Identyfikacja stron wymiany
informacji w sieci
Powszechnym problemem bezpieczeństwa we wszystkich serwisach sieciowych
jest jednoznaczna identyfikacja użytkownika uprawnionego do wykorzystania
określonych usług lub zasobów systemów i sieci.
Dotyczy to zarówno osób, spoza firmy, którym zamierzamy udostępnić jakąś
formę usług naszej sieci, jak również własnych pracowników.
Akceptacja użytkownika i weryfikacja jego uprawnień musi nastąpić już z
chwilą wpisania się (log-in) do sieci.
Identyfikacja użytkownika w sieci opiera się na jednej z trzech zasad:
coś, co znasz - np. hasło, kod PIN, Nr Pesel, nazwisko panieńskie matki,
coś, co posiadasz - np. karta magnetyczna, karta inteligentna, "token"
wyliczający hasło jednorazowe (OTP),
coś, czym (kim) jesteś - bazuje na biometrii - odcisk palca, skan siatkówki
lub tęczówki oka, kształt dłoni, tembr głosu, wizerunek twarzy, wzór
pisma odręcznego.
Dla podniesienia poziomu bezpieczeństwa zasady pierwsza i druga są często
łączone np. karta magnetyczna i kod PIN w dostępie do bankomatów.
Każde z tych rozwiązań, oczywiście za różną cenę, pozwala zweryfikować
tożsamość osoby próbującej uzyskać dostęp do zasobów sieci.
Cena i skuteczność identyfikacji nie zawsze idą w parze, ale trzeba mieć na
uwadze całkowite koszty systemowe rozwiązań. Biometria jest wysoce
niezawodna, ale droga; karty magnetyczne są tanie, ale łatwe do sfałszowania
i wymagają czytników. Tokeny OTP bywają kłopotliwe w użyciu, bo z reguły
mogą obsługiwać tylko jeden system. Karty inteligentne są uważane za
najbardziej skuteczne, bezpieczne i łatwe w zastosowaniu.
Dla systemów internetowych szczególnie ważna jest skuteczna identyfikacja
tożsamości legalnych, zdalnych użytkowników. Tam gdzie nie wystarcza
identyfikator użytkownika i hasło, ustalenie tożsamości realizuje się np. na
podstawie kart haseł jednorazowych, kart inteligentnych lub "tokenów OTP".
Krytycznym problemem staje się połączenie tych wszystkich ogniw w jeden
silny łańcuch bezpieczeństwa, gdyż często doskonałe elementy, pochodzące od
różnych producentów, po prostu nie chcą ze sobą dobrze współpracować.
Środowiskiem technicznym, które optymalnie łączy wymagania wiarygodnej
identyfikacji z rozsądnymi nakładami jest Infrastruktura Kluczy Publicznych,
zwana z języka angielskiego Public Key Infrastructure, w skrócie  PKI .
Najbardziej krytycznymi atrybutami systemu działającego w otwartej sieci,
są zaufanie i bezpieczeństwo. Zgodnie z wcześniejszymi ustaleniami, system,
który ma zapewnić te atrybuty, powinien używać kryptografii opartej na
kluczach publicznych. Biznesowe wymogi bezpieczeństwa oczekują istnienia
mechanizmów, które pozwolą powiązać jednoznacznie klucze publiczne
użytkowników i usługodawców, funkcjonujące w systemie, z ich właścicielami
(a właściwie z identyfikatorami ich właścicieli).
Celem istnienia PKI jest zapewnienie zaufanego i efektywnego sposobu
zarządzania kluczami i ich certyfikatami. Mechanizmów kryptografii kluczy
asymetrycznych używamy po to, aby zagwarantować:
" zaufanie, na poziomie właściwym dla wymogów biznesowych,
" autentyczność treści przekazywanej informacji,
" niezaprzeczalność autorstwa,
" poufność przekazu informacji.
Wbrew pozorom, użytkownicy Internetu korzystają z mechanizmów
kryptograficznych PKI powszechnie, często nawet nie zdając sobie z tego
sprawy. Za każdym razem, gdy poprzez link rozpoczynający się od https://
otwieramy stronę WWW z zabezpieczonego serwera, korzystamy z dobrodziejstw
PKI.
W takim przypadku nawiązujemy sesję i uwiarygodniamy zdalny serwer.
Przeglądarka internetowa informuje nas o tym fakcie symbolem zamkniętej
kłódki przy adresie URL lub w rogu ekranu. Często, jako użytkownicy, na tym
etapie pozostajemy jeszcze anonimowi. eami uwiarygodniamy się względem
serwera usługodawcy dopiero po tym, gdy sesja eeL zostaje zestawiona.
Wielu z nas zadaje sobie pytania: co to jest ta Infrastruktura Kluczy
Publicznych, po co nam ona, z jakich elementów się składa, czy mamy wpływ
na ich wybór?
Infrastruktura Kluczy Publicznych, to w dużym skrócie mówiąc  środowisko,
w którym możemy zrealizować bezpieczne usługi w sieci i co najważniejsze,
w konstruktywny sposób zbudować wzajemne zaufanie pomiędzy stronami
świadczącymi te usługi i ich odbiorcami.
W modelowym rozwiązaniu skład PKI wchodzą następujące elementy:
" Polityka (PC) i Regulamin (RC) Certyfikacji  czyli dokumenty: co,
po co, dla kogo, na jakich zasadach i za ile zrobią centra certyfikacji
w tej infrastrukturze. W infrastrukturach sformalizowanych często
wynika to z zapisów prawa.
" Centrum lub Centra Certyfikacji Kluczy Publicznych (Certification
Authority - CA),
" Ośrodki Rejestracji abonentów systemu (Registration Authority - RA),
" Katalog (skorowidz) certyfikatów (X.500 Directory),
" Lista odwołanych certyfikatów (CRL) wraz z usługą ich udostępniania,
" Klienci systemu wraz z ich kluczami prywatnymi, publicznymi
i certyfikatami,
" eystem zapewniający bezpieczną usługę (w tym serwery i aplikacje
klientowskie).
W praktyce centrum certyfikacji może być rozwinięte do hierarchicznej
struktury wielu współzależnych CA. CA może także świadczyć usługę
generowania par kluczy publicznych dla abonentów systemu. Centra
rejestrujące abonentów mogą istnieć w powiązaniu z CA lub stanowić
niezależną sieć urzędów rejestracyjnych. Katalog certyfikatów może mieć postać
centralnej bazy danych o klientach, ich danych identyfikacyjnych
i certyfikatach kluczy. Katalog może przy okazji spełniać funkcję informacyjną,
typową dla tzw. "żółtych stron" (Yellow Pages). Może to być także struktura
rozproszonej bazy danych, w której zaimplementowano mechanizmy replikacji
i synchronizacji, zwłaszcza dla CRL.
Istnienie PKI musi być podporządkowane celowi, jaki kreuje istnienie relacji
Klient-eerwer, ze zdefiniowanymi przez Politykę Bezpieczeństwa (e-biznesu)
wymogami odnośnie bezpieczeństwa informacji.
Rola Zaufanej Trzeciej Strony (TTP)
Centrum Certyfikacji Kluczy Publicznych jest najistotniejszym elementem PKI.
CA realizuje następujące funkcje:
" pełni rolę Zaufanej (Trzeciej) etrony w systemie,
" ustala politykę certyfikacji i stosowne procedury wykonawcze,
" rejestruje i określa status subskrybentów sieci,
" generuje pary kluczy ReA dla subskrybentów (opcja),
" dokonuje dystrybucji oprogramowania do generowania kluczy (opcja),
" wydaje i zarządza certyfikatami kluczy,
" utrzymuje i obsługuje katalog wydanych certyfikatów (opcja),
" zarządza odwołaniem, zawieszeniem i wznowieniem certyfikatów,
" prowadzi depozyt i /lub archiwum kluczy (opcja),
" poświadcza czas dostarczenia informacji (dokumentu) lub zawarcia
transakcji (opcja),
" generuje wznowione klucze dla subskrybentów po przeterminowaniu
(opcja),
" uczestniczy w tworzeniu narodowej struktury Centrów Certyfikacji
(opcja).
Centrum Certyfikacji Kluczy Publicznych może być produktem - systemem
sprzętowo-programowym lub usługą realizowaną zewnętrznie. W każdym
przypadku krytycznymi elementami CA są poziom zaufania do wydawanych
certyfikatów oraz poziom bezpieczeństwa kluczy prywatnych CA.
eporadycznie, oprócz wymienionych wyżej funkcji, CA może dodatkowo
prowadzić usługi:
" notariatu,
" archiwum,
" z
ródła czasu uniwersalnego (UT),
" certyfikacji innych atrybutów niż klucze publiczne,
" depozytu kluczy,
" centrum odtwarzania kluczy.
Odpowiedzialność CA, zależnie od zasięgu wpływów, rozciąga się na całą
domenę - główne CA (root CA) lub dotyczy tylko specyficznego obszaru -
regionalne/ branżowe CA.
CA może funkcjonować samodzielnie lub być elementem hierarchicznego
systemu certyfikacji kluczy. Główne CA (root CA) podpisuje swój klucz
publiczny samodzielnie (self-certificate), ponieważ nie ma jednostki nadrzędnej.
Z tego powodu zaufanie do jego klucza publicznego jest tak krytycznym
elementem. Opublikowanie samego klucza i jego identyfikatora w wielu
mediach (sieć, prasa, biuletyny specjalistyczne) pozwala wzbudzić zaufanie
także wśród "paranoicznie" nastawionych oportunistów. Konieczne jest podjęcie
wszelkich działań mających na celu zabezpieczenie klucza prywatnego
głównego CA.
W internetowych usługach bezpieczeństwa spotykane są oba modele realizacji
CA - jako własne przedsięwzięcie - element PKI instytucji handlowej, finansowej
lub banku, regionalne/narodowe CA - element PKI państwa lub społeczności
internetowej. O wyborze modelu decydują względy ekonomiczne - CA jest
najbardziej kapitałochłonnym elementem PKI. Na drugiej szali wagi spoczywa
zaufanie, jakim biznes musi obdarzyć zewnętrzną instytucję, której poręczenie
ma wymierny skutek także w transakcjach finansowych jego klientów.
eurfując po sieci wielu z nas natkneło się na firmy świadczące usługi
certyfikacyjne. Znaki tych firm są dla nas często synonimem pieczęci
notariusza, znakiem publicznego zaufania. Czy i na ile ma to swoje
uzasadnienie, nad tym wiekszość z nas się nie zastanawia.
Należy pamiętać, że certyfikaty kluczy publicznych, wytwarzane przez CA,
stanowią wyłącznie potwierdzenie relacji pomiędzy kluczem publicznym
i jego identyfikatorem. Żadną miarą nie mogą być traktowane jako certyfikaty
wiarygodności treści prezentowanych przez posiadaczy certyfikatów, a tym
samym jako potwierdzenie tożsamości ich właścicieli.
Certyfikat klucza publicznego to nie to samo co certyfikat handlowy, wypis
z rejestru handlowego, rejestru sądowego czy potwierdzenie notarialne.
Zaufanie do certyfikatu nie może i nie powinno być wyłącznie konsekwencją
faktu istnienia i otrzymania takiego certyfikatu.
Wybierając system operacyjny i przeglądarkę internetową, przy tej okazji,
chociaż zazwyczaj nie do końca świadomie, wybieramy także model budowy
zaufania w sieci. Model ten określany jest przez strukturę i zawartość
magazynu certyfikatów przeglądarki.
epore zamieszanie wśród wielu użytkowników Internetu wywołują certyfikaty
wbudowane do przeglądarek. eą bezkrytycznie deklarowane i niestety
przyjmowane jako podstawa do zbudowania zaufania w eieci.
Tym czasem są to certyfikaty miejsc, o których wiadomo tyle, że ufał im
producent oprogramowania.
O tym, czy wbudowanym certyfikatom winien zaufać użytkownik przeglądarki,
powinna zadecydować analiza dokumentów CA: Polityki Certyfikacji (ang.
Certification Policy - CP) i Regulamin Certyfikacji (ang. Certification Practice
Statement - CPS). To z tych dokumentów wynika, czy sposób rejestracji,
wytworzenia certyfikatu, jego obsługi, zakres obowiązków, gwarancji
i zobowiązań instytucji certyfikującej jest właściwy do biznesu, w którym
certyfikat ma być użyty, czy jest niewystarczający w jakimkolwiek aspekcie.
W praktyce okazuje się, że pojawienie się ikony bezpiecznego połączenia na
stronie przeglądanego serwisu winno, zdaniem właścicieli serwera, zaspokoić
oczekiwania co do autentyczności i poufności. Domyślne zaufanie do
certyfikatów wbudowanych jest, w myśl normalnych reguł biznesowych,
niebezpieczną nadinterpretacją określenia "zaufany".
To, czego w takiej sytuacji można być pewnym, to tylko tyle, że połączenie jest
realizowane przez szyfrowany kanał z serwerem, który posiada certyfikat
od znanego CA. Czy jest to miejsce godne zaufania, użytkownik winien
zadecydować sam, w oparciu o własne kryteria budowy zaufania. Opis
lokalizacji zawarty w treści certyfikatu może być pomocny jako jedna
z informacji identyfikujących, ale nie powinien być przyjmowany bezkrytycznie
jako wiarygodny, bez porównania z podobnym opisem z innych z
ródeł, np.
dokumentów handlowych. W przeciwnym razie możemy obdarzyć zaufaniem
dobrze zakamuflowanych oszustów, powierzając im nasze poufne informacje.
Jeżeli chcesz się dowiedzieć więcej jak chronić swój serwis Internetowy przed
intruzami, jak walczyć z phisingiem, jak zbudować bezpieczne środowisko
poczty elektronicznej  zapytaj lub skorzystaj z moich szkoleń.