Методы подтверждения цифровой тождественности при работе в открытых сетях. Источник - "Сетевой журнал"

Интернет является исключительно удобной средой для выполнения таких деловых операций, как сбыт, обеспечение доставки товаров, рассылка или реклама. Однако Интернет - это открытый канал связи, а предпринимательская деятельность в рамках электронной коммерции нуждается в такой структуре защиты информации, которая обеспечивала бы конфиденциальность и аутентичность. Всего этого можно добиться путем использования так называемой инфраструктуры открытых ключей PKI (Public Key Infrastructure).

Концепция инфраструктуры открытых ключей (PKI - Public Key Infrastructure) сама по себе не нова. Международный союз электросвязи (ITU) уже много лет назад разработал стандарты на структуру баз данных, записи в которых содержали информацию о пользователях. Это стандарты серии X.500 (хотя не все их наименования начинаются с X.5xx). Разработка этих стандартов осуществлялась в рамках более широкой программы, которая включала многие другие стандарты серии X и охватывала как телекоммуникации, так и методы абстрактной синтаксической нотации, называемой ASN.1 (Abstract Syntax Notation One). (ASN.1 - это язык, используемый в рамках протоколов взаимосвязи открытых систем для описания абстрактных синтаксических структур.) Использование PKI расширялось по мере того, как многочисленные компании пытались расширить свои деловые операции с помощью Интернета.

По своей исходной концепции PKI можно представлять себе в виде электронной телефонной книги, которая может предложить услуги "желтого справочника" (торгово-промышленного раздела телефонной книги) для предоставления информации "анонимным" абонентам телефонной сети общего назначения. Это означает, что PKI основывается на каталоге названий (имен) и их адресов. Для своего использования каталог PKI должен быть опубликован (подобно телефонному справочнику, торговому регистру или регистру компаний), причем высокое качество информации, содержащейся в таком каталоге, будет придавать вес его пользователям, повышать их престиж в деловом мире и может также предъявлять высокие требования к компании, которая в нем представлена. Каталог с устаревшей или ложной информацией быстро теряет ценность и отбраковывается.

PKI является инфраструктурой, а не просто технологией базы данных. Доступ к этому каталогу осуществляется с помощью нескольких протоколов доступа; при этом контент должен регулироваться, а удаления - публиковаться, чтобы пользователи могли получать наиболее свежую информацию.

Побудительные причины для создания PKI

Стандарт X.500 явился развитием стандартов взаимосвязи открытых систем (OSI - Open System Interconnection), которые были разработаны в Европе. Однако первоначально стандарты X.500 и PKI не могли быть адаптированы в качестве средств предоставления электронных "желтых страниц". Стандарты OSI считались слишком трудными для реализации производителями вне Европы, особенно в условиях 70-х - начала 80-х гг. Кроме того, криптография с открытым ключом, необходимая для скрепления документов цифровой подписью, тогда еще не была распространена.

Быстрое развитие Интернета в 90-е гг., сопровождаемое все более широким ее использованием при организации электронной коммерции, обусловило потребность в новых методах цифровой аутентификации. Райвест, Шамир и Элдеман - основатели компании RSA разработали методы шифрования/дешифрования с использованием пар открытых и закрытых (секретных) ключей, однако такие методы требовали большой вычислительной мощности и до 90-х гг. широко не использовались. Теперь же вычислительная мощность персональных компьютеров делает использование технологии цифровой подписи вполне доступным, а применение таких программных средств, как PGP (Pretty Good Privacy), позволило приобрести опыт и завоевать благосклонное отношение к этой технологии. В настоящее время наиболее успешным методом обеспечения цифровой идентичности является использование сертификата в соответствии со стандартом X.509 и соответствующего набора стандартов Интернета.

Исходный стандарт X.509 с течением времени претерпел ряд изменений, и его последняя версия (Version 3) была стандартизована проблемной группой проектирования Интернета (IETF). Хотя официальной ратификации не было, большая часть PKI-поставщиков приняла стандарт X.509. Каталог X.500 становится решающим фактором проведения операций электронной коммерции, что объясняется наличием мощных ПК, а также тем обстоятельством, что в США приняты лежащие в ее основе стандарты.

Структура PKI

Для поддержки PKI необходимы следующие технические средства:

PKI является комбинацией услуг, средств и продуктов.

Рабочие требования

В состав PKI входят следующие логические компоненты:

Анализ технологии

В настоящее время повсеместно имеются мощные серверы для выполнения разнообразных операций в интересах крупномасштабного предоставления услуг по сертификации. Доступны аппаратные ускорители, способные обрабатывать цифровые подписи значительно быстрее, чем соответствующие программные пакеты, а также телекоммуникационные услуги, которые позволяют поддерживать полосу пропускания с шириной, требуемой для трафика, генерируемого запросами сертификатов. Опубликованы также многочисленные стандарты.

Проблемы, требующие решения, связаны с обеспечением взаимодействия (интероперабельностью), технологией токенов (token) и правительственным контролем. Все это оказывает воздействие на то, какие технические средства используются в различных странах.

Интероперабельность является одним из ключевых моментов для успешной организации открытой торговли в глобальном масштабе. В данном конкретном случае интероперабельность означает, что каждый пользователь имеет возможность получения подпись с любого места, может обработать ее, запросить соответствующий сертификат и обработать его вместе с любой связанной с ним информацией; при этом он будет в состоянии понять полученные результаты. В настоящее время поступает много жалоб на реальную интероперабельность. Однако до того, как PKI-поставщики могут разрешить проблему различий в аппаратных и программных средствах различных производителей, а провайдеры промежуточного ПО (middleware) смогут оказывать свои услуги, необходимо провести работы по унификации и стандартизации. Ситуация напоминает ту, которая сложилась в 70-х гг. в отношении банков и провайдеров кредитных карточек. В настоящее время кредитные карточки могут использоваться практически везде, и существует всего один стандарт защищенной электронной сделки (SET - Secure Electronic Transaction) для авторизации кредитной карточки в сети Интернет.

Далее, чтобы цифровая подпись имела силу, пользователь должен быть в состоянии легко контролировать ее использование. В банковских системах используются карточки и личный идентификационный номер для автоматического контроля доступа пользователей к защищенной системе (PIN - personal identification number). Такой подход к защите электронной идентичности имеет много сторонников. Уже в течение некоторого времени применяются смарт-карты (smart cards) - кредитные карточки с микропроцессором, однако рабочие станции и ноутбуки обычно не оборудованы соответствующими устройствами считывания.

Наконец, правительства многих стран выступали в качестве барьера для глобального оказания криптографических услуг. В результате этих действий пользователи не могут применять мощную и эффективную криптографию, поскольку поставщики не могут развернуть глобальные рынки для своей продукции.

Использование в бизнесе

Существует очень большая потребность в обеспечении безопасных операций электронной коммерции, причем вопрос о том, является ли разумным решением использование для этой цели PKI, пока остается открытым. С точки зрения пользователя, применение PKI имеет несколько преимуществ, поскольку все, что требуется для ее реализации, - это защита сетевых соединений. Кроме того, пользователи хорошо знакомы с электронной почтой в качестве эффективного средства для электронной коммерции, причем электронная почта работает надежно.

Что касается операций электронной коммерции между компаниями, то они традиционно осуществляются с использованием стандарта EDI (Electronic data interchange) по сетям с дополнительными функциями и услугами (VANs - Value-Added Networks). Все участники персонально известны друг другу, так что необходимости в идентификации партнеров посредством использования технологии PKI удается избегать. Однако недостатком такого подхода являются высокие расходы на развертывание и эксплуатацию соответствующих средств.

Низкая стоимость использования Интернета и простота соединений изменяют эту ситуацию. Технология броузеров и апплетов на языке Java позволяет осуществлять автоматическое подсоединение к средствам PKI. Кроме того, многие провайдеры услуг Интернет (ISP) уже используют технологии открытых ключей для связи со своими зарегистрированными пользователями.

Многие большие компании проводят различные мероприятия для того, чтобы определить, как наилучшим образом использовать PKI для решения своих задач, как сделать использование PKI внутри фирмы эффективным, не превращая ее в еще один внутренний телефонный справочник. Исследуются также новые потенциальные возможности использования метода PKI при обслуживании клиентов, поскольку он позволяет идентифицировать пользователя и повысить качество маркетинговых данных (путем обеспечения возможности просмотра каталогов, поиска информации, осуществления покупки, передачи запроса относительно тендеров, использования конкретных продуктов). PKI может помочь улучшить внутреннюю структуру управления корпорацией электронной коммерции, усилить понимание операций, проводимых партнерами по электронному бизнесу, а также осуществлять контроль над ними.

Доказуемая посредством PKI тождественность (идентичность) потенциально может обеспечить безопасность электронных услуг. В результате этого электронные заказы на покупку, независимо от того, откуда они поступают, могу верифицироваться автоматически. Можно также сделать так, чтобы документы поступали лишь туда, куда они должны быть направлены, и чтобы их нельзя было перехватить или изменить. Электронные биллинговые системы могут быть сделаны надежными без риска, что хакеры наводнят систему поддельными документами. Все это может привести к уменьшению расходов, сопоставимому со стоимостью перехода к использованию PKI.

Что касается банков, то они исследуют потенциальные возможности более быстрого и гибкого оказания финансовых услуг своим клиентам, особенно в тех случаях, когда требуются торговые операции в глобальном масштабе. В этом отношении большой интерес представляет информация о том, что национальные почтовые ведомства в Швеции, Дании и Великобритании в числе первых должны предложить полномасштабное PKI-обслуживание. В результате они смогут обеспечить более высокое качество электронной почты, сохраняя конфиденциальность почтового сообщения между отправителем и получателем.

PKI-службы могут также оказаться полезными в индустрии развлечений при сборе платежей за воспроизведение или использование авторских материалов, предоставляемых лицензированным пользователям. Служба PKI-подписей уже используется в ОС Windows, в которой генерируются пары открытых ключей для использования при организации отправлений электронной почты; это обеспечивает их конфиденциальность и возможность скрепления подписью.

Преимущества

Современному развитию электронной коммерции в сети Интернет содействует использование кредитных карточек в качестве средств обеспечения безопасности при проведении транзакций. Кредитная карточка оказалась весьма успешным средством, поскольку и покупатель, и продавец защищены гарантией, предоставляемой кредитной карточкой, и юридическим контрактом, привязывающим покупателей и продавцов к провайдерам карточек. Однако при проведении сделок в Интернете растет число подделок кредитных карточек, что приводит к росту расходов. При разумной ценовой политике PKI-услуги предлагают альтернативный вариант уменьшения затрат для тех, кто имеет дело с регулярными клиентами и со счетами для расчетов с покупателями. Они полезны также тем, кто желает уменьшить торговые расходы путем снижения коммерческого риска за счет собственных усилий, а не усилий провайдера кредитной карточки. Такой подход может явиться альтернативой использования протокола SET для верификации кредитных карточек.

Применение PKI в качестве средства идентификации может также оказаться полезным с точки зрения правовой защиты клиентов и сокращения числа случаев пиратства. Клиенты, которые могут быть уверены в тождественности продавца, могут получить выгоды от возможности принудительного осуществления своих прав. Продавцы будут иметь гораздо более основательные средства, чтобы обеспечить клиенту уверенность в тождественности продавца (а не просто Web-сайта), и могут предложить гораздо более весомое доказательство того, что клиент действительно сделал заказ. Таким способом можно также понизить уровень пиратства в области цифровых продуктов (программных средств, музыкальных произведений, картин, видео и пр.).

Риски

Основной риск, возникающий при использовании системы PKI, заключается в возможной неудаче при оказании PKI-услуг вследствие того, что не будет обеспечения интероперабельность программных и аппаратных изделий от различных поставщиков. Как известно, успешное функционирование Интернета определяется применением общих протоколов и предоставлением общих услуг в глобальном масштабе. Подобным же образом требуется, чтобы для реализации вышеуказанных преимуществ на рынке электронной коммерции стала применяться технология PKI. Использование PKI может привести к образованию особой ниши на рынках или же она может быть применена в качестве средства координации внутренних каталогов больших организаций, однако в последнем случае достигаемое преимущество становится менее существенным.

В настоящее время нет национальных законов, регулирующих типы компаний, которые могут предлагать все PKI-услуги или какую-либо одну из них. В результате этого существует риск того, что электронные контракты не смогут быть принудительно осуществлены, или что не будут собраны платежи. Далее, предоставление услуг по установлению тождественности путем использования PKI является новым делом. Пока неясно, какие юридические взаимоотношения сложатся между поставщиками и клиентами и, в частности, какими должны быть обязанности сторон. Может оказаться необходимым, чтобы CA обеспечивал сбор свидетельских показаний для подтверждения цифровой подписи или же раскрывал соответствующую информацию для судов или агентств в той стране, где он находится.

В различных странах происходит пересмотр законодательства для учета использования PKI и цифровых подписей. Основной смысл предложений заключается в повышении доверия к использованию PKI-технологий в качестве юридического инструмента. Так, в Великобритании предлагается законопроект, который признает за цифровой подписью ту же самую юридическую силу, что и за PKI, и предусматривает возможность лицензирования CA-услуг. Ранее ООН уже провела работу по созданию соответствующих норм и рекомендаций применительно к криптографии и правилам торговли в глобальном масштабе.

Стандарты

Стандарты играют существенную роль в развертывании и использовании PKI. Соответствующие стандарты можно разбить на четыре группы, каждая из которых относится к определенному технологическому сегменту, требуемому для создания PKI.

Стандарты первой группы - это стандарты серии X, подготовленные Международным союзом электросвязи (ITU). Они признаны в международном масштабе и используются для описания каталога и средств кодирования содержащейся в них информации.

Стандарты второй группы разработаны рабочей группой Интернет X.509, которая известна работой над каталогом и протоколами доступа к нему.

Эта группа стандартов определяет, как по сети Интернет запрашивать сертификаты из каталога, как обращаться со списком отозванных сертификатов, в чем заключается политика выдачи сертификатов, какова практика сертификации, каковы форматы сообщений.

Третья группа стандартов состоит из промышленных стандартов, разработанных компанией RSA. Это стандарты криптографии с открытым ключом (PKCS - Public Key Cryptography Standard), которые де-факто являются стандартами для иерархического представления криптографических процессов, требуемых при выполнении зашифрованного информационного обмена между объектами. Эта группа стандартов определяет способ, с помощью которого собираются зашифрованные материалы, и то, как они используются пи регистрации ключей у CA.

Четвертая, заключительная, группа стандартов представляет собой серию дополнительных стандартов, которые описывают структуры сообщений и протоколы с использованием методов обеспечения безопасности.

Краткое описание стандартов указанных четырех групп приведено в табл. 1.

Цена и рабочие характеристики

При назначении цены на PKI-услугу приходится учитывать несколько факторов. В общем случае методы ценообразования основываются на числе поддерживаемых сертификатов. Поскольку считается, что сертификаты имеют конечный срок "жизни" (обычно это три года), пользователи возражают против дальнейшей оплаты по истечении такого срока.

Рекомендации по выбору

Главным при выборе PKI-обслуживания является его предназначение. При этом ключевые факторы, относящиеся к функционированию PKI-системы и рабочим характеристикам входящих в нее средств, определяются требованиями, вытекающими из специфики организации бизнеса. Среди общих бизнес-требований к сертификатам можно указать следующие:

Стоимость обеспечения адекватной безопасности для PKI будет возрастать вместе с увеличением числа пользователей, которые могут обращаться к CA. По мере повышения нагрузки на телекоммуникации и сетевые средства становится более важной возможность реализации принципа распределенной обработки. Передача такой функции, как регистрация пользователя или формирование списков отозванных сертификатов, может потребовать усиленных мер по обеспечению безопасности для вычислительных систем, выполняющих переданные функции. В ряде ситуаций особую важность приобретает проблема ответственности. В тех случаях, когда для подтверждения имеющего юридическую силу контракта используются цифровые сертификаты, эмитент сертификата может нести ответственность:

Система PKI должна легко интегрироваться с технологиями браузеров, а также прикладными системами, которые она должна поддерживать. Ключевой проблемой при этом является степень сложности интеграции соответствующих PKI-функций во вновь создаваемые приложения, а также в уже имеющиеся прикладные системы. Технические средства, поддерживающие PKI, являются довольно сложными, и дополнительное усложнение схем программирования повышает степень риска проекта и снижает уровень безопасности, если соответствующего инструментария нет или он недостаточно отлажен.

Организациям необходимо также рассмотреть вопрос о том, может ли одна PKI-система обеспечить поддержку всех их требований. В тех случаях, когда требуется проведение деловых операций с внешними клиентами, требования к системе PKI отличаются от тех, которые обусловливаются поддержкой защищенной электронной почты или контролем над приложением, обеспечивающим осуществление электронной покупки. Закрытые торговые товарищества и компании, образовавшиеся путем слияния, могут использовать не одну и ту же систему PKI. В тех случаях, когда принимаются несколько систем PKI, наличие инструментария, который поддерживает возможность взаимодействия между PKI, будет иметь существенное значение для минимизации расходов на разработку и эксплуатацию соответствующей системы.

Наконец, в тех случаях, когда PKI используется для шифрования с целью обеспечения конфиденциальности (в отличие от механизмов, применяемых для скрепления документов цифровой подписью), организация должна иметь средства, позволяющие получить доступ ко всей зашифрованной информации. Для этого организация может хранить копии всех открытых ключей, использованных для поддержки конфиденциальности, чтобы зашифрованные материалы при необходимости можно было восстанавливать.

Некоторые PKI-провайдеры предлагают то, что называется поддержкой спаренными ключами: подготавливаются два открытых ключа, используемых для цифровых подписей, и сохраняются отдельно от пары ключей, используемых для обеспечения конфиденциальности. Такой подход позволяет генерировать ключи для подписи независимо от выполнения функции сертификации или регистрации, возможно, на карточке с микропроцессором; при этом секретный ключ для подписи никогда не вскрывается, что снижает риск мошеннического использования ключа для подписи. Тогда ключ конфиденциальности может генерироваться самой организацией и храниться в ней, причем сертификационный орган всего лишь публикует базу данных сертификатов и список отозванных сертификатов.

Заключение

В настоящее время PKI-технология, пока еще находящаяся на начальном этапе развития, считается единственной позволяющей применять методы подтверждения цифровой тождественности при работе в открытых сетях. Различные страны имеют свои стандарты, свои представления о том, каков приемлемый уровень доказательства тождественности (идентичности) в физическом мире. Вследствие этого разработка стандартов для цифрового мира потребует времени. PKI использует списки или базы данных "доказываемых тождеств" (таких, как те, которые предоставляются торговыми палатами, банками, агентствами с досье заемщиков, правительственными агентствами и т. д.) и подготавливает электронный эквивалент.