров, стороны могут воспользоваться услугами арбитра. Арбитр отвечает за сбор свидетельств от спорящих сторон и принятие решения, способного разрешить конфликт.

7.5.4 Центр нотариата

Центр нотариата – это доверенная третья сторона, занимающаяся регистрацией данных во времени, а также проверкой корректности зарегистрированных данных согласно некоторой политике безопасности. Основное назначение центра нотариата – его роль в качестве службы регистрации. Центр нотариата, реализующий полный список функций, превращается в службу валидации. В таком случае центр нотариата участвует в обеспечении неотвергаемости. Выполнив верификацию, нотариус записывает добавочную информацию к изначально зарегистрированным данным. Это даёт объектам системы, доверяющим нотариусу, гарантию того, что данные были проверены в данный момент времени на соответствие действующей политике безопасности.

Например, нотариус может заверить сертификат. В таком случае центр нотариата проверяет, является ли сертификат, высланный с запросом, действительным, в соответствии с действующей политикой безопасности. Он проводит полную проверку цепочки сертификатов, начиная от автора сертификата и заканчивая доверенным центром сертификации. Центр нотариата может полагаться на информацию, размещённую в списках аннулированных сертификатов и списках аннулированных атрибутов либо дополнять её доступом к более актуальным данным в центре сертификации. Вместе с надёжными данными о времени эта информация используется для создания нотариального маркера.

В качестве другого примера, нотариус может заверить цифровую подпись согласно действующей политике безопасности. В таком случае он проводит проверку ЭЦП и цепочки сертификатов с учётом политики безопасности. В соответствии с данной политикой будет произведена проверка действительности и аннулированности сертификата открытого ключа и/или действительности всей цепочки сертификатов до доверенного центра сертификации (т. е. до центра сертификации нотариуса либо корневого центра сертификации). Центр нотариата может основываться на данных, представленных в списках аннулированных сертификатов и атрибутивных сертификатов, либо дополнить их доступом к более актуальной информации в центре сертификации. Он также включает надёжные данные о времени и создаёт нотариальный маркер.

В последнем примере, нотариус может заверить данные в каком-либо формате. Он проверяет правильность информации и создаёт нотариальный маркер. В данном случае, однако, под «правильностью» понимается не только достоверность ЭЦП; в каждом конкретном случае понимание этого термина будет зависеть от типа данных и действующей политики безопасности. Например, данные сами по себе могут содержать одну или несколько подписей (и «правильность» можно понимать как достоверность ЭЦП), какие-либо утверждения (тогда «правильность» предполагает их истинность) либо договор (и «правильность» следует понимать как соответствие действующему законодательству).

Центр нотариата может:

1)  проверять достоверность цифровой подписи, используя соответствующую служебную информацию и сертификаты открытых ключей, и по запросу создать нотариальный маркер, подтверждающий достоверность подписи;

2)   

2) проверять действительность прилагающегося сертификата и его состояние в данный момент времени, используя соответствующую служебную информацию и сертификаты открытых ключей, и по запросу создать нотариальный маркер, подтверждающий действительность и текущее состояние сертификата.

3) включить монотонно возрастающее время дня или временной маркер в маркер нотариата;

4) включать в каждый подписанный нотариальный маркер идентификатор, уникально идентифицирующий уровень доверия и политику верификации, использованную в данной ЭЦП;

5) подписывать маркеры с помощью ключей, генерируемых исключительно для этих целей, и указывать данную особенность ключа на соответствующем сертификате;

6) указывать в маркере, была ли проведена верификация подписи или сертификата; указывать причины, из-за которых верификацию провести не удалось,

7) предоставлять запрашивающему подписанную справку в форме соответствующего нотариального маркера в тех случаях, когда это возможно и предусмотрено политикой безопасности.

7.6 Служба архивации данных

Сервис архивации данных предоставляется службой регистрации, куда электронные документы передаются на временное или постоянное хранение. Хранение цифровых данных в зашифрованном виде может быть востребованным для некоторых организаций, в особенности применительно к особо ценной информации, нуждающейся в дополнительных мерах защиты.