Обеспечениебезопасности

Системысертификатов Администрирование информационных

систем Лекция 6

Цифровые сертификаты ключей упрощают , задачу определения действительно ли

открытый ключ принадлежит .предполагаемому владельцу

— , Цифровой сертификат ключа это информация приложенная к открытому ключу, пользователя которая помогает другим

, установить является ли ключ подлинным и. верным Цифровые сертификаты нужны для

, того чтобы сделать невозможной попытку .выдать ключ одного человека за ключ другого

Цифровые сертификаты

 PGP (Pretty Good Privacy, Прикладная криптосистема Довольно хорошая секретность) была разработана и опубликована 1991 , в интернете в году программистом иматематикомМассачусетского Политеха ФилиппомЦиммерманом по

, , ( сути оказавшись первымпродуктомподобного уровня представленным для свободного доступа всему миру за что впоследствииЦиммерман поплатился несколькими годами уголовного преследования со стороны

— ). Таможенной службыСША в то время экспорт стойких криптотехнологий за пределыШтатов был запрещён , Изначальной целью разработки была защита гражданских прав пользователей глобальной сети а главной

— .задачей программы стала криптографическая защита электронной почты шифрование , Программа основана на так называемой асимметричной криптографии использующей взаимосвязанные пары

: , , ключей закрытый хранящийся только у владельца для цели расшифрования данных и их цифрового подписания , , и открытый который не нуждается в защите может бытьшироко распространен и используется для

( зашифрования и сличения цифровых подписей все эти уникальные возможности достигаются за счёт особого ). , математического аппарата Это идеальное решение для людей не имеющих существующего согласованного

. тайного ключа PGP , , С тех пор претерпел значительные изменения и преобразился как согласно духу времени и новых угроз так и

, , вследствие того что теперь значительнуючасть пользователей программы составляют не только обычные люди . PGP —   , но и крупные организации и бизнесы Сегодня это несколько линеек приложений различающихся

, , , назначением и перечнем решаемых задач функциональностью принципами работы и средой исполнения но  OpenPGP, объединённых полной совместимостью благодаря стандарту а также своей исключительной надёжностью

.в обеспечении защиты информации PGP , , Долгая история привлекла к криптосистеме внимание огромного числа пользователей исследователей

. . - , специалистов Тому способствовал и ряд дополнительных обстоятельств Во первых программа всегда была- . freeware-условно бесплатна Даже после перехода разработки на коммерческие рельсы продолжают выходить

, ( , версии отличающиеся от платных лишь чуть меньшейфункциональностью по большому счету только PGPdisk). - , — отсутствием Во вторых разработчики выдающиеся программные инженеры и эксперты в области

— , информационной безопасности всегда публиковали исходные тексты программы для их свободного изучения . что является необходимым условием для поддержания высокой надёжности и выдающейся репутации системы

, " " Закрытые исходные тексты лишь осложняют изучение программына наличие брешей потайных ходов и ошибок . , , PGP, в реализации С другой стороны тот факт что даже наличие открытых исходных текстов не привело к взлому

.красноречиво свидетельствует о надёжности программы

Система PGP

PGP , объединяет в себе лучшие стороны как симметричной криптографии так и криптографии с . PGP — открытым ключом это гибридная криптосистема.

PGP, PGP . Когда человек зашифровывает данные с помощью для начала их сжимает Сжатие , , уменьшает время их модемной передачи и экономит дисковое пространство а также что более

, . важно усиливает криптографическую стойкость Большинство криптоаналитических техник . основано на статистическом анализешифротекста в поисках признаков открытого текста

, Сжатие уменьшает число таких признаков чем существенно усиливает сопротивляемость. криптоанализу

, PGP Затем создаёт сеансовый ключ, , , — , который по сути одноразовый симметричный ключ . — , применяемый только для одной операции Этот ключ псевдослучайное число

. сгенерированное от случайных движений вашей мышки и нажатий клавиш Сеансовый ключ , , PGP работает на основе очень надёжного быстрого симметричного алгоритма которым

; . зашифровывает сжатое сообщение в результате получаетсяшифротекст Как только данные, , . зашифрованы сеансовый ключ такжешифруется но уже открытым ключом получателя Этот

зашифрованный открытым ключом сеансовый ключ передаётся получателю вместе с.шифртекстом . PGP Расшифрование происходит в обратном порядке получателя использует его закрытый ключ

, для извлечения сеансового ключа из сообщения которымшифртекст исходного послания .восстанавливается в открытый текст

, Таким образом комбинация этих двух методов объединяет удобствошифрования открытым . ключом со скоростью работы симметричного алгоритма Симметричноешифрование примерно

. , , в тысячу раз быстрее асимметричного Шифрование открытым ключом в свою очередь . представляет простое решение проблемы управления ключами и передачи данных

, Используемые совместно скорость исполнения и управление ключами взаимно дополняются и - .улучшаются без какого либо ущерба безопасности

Принцип действия PGP

Алгоритмыдействий PGP

:Цифровой сертификат состоит из трёх компонентов ; открытого ключа ( сведений сертификата информация о личности

, : , ID, . .); пользователя как то имя и т п . одной или более цифровых подписей

— , Цель ЭЦПна сертификате указать что сведения сертификата были заверены третьим лицом или

. организацией В тоже время цифровая подпись не подтверждает достоверность сертификата как

; , целого она является поручительством только того ID что подписанный связан с данным открытым

.ключом

Структура и цельсертификата

, , , — Таким образом сертификат обычно это открытый ключ с ID прикреплёнными к нему одной или несколькими формами

.плюс отметка подтверждения от доверенного лица

Модель сертификата

, - Сертификаты применяются когда нужно обменяться с кем нибудь. ключами

:Способы распространения Ручной - ( )В виде хранилища депозитария сервера сертификатов

, Ручной способ характерен для небольших групп людей ( устанавливающих криптографированную связь не составит труда

просто передать друг другу дискеты или отправить электронные, ). письма содержащие копии их ключей

При необходимости обеспечить достаточную надёжность и, безопасность предоставления возможности хранения и обмена

, .ключами используют системный подход -Такая система может реализоваться в форму простого хранилища

, депозитария или иметь более сложную и комплексную структуру предполагающую дополнительные возможности администрирования

, ключей и называемую инфраструктурой открытых ключей (Public Key Infrastructure, PKI).

Распространение сертификатов

- , Сервер депозитарий также называемый , сервером сертификатов или сервером

, — , ключей это база данных позволяющая пользователям оставлять и извлекать из неё

. цифровые сертификаты Сервер ключей такжеможет предоставлять

, некоторые административныефункции помогающие компании поддерживать свою

. , политику безопасности Например на , хранение могут оставляться только ключи

.удовлетворяющие определённым критериям

-Серверы депозитарии

PKI, - , , , , как и сервер депозитарий имеет базу хранения сертификатов но в тоже время . предоставляет сервисы и протоколы по управлению открытыми ключами В них

, . входят возможности выпуска отзыва и системы доверия сертификатов Главнойже PKI , возможностью является введение компонентов известных как Центр

сертификации (Certification Authority, CA) и Центр регистрации (Registration Authority, RA). ( ) Центр сертификации ЦС создаёт цифровые сертификаты и подписывает их своим

. - , закрытым ключом Из за важности своей роли ЦС является центральным PKI. , компонентом инфраструктуры Используя открытый ключЦС любой, ( ) пользователь желающий проверить достоверность подлинность конкретного

, , , сертификата сверяет подпись Центра сертификации и следовательно .удостоверяется в целостности содержащейся в сертификате информации

, ( ) , Как правило Центром регистрации ЦР называется система лиц процессов и, PKI устройств служащая целям регистрации новых пользователей в структуре

( ) зачислению и дальнейшему администрированию постоянных пользователей. , « » — , системы Также ЦРможет производить веттинг процедуру проверки того

.принадлежит ли конкретный открытый ключ предполагаемому владельцу — : , , , ЦР это человеческое сообщество лицо группа департамент компания или иная

. , — , , ассоциация С другой стороны ЦС обычно программа выдающая сертификаты .своим зарегистрированным пользователям

- , .Роль ЦР ЦС аналогична той что выполняет государственный паспортный отдел

Инфраструктурыоткрытых (PKI)ключей

, — Как правило цифровой сертификат это набор , идентифицирующих сведений связанных с

открытым ключом и подписанных доверенным ( ), третьим лицом посредником дабы доказать

. их подлинность и взаимосвязность Сертификат . может быть представлен в виде ряда форматов

PGP :поддерживает два формата сертификатов PGP ( Сертификаты стандарта чаще называемые

PGP) просто ключами X.509 Сертификаты стандарта

Формат сертификатов

PGP ( ):Сертификат содержит следующие сведения но не обязательно ограничен ими PGP — PGP , . Версия какой версией программы был создан ключ связанный с сертификатом — : Открытый ключ владельца сертификата открытая часть ключевой пары и её алгоритм

RSA, RSA Legacy, DH (Diffie-Hellman) DSA (Digital Signature Algorithm). или — , Сведения о владельце сертификата информация идентифицирующая личность

, , , , ICQ, , . . пользователя в частности его имя адрес электронной почты номер фотография и т п — , ЭЦП владельца сертификата это подпись закрытым ключом соответвующим

, (открытому ключу связанному с сертификатом автоподпись). — Период действия сертификата дата начала действия сертификата и дата окончания его

; , ( действия указывает на то когда сертификат станет недействительным аналогично сроку ). действия водительских прав Если ключевая пара содержит дополнительные подключи

(subkeys), . шифрования то здесь будет указан период действия каждого из них — , Предпочтительный алгоритмшифрования указывает на то каким симметричным

. алгоритмом будет зашифрована информация для владельца сертификата : CAST, AES, IDEA, Triple-DES Twofish. Поддерживаются следующие и

PGP Можно представить сертификат в виде открытого ключа с одной или несколькими « » . « » , привязанными к нему бирками На этих бирках указана информация описывающая

, , , владельца ключа а также подпись этого ключа подтверждающая что ключ и . ( идентификационные сведения взаимосвязаны Этот вид подписи называется

автоподписью (self-signature); PGP- .)её содержит каждый сертификат

PGPФормат сертификата

Бирка ключа

PGP , Уникальный аспект формата сертификатов в том что конкретный . сертификат может содержать множество подписей Любой человек может

- , , подписать идентификационно ключевую пару чтобы заверить полагаясь на , своё личное убеждение что открытый ключ принадлежит именно

ID . указанному в пользователю - На общественных серверах депозитариях можно обнаружить определённые

, , , PGP , ключи как например принадлежащий создателю ФилуЦиммерману .содержащие огромное количество подписей

PGP- Некоторые сертификаты состоят из открытого ключа с несколькими« », бирками каждая из которых содержит собственное средство« » ( , e-опознавания владельца ключа например имя владельца и его рабочийmail, e-mail, — прозвище владельца и его домашний фотография владельца всё

). « » на одном сертификате Список подписей на каждой из бирок может быть; « » различным подписи указывают на достоверность определённой бирки и её

, , « » . принадлежность открытому ключу а не на то что все бирки достоверны« » : — , Достоверность зависит от установившего её подписи это мнения и разные

люди уделяют разную степень внимания проверке подлинности перед .подписанием ключа

Особенности сертификатов PGP

.509 — . .509 Х это другой очень распространённый формат Все сертификаты Х ITU-T X.509; согласованы с международным стандартом таким образом

( ), .509, , теоретически сертификат Х созданный для одного приложения , может быть использован в любом другом поддерживающим этот

. , , , стандарт На практике к сожалению сложилось так что разные .509, компании создают собственные расширения для Х многие из которых

.друг с другом никак не совместимы PGP- , Имея дело с сертификатом каждый может выступать в качестве

( , заверителя содержащейся в нём информации за исключением случаев когда эта возможность намеренно ограничена системным

). , .509, администратором Однако в случае сертификатов Х заверителем , может быть толькоЦентр сертификации или некто специально

. (PGP- уполномоченный им сертификаты также в полной мере , поддерживают иерархическое структурирование системы доверия .)использующееЦС для удостоверения сертификатов

.509 — , Сертификат Х это набор стандартных полей содержащих сведения о , . пользователе или устройстве и их соответствующий открытый ключ

.509 , Стандарт Х определяет какие сведения входят в сертификат и как ( ).они кодируются формат данных

.509Сертификат Х

.509 :Сертификат Х содержит следующие сведения .509 — , .509 , Версия Х указывает на основе какой версии стандарта Х построен данный сертификат что

, . определяет какая информация может в нём содержаться — Открытый ключ владельца сертификата открытый ключ наряду с идентификатором используемого

( , ) алгоритма указывающим криптосистему к которой принадлежит данный ключ и прочая информация . о параметрах ключа

— , , Серийный номер сертификата организация создавшая сертификат обязана снабдить его уникальным , серийным номером для его идентификации среди прочих сертификатов выданных данной

. ; , организацией Эта информация применяется в ряде случаев например при аннулировании, (Certificate сертификата его серийный номер помещается в реестр аннулированных сертификатов

Revocation List, CRL). ( DN, distinguished name — ) — Уникальный опознаватель владельца ключа или уникальное имя это имя

. DN должно быть уникальным и единственным во всёмИнтернете состоит из нескольких подсекций и : может выглядеть примерно так

CN=Bob Davis, EMAIL=bdavis@pgp.com, OU=PGP Engineering, O=PGP Corporation, C=US ( , , , .)Что обозначаетПонятное имя субъекта Электронную почту Подразделение организации Органицию иСтрану соответственно

— ; Период действия сертификата дата начала действия сертификата и дата окончания его действия , . указывает на то когда сертификат станет недействителен

— , . , Уникальное имя издателя уникальное имя организации подписавшей сертификат Обычно это . , наименованиеЦентра сертификации Использование сертификата подразумевает доверие организации

. ( — , его подписавшей В случаях с корневыми сертификатами выдавшая организация как правило этот — .) жеЦС подписывает его сама

— , , ЭЦПиздателя электронная подпись созданная закрытым ключом организации выдавшей. сертификат

— , Идентификатор алгоритма подписи указывает алгоритм использованныйЦС для подписания. сертификата

.509Формат сертификата Х

Существует ряд фундаментальных различиймежду форматами сертификатов.509 PGP:Х и

PGP- ; можно лично создать собственный сертификат необходимо запросить и .509 ;получить сертификат Х отЦентра сертификации

.509 ; сертификаты Х содержат только одно имя владельца сертификата .509 , сертификаты Х содержат только одну ЭЦП подтверждающую достоверность

. сертификата .509, : Чтобы получить сертификат Х необходимо попросить ЦС выдать его

, , Клиент предоставляет свой открытый ключ тем самым доказывая что обладает , . соответствующим частным а также некоторые идентифицирующие сведения

— Затем он электронно подписывает эти сведения и отправляет весь пакет — . запрос сертификата вЦентр сертификации

ЦС выполняет определённый процесс по проверке подлинности , , предоставленной вами информации и если всё сходится создаёт сертификат и

.возвращает его вам .509, Можно представить сертификат Х как обычный бумажный сертификат или

. , аттестат с приклеенным к нему открытым ключом На нём указано имя а также , , .некоторые сведения о владельце плюс подпись лица выдавшего сертификат

Различиямежду X.509 иPGP

X.509 сертификат

Достоверность (подлинность) , есть убеждённость в том что конкретный открытый ключ . принадлежит предполагаемому владельцу Достоверность является одним из

, важнейших принципов в среде системы открытых ключей где необходимо определять . подлинность каждого конкретного сертификата

, PGP- ( . . После подтверждения что открытый ключ корреспондента достоверен т е ), действительно принадлежит именно ему можно подписать копию этого ключа на своей

, , . связке ключей чем подтвердить факт что его проверили и нашли достоверным Чтобы , другие знали степень доверия этому сертификату можно экспортировать подпись на- , .сервер депозитарий с тем чтобы другие могли её видеть

( ) Некоторые компании уполномочивают один или более Центр сертификации ЦС на . , PKI проверку подлинности сертификатов В организации использующей с

.509, сертификатами Х задачаЦентров регистрации состоит в приёме запросов на, — сертификаты а задачаЦентров сертификации в выдаче сертификатов конечным

: . , пользователям процесс ответа на запрос пользователя на сертификат В организации PGP- PKI, — PGP-использующей сертификаты без задачаЦС в проверке достоверности всех

. , — сертификатов и подписании верных Как правило основная цель ЦС собственной « » , подписью связать открытый ключ с идентификационной информацией содержащейся

, , в сертификате чем заверить третьих лиц что были приняты определённые меры по .установлению связи между ключом и идентификационными сведениями

— Центр сертификации в организации это краеугольный камень системы доверия и; , , , , PKI, достоверности в некоторых организациях как например в тех которые используют

, .ни один сертификат не считается достоверным пока не будет подписан довереннымЦС

Доверие и достоверность

— . Один из способов установления достоверности определённыймеханический процесс . , Существует несколько вариантов его проведения Например можно попросить

« », . . корреспондента передать копию его открытого ключа физически т е нажёстком — . . носителе магнитном или оптическом диске и т п Но зачастую это бывает неудобно и

. неэффективно — Другой вариант сверить отпечаток (fingerprints) . сертификата Насколько уникальны

, отпечатки пальцев каждого человека настолькоже уникальны и отпечатки каждого PGP. — - , сертификата Отпечаток это хэш значение сертификата пользователя которое

. PGP показано как один из его параметров В отпечаток может быть представлен или как , , , шестнадцатеричное число или как набор биометрических слов фонетически чётких и

.применяемых для упрощения вербальной идентификации отпечатка Существует возможность установить достоверность сертификата позвонив владельцу ключа

; и попросив его прочитать отпечаток с его ключа необходимо сверить этот отпечаток с, . тем который находится на полученной копии Некоторые с этой целью помещают

.отпечатки ключей на свои визитные карточки — , Ещё один способ установления достоверности чужого сертификата довериться тому что

.третье лицо провело процесс его удостоверения, , ЦС например ответственно за детальную проверку принадлежности открытого ключа

. , предполагаемому владельцу перед выдачей ему сертификата Любой пользователь , , доверяющийЦС будет автоматически расценивать подлинными все сертификаты .подписанныеЦС

, , Другой аспект проверки достоверности состоит в том чтобы убедиться что сертификат не ( ). был аннулирован отозван

Проверка достоверности

. , Нельзя доверить людям удостоверять сертификаты Как правило если только владелец сам не , - .вручил копию ключа необходимо положиться на чьё то мнение о его достоверности

В большинстве случаев люди полностью доверяютЦС в установлении подлинности. , , сертификатов Это значит что все полагаются на то что ЦС провёл всю механическую

. процедуру удостоверения за них Такая схема работает только до определённого предела в , количестве пользователей перейдя которыйЦС не сможет придерживаться прежнего

. уровня тщательности процедуры проверки достоверности В этом случае становится « ».необходимым добавление в систему дополнительных удостоверителей

ЦС также может быть -мета представителем ( -мета поручителем). - Мета представитель не , . только сам заверяет ключи но и другим предоставляет полномочия заверения Эти

, -доверенные представители могут удостоверять ключи с темже результатом что и мета. , .представитель Однако они не могут создавать новых доверенных представителей

« - » « » — PGP. .509 -Мета представитель и доверенный представитель это термины В среде Х мета представитель называется корневымЦентром сертификации (root CA), а доверенные — представители подчинёнными, или промежуточными, Центрами сертификации

(subordinate CAs). , Корневой ЦС для подписания ключей использует закрытый ключ связанный с особым типом

, . , сертификата называемым корневым сертификатомЦС Любой сертификат подписанный , , корневым ключомЦС становится достоверным любому другому сертификату

. , подписанному корневым Такой процесс удостоверения действует даже для сертификатов [ ] — подписанных другимЦС в связанной системе если ключ промежуточного ЦС подписан

, ключом корневого ЦС любой сертификат подписанный первым расценивается верным в . , пределах иерархии Этот процесс отслеживания вдоль ветвей иерархии того кто подписал

, какие сертификаты называется ,отслеживанием пути или цепи, сертификатов.

Установление доверия

, В относительно закрытых системах таких как небольшие, фирмы можно без труда отследить путь сертификата назад к

. , корневомуЦС Однако пользователям зачастую приходится связываться с людьми за пределами их корпоративной

, , среды включая и таких с которыми они никогда не, , , , встречались например с поставщиками потребителями

. , клиентами и пр Установление линии доверия с теми кто не , . был явно удостоверенЦС становится непростой задачей

, Компании следуют одной из нескольких моделей доверия которые диктуют пользователям их действия по

. установлению достоверности сертификатов Существует три :различных модели

Прямое доверие Иерархическое доверие (Web of Trust) Сеть доверия

Модели отношениядоверия

Прямое доверие — . это простейшая из моделей доверия В этой , , , схеме индивид верит что ключ достоверен поскольку знает

. откуда пришёл данный ключ Все криптосистемы в той или иной . , - мере используют эту форму доверия Например в веб браузерах

, корневые ключиЦентров сертификации доверяются напрямую. . . т к находились в дистрибутиве данного программного продукта

- , Если и существует какой либо вид иерархии то он .распространяется из этих напрямую доверяемых сертификатов

PGP , , В пользователь заверяющий ключи самостоятельно не , прибегая к помощи доверенных представителей использует

.схему прямого доверия

Прямое доверие

В иерархической системе , существует ряд корневых сертификатов от которых . распространяется доверие Эти сертификатымогут либо сами заверять сертификаты

, , конечных пользователей либо они могут назначать другие сертификаты которые будут . заверять сертификаты пользователей по некоторой цепи Достоверность

-« » сертификатов листьев устанавливается отслеживанием цепочки к их, , . . , удостоверителям а от них уже к удостоверителям этих удостоверителей и т д до тех пор

.пока не будет найдет напрямую доверяемый корневой сертификат

Иерархическое доверие

Это накопительнаямодель доверия. Сертификат может быть доверяем напрямую или , доверяем по некоторой цепочке уходящей к напрямую доверяемому корневому

( - ), сертификату мета представителю или может быть заверен группой доверенных.представителей

« », , Теория Шесть степеней разделения утверждает что любой индивид может установить , некоторую цепочку к любому другому индивиду на планете используяшесть или менее

. — .человек в качестве посредников Это сеть представителей PGP . PGP Таково же и представление о доверии использует цифровые подписи как собственный . , вид поручительства Когда один пользователь подписывает ключ другого он становиться

. , , .поручителем этого ключа Этот процесс расширяясь и образует Сеть доверия PGP . В среде любой пользователь может выступать в качестве центра сертификации Каждый

. , пользователь может заверить открытый ключ другого пользователя Однако такой , сертификат будет верным для иного пользователя только тогда когда он распознаёт

.заверившего как доверенного представителя :На связке открытых ключей каждого пользователя хранятся следующие показатели

( ); рассматривает ли пользователь определённый ключ как достоверный подлинный , , уровень доверия предоставленный пользователем определённому ключу с которым его

. владелец будет выступать поручителем других ключей , Пользователь указываете на своей копии проверяемого ключа насколько весомым считает

. мнение хозяина этого ключа о подлинности подписанных им ключей Это исключительно : , система репутации определённые люди известны тем что тщательно проверяют ключи и

, дают хорошие подписи которым люди доверяют как безоговорочному показателю.достоверности

Сеть доверия

— Наивысший уровень доверия безусловное доверие (Implicit Trust) — это доверие к . PGP , собственной ключевой паре полагает что владелец закрытого ключа

. должен доверять и действиям соответствующего открытого , Существует три степени доверия которые можно присвоить чужому открытому

:ключу Полное доверие Частичное доверие Нет доверия

:Существует также три уровня достоверности Подлинный Возможно подлинный Неопределённый

:Чтобы дать другому ключу полномочия поручительства , Требуется достоверный ключ который подписан доверенным представителем , , . Устанавливается уровень доверия которого заслуживает владелецPGP , требует однуПолностью доверяемую или две Частично доверяемых подписи

. PGP чтобы установить ключ как достоверный Метод приравнивания двух , Частичных к однойПолной аналогичен тому как иногда требуют два вида, .документов удостоверяющих личность

Степени доверия в PGP

. , Сертификаты применимы только пока достоверны Небезопасно полагаться на то что сертификат будет защищён. PKI « ». вечно В большинстве организаций и во всех сертификат имеет ограниченный срок жизни Этим

, , уменьшается период в который система может оказаться под угрозой если сертификат окажется. скомпрометирован

, , Таким образом сертификат создаётся с заданнымпериодом достоверности начинающимся с даты создания и . заканчивающимся датой истечения Сертификат может быть использован в течение всего периода действия

( ), , срока егожизни по истечении которого перестаёт быть верным поскольку достоверность его- . идентификационно ключевой пары более неможет быть гарантирована

, , Иногда возникает необходимость аннулировать сертификат до истечения срока его действия например в случае , увольнения владельца сертификата с настоящего места работы или когда становиться известно что закрытый

. ключ данного сертификата был скомпрометирован Такой процесс аннулирования называется ревокацией, отзывом, или отменой. , . Отозванный сертификат гораздо более подозрителен нежели просроченный

, , Просроченные сертификаты более непригодны к использованию однако не несут такой угрозы, .скомпрометированности как отменённые

, ( Кто бы ни подписал сертификат он в любоймомент может отозвать с него свою подпись используя тотже , ). , , закрытый ключ которым её создавал Отозванная подпись указывает на то что подписавший счёл что , открытый ключ и идентификационная информация более не связаны друг с другом или что открытый ключ

( ) . сертификата или соответствующий закрытый был взломан Отозванная подпись имеет почти такоеже, .значение как и аннулированный сертификат

.509, , В случае с сертификатами Х отозванная подпись представляет ровно тоже самое что и аннулированный, — сертификат поскольку вообще только одна подпись делала сертификат достоверным подписьЦентра

. PGP сертификации Сертификаты предоставляют дополнительную возможность аннулирования всего ( ), .сертификата а не только подписей на нём если вдруг он был скомпрометирован

( ) , Только владелец сертификата обладатель соответствующего закрытого ключа или некто специально ( . . уполномоченный владельцем т н « »доверенный отменитель , designated revoker), PGP-может аннулировать

. ( , . . сертификат Уполномочивание третьего лица на отмену сертификата бывает полезным т к потеря пароля к , , закрытому ключу которая обычно и служит поводом к аннулированию делает исполнение этой процедуры

.) .509 .самим владельцем невозможным И только издатель сертификата Х может его отменить

Аннулированиесертификата

После аннулирования сертификата очень важно оповестить всех , . потенциальных корреспондентов что он более недействителен В случае

PGP, — сертификата наиболее простой способ оповещения это размещение - ; , , отменённого сертификата на сервере депозитарии таким образом все кто

, могут решить связаться с вами будут предупреждены не использовать этот . открытый ключ

PKI В среде предупреждение об отмене сертификатов обычно происходит , через специальную структуру называемую реестром аннулированных

сертификатов (Certificate Revocation List, CRL) и публикуемуюЦентром. CRL , сертификации содержит датируемый актуальный список всех

. аннулированных непросроченных сертификатов системы Аннулированные сертификаты остаются в списке только до момента своего фактического

, — истечения после чего убираются оттуда это предотвращает бесконечное .увеличение списка

CRL . ЦС обновляет через определённые регулярные промежутки времени, Теоретически это должно предотвратить непреднамеренное

. , использование аннулированного сертификата Хотя всё же остаётся вероятным случайное применение скомпрометированного сертификата во CRL.временном промежутке между публикациями

Уведомление об аннулированиисертификата

Ключевая фраза — , , это более длинный и сложный вариант пароля который , . в теории должен быть более безопасным Обычно состоящая из

, нескольких слов ключевая фраза гораздо надёжней против стандартных« » словарных атак, в ходе которых взломщик перебирает все слова из

. словаря в попытке угадать ваш пароль Наилучшие ключевые фразы , , довольно длинны и комплексны содержат как заглавные так и строчные

, , .буквы а также цифры знаки препинания и специальные символыPGP . использует ключевуюфразу чтобы зашифровать ваш закрытый ключ

, - Закрытый ключ хранится на диске зашифрованный хэшем значением . вашей ключевой фразы как симметричным тайным ключом Выже

, используете ключевуюфразу чтобы расшифровать и применять . , закрытый ключ Ключевая фраза должна быть такой чтобы вам её было

, — . - , трудно забыть а другим догадаться Она должна быть чем то уже , хранящимся в долгосрочной памяти вашего мозга а не придуманным с

. нуля Закрытый ключ абсолютно и совершенно бесполезен без его ключевой

. фразыPGP — , это криптография которая не позволит правительствам

. могучих держав читать вашифайлы Иужтем более она не . позволит читать их вам

Ключеваяфраза

, — , . Говорят что секрет это уже не секрет если его знают два человека Разделение закрытого ключа . опровергает такое мнение Хотя это и не рекомендуемая

, практика разделение закрытого ключа в определённых ситуациях бывает. , необходимо Например корпоративные ключи подписания (Corporate Signing Keys,

CSK) — , , , это закрытые ключи используемые компанией например для , подписания правовых документов важной личной информации сотрудников

- . или пресс релизов для удостоверения авторства В данном случае будет, . полезно чтобы несколько членов компании имело доступ к закрытому ключу

, Но это будет значить что каждый из членов команды сможет свободно и в . полной мере действовать от лица компании

В такой ситуации будет правильней разделить закрытый ключмежду , несколькими лицами таким образом что для восстановления его до рабочего

состояния необходимо присутствие более одного или двух обладателей частей. — .ключа Если предоставлено слишкоммало частей ключ неприменим

В качестве примеров разделения ключа можно назвать разделение его на три части с требованием любых двух из них или разделение на две части с

. необходимостью использования обеих Если в процессе восстановления , применяется криптографически защищённое сетевое соединение обладателям частей ключа для целей его объединения нет нужды

.присутствовать вместе в одной географической точке

Разделение ключа

Безопасность через неясность , Попытка обороняющейся стороны обезопасить систему максимально усложнив

, , ее запутав внутренние взаимосвязи и исходный код чтобы потенциальному взломщику было труднее в ней разобраться и попытаться найти слабые места в

. защите Отказ от публикации исходного кода криптосистем считается одним из , , примеров подобной практики однако история учит тому что реально этот подход

.дает лишь временную отсрочку перед окончательным взломом

Безопасность через открытость — ( ), Открытость это состояние вычислительной системы или нескольких систем

, :которое не является уязвимостью но◦ ;позволяет атакующему производить сбор защищенной информации◦ ;позволяет атакующему скрывать свою деятельность◦ , , содержит возможности которые работают корректно но могут быть легко

;использованы в неблаговидных целях◦ , является первичной точкой входа в систему которую атакующий может

.использовать для получения доступа или информации

Идеологии безопасности