Инфраструктура управления открытыми ключами PKI

Базовые модели сертификации

Концепция инфраструктуры открытых ключей PKI подразумевает, что все сертификаты конкретной PKI (своя PKI может быть у любой организации или организационной единицы) организованы в определенную структуру.

В PKI различают четыре типа сертификатов.

1. Сертификат конечного пользователя (описанный выше).
2. Сертификат СА. Должен быть доступен для проверки ЭЦП сертификата конечного пользователя и подписан секретным ключом СА верхнего уровня, причем эта ЭЦП также должна проверяться, для чего должен быть доступен сертификат СА верхнего уровня, и т. д.
3. Самоподписанный сертификат. Является корневым идя всей PKI и доверенным по определению — в результате проверки цепочки сертификатов СА выяснится, что один из них подписан корневым секретным ключом, после чего процесс проверки ЭЦП сертификатов заканчивается.
4. Кросс-сертификат. Позволяет расширить действие конкретной PKI путем взаимоподписания корневых сертификатов двух разных PKI.

Существуют три базовые модели сертификации:

• иерархическая модель, основанная на иерархической цепи сертификатов;
• модель кросс-сертификации (подразумевает взаимную сертификацию);
• сетевая (гибридная) модель, включающая элементы иерархической и взаимной сертификации.

Обобщенные схемы иерархической и сетевой архитектуры систем управления сертификатами приведены на рисунке.

Иерархическая и сетевая архитектуры систем управления сертификатами

В иерархической модели СА расположены в иерархическом подчинении доверенному (корневому) СА, предоставляющему сертификаты другим СА.

Достоинства иерархической архитектуры системы управления сертификатами:

• аналогична существующим федеральным и ведомственным организационно-управляющим структурам и может строиться с учетом этого;
• определяет простой алгоритм поиска, построения и верификации цепочек сертификатов для всех взаимодействующих сторон;
• для обеспечения взаимодействия двух пользователей одному из них достаточно предоставить другому свою цепочку сертификатов, что уменьшает проблемы, связанные с их взаимодействием.

Недостаток иерархической архитектуры:
• для обеспечения взаимодействия всех конечных пользователей должен быть только один корневой доверенный СА.

В модели кросс-сертификации независимые СА, не находящиеся на одной ветви иерархии, взаимно сертифицируют друг друга в сети СА. Кросс-сертификация является предметом двустороннего соглашения между СА. Следует отметить, что модель кросс-сертификации является частным случаем сетевой архитектуры системы управления сертификатами.

Достоинства сетевой архитектуры системы управления сертификатами:
• гибкость, что способствует установлению непосредственных доверенных взаимоотношений, существующих в современном бизнесе;
• отношения доверия в системе: конечный пользователь должен доверять, по крайней мере, только центру, издавшему его сертификат;
• возможность непосредственной кросс-сертификации различных удостоверяющих СА, пользователи которых часто взаимодействуют между собой, что сокращает процесс верификации цепочек.

Недостатки сетевой архитектуры управления сертификатами:
• сложность алгоритма поиска и построения цепочек сертификатов для всех взаимодействующих сторон;
• невозможность предоставления пользователем цепочки, которая обеспечивает проверку его сертификата всеми остальными пользователями.

Вероятно, в недалеком будущем на самом высоком уровне иерархии сертификации должен оказаться государственный нотариус, который обеспечит связь цепочек доверия разных организаций.


Страницы: 1 2 3 4

Эта статья была опубликована Пятница, 10 сентября, 2010 at 19:15 в рубрике Инфраструктура защиты на прикладном уровне. Вы можете следить за ответами через RSS 2.0 feed.

Написать ответ