Yksinkertainen julkisen avaimen infrastruktuuri ( venäläinen yksinkertaisen julkisen avaimen infrastruktuuri, SPKI, lausutaan spoo-avain ) on julkisen avaimen infrastruktuuri , jonka on luonut IETF Simple Public Key Infrastructure Working Group korjatakseen joitain X.509 -standardin puutteita . IETF Request For Comments -spesifikaatioita on kaksi - RFC 2692 ja RFC 2693 IETF SPKI -työryhmä.
SPKI on julkisen avaimen infrastruktuuri , joka on suunniteltu tarjoamaan mekanismeja, jotka tukevat suojausta useissa Internet - sovelluksissa, mukaan lukien IPSEC - protokollat , salatut sähköpostit ja WWW - asiakirjat, maksuprotokollat ja muut sovellukset, jotka vaativat julkisen avaimen sertifikaattien käyttöä ja kykyä käyttää niitä. . [1] SPKI:tä ehdotettiin korvaamaan X.509 tämän järjestelmän puutteiden vuoksi. SPKI luotiin ratkaisemaan valtuutuksen ja tunnistamisen ongelmia . Tällä järjestelmällä on myös mahdollisuus delegoida valtuuksia. SPKI:llä ei ole globaalia hierarkkista CA -rakennetta , vaan SPKI käyttää PGP :n kaltaista yksityiskohtaisempaa alhaalta ylöspäin suuntautuvaa luottamuksen uudelleenjakomenetelmää . Varmenteiden kirjoittamiseen käytetään LISP :n kaltaisia rakenteita - S-lausekkeita . SPKI-varmenteita on kahta tyyppiä: neljän kohteen SPKI-monitori ja viiden objektin SPKI-monitori todennusta ja valtuutusta varten. Kaiken tämän vuoksi SPKI:tä ei käytetä laajalti. [2]
Luottamuksen uudelleenjakamiseen SPKI käyttää luottamusverkkoa. Käyttäjät itse hallitsevat julkisia avaimia alhaalta ylös -periaatteella. Jokainen käyttäjä on CA , joka allekirjoittaa muiden käyttäjien julkiset avaimet. Alice, joka allekirjoittaa Bobin julkisen avaimen, toimii Bobin varmentajana , minkä jälkeen Bob välittää Alicen allekirjoittaman varmenteen Charlielle. Jos Charlie luottaa Aliceen, hän on varma, että annettu julkinen avain, jonka Liisa on allekirjoittanut, todella kuuluu Bobille. Jatkuvan ristiinpuhumisen vuoksi tämä luottamusverkko kasvaa ylhäältä alas, mistä johtuu nimi. [2]
Yksi SPKI-valtuutusvarmenteen eduista on valtuuksien siirtäminen henkilöltä toiselle ilman resurssin omistajaa. Voit myöntää yksinkertaisen luvan (esimerkiksi lukea jonkin tiedoston) tai myöntää luvan lisävaltuutusta varten. Valtuutuksen delegointia harkittaessa nousee esiin kaksi kysymystä: halu rajoittaa delegoinnin syvyyttä ja mahdollisten delegaattoreiden jako niihin, jotka voivat delegoida ja niihin, jotka eivät voi. Näiden prosessien säätely tapahtuu loogisen (Boolean) ohjauksen avulla. Sen etuna on, että loogisen ohjauksen avulla voit määrittää valtuutuksen delegoinnin mahdottomuuden. Kuvittele, että Yhdysvaltain kauppaministeriöllä on avain, jonka avulla salausohjelmistomoduuli voidaan julistaa vientikelpoiseksi ja myös delegoida muille. On järkevää olettaa, että kauppaosasto ei anna lupaa delegoida edelleen.
SPKI : n delegointikyky osoittautuu hyödylliseksi Internetissä tapahtuvissa tapahtumissa . Esimerkiksi kun yksittäiset johtajat lähtevät lomalle, he voivat delegoida valtuuksiaan tiettyihin toimiin alaisilleen. [3]
SPKI-varmenteet sisältävät varmenteen ja varmenneobjektin luovan viranomaisen julkiset avaimet (tai niiden hash -arvot) . Nimet eivät sisälly SPKI-varmenteeseen, koska SPKI:n kirjoittajat uskovat, että vain avaimella on väliä. Näppäinten korostaminen tarkoittaa, että tässä järjestelmässä kiinnitetään paljon huomiota toimivuuteen. SPKI-varmenteita on kahta tyyppiä, neljän kohteen SPKI-monitori ja viiden objektin SPKI-monitori, jotka luodaan todennus- ja valtuutusavainten avulla.
SPKI käyttää neljän osan SPKI:tä yhdistääkseen käyttäjän paikallisen nimen ja julkisen avaimen
(Luoja, nimi, kohde, voimassaoloaika)Käytännössä sertifikaatti koostuu viidestä kohteesta:
Kuka tahansa käyttäjä voi luoda tällaisen varmenteen ja tulla sen seurauksena CA :ksi .
Viisikertaista SPKI:tä käytetään avainten valtuutukseen ja se koostuu:
(Tekijä, objekti, delegointi, valtuutus, voimassaolo)Todellisuudessa sertifikaatissa on kuusi kenttää:
Voit yhdistää todennus- ja valtuutusvarmenteita saadaksesi kirjausketjun. Valtuutusvarmenteen avulla voit suorittaa mitä tahansa toimintoja avaimella, mutta se ei kerro mitään avaimen omistajasta. Avaimen sitominen tapahtuu todennusvarmenteen avulla. Siksi on tarpeen käyttää niiden yhdistelmää.
Varmenteiden yhdistelmä tehdään käyttämällä seuraavaa vähennyssääntöä :
Missä on luoja, onko kohde, on delegointi, on valtuutus, on viimeinen voimassaolopäivä.
Tasa-arvo saavutetaan jos ja vain jos ja = Kyllä.
Alice-todistuksen tiedot:
Tämä tarkoittaa, että Alice antaa Bobin nostaa 100 euroa tililtä ja antaa tämän toiminnon delegoida kenelle tahansa henkilölle, jonka Bob pitää tarpeellisena.
Bobin todistuksen tiedot:
Tämä tarkoittaa, että Charlie saa nostaa Alicen tililtä 50–100 euroa tämän päivän aikana.
Kahden varmenteen yhdistäminen vähennyssääntöä käyttämällä:
Siten Alice antoi Bobin delegoida valtuudet ja sen seurauksena Charlien nostaa rahaa tililtään huomiseen aamuun asti. [2]
SPKI-varmenteella, kuten muillakin varmenteilla , on oltava voimassaoloaika: ajanjakso, jonka se on voimassa. Käytössä on myös online-todentaminen kelvollisuudelle, joka saadaan aikaan varmenteen peruutuslistalla - CRL . Pienin CRL sisältää luettelon peruutetuista varmenteista, sarjanumeron ja allekirjoituksen . Jos jokin varmenne löytyy luettelosta, se tuhotaan. Jos se kohtaa edellisen CRL :n , se poistaa edellisen CRL:n. Tällaiset CRL:t johtavat ei-deterministiseen ohjelman toimintaan. Tämän seurauksena valtuutusprosessi on ajasta riippuvainen, mikä on haavoittuvuus . Toisin sanoen se mahdollistaa varmenteen peruuttamissuojauksen estämällä uusien CRL:ien toimittamisen. Tämä ei täytä salausvaatimuksia . SPKI on poistanut tämän lähestymistavan varmenteistaan ja tehnyt prosessista deterministisen väliaikaisilla CRL:illä, jotka noudattavat kolmea sääntöä:
Näiden sääntöjen mukaan CRL:ää käyttäviä varmenteita ei voida käsitellä ilman kelvollista CRL:ää. [3]
Selvyyden vuoksi näytetään X.509 -varmenteen pääkentät .
X.509 :n ongelma on, että nimet ovat yleisiä (mikä ei ole totta) ja niitä käytetään varmenteiden tunnistamiseen. Siksi avaimen omistajan valtuuttamiseksi se on todennettava. Siksi valtuutus ilman autentikointia X.509-standardissa on mahdotonta, mikä tarkoittaa erityisesti, että tämä standardi ei tue anonyymiä valtuutusta. SPKI:ssä nämä ongelmat ratkaistaan sillä, että avaimet, jotka ovat itse yksilöllisiä, ovat tunnisteita (mikä mahdollistaa anonyymin valtuutuksen). Koska ihmisten on vaikea tulkita avaimia, SPKI tarjoaa paikallisia nimiä. Paikallinen nimi on nimi jossain nimiavaruudessa. Tästä seuraa, että "Subject Name" -kentällä on radikaalisti erilaiset arvot. Toinen ero SPKI:n ja X.509:n välillä on Delegation-kenttä, joka puuttuu X.509:stä. Molemmissa varmenteissa toistensa kaltaiset kentät ovat kentät "Julkinen avain", "Tekijän nimi" ja "Voimassaoloaika".
Erot SPKI:n ja X.509:n välillä ovat myös se, että SPKI : ssä ei ole CA-hierarkiaa ja X.509-varmenteiden kirjoittamisessa käytetyn ASN.1 -kielen paikka , S-lausekkeita käytetään SPKI-varmenteiden kirjoittamiseen , jotka ovat kevyitä. ja helppo ymmärtää, toisin kuin tietokoneen jäsennystä varten tarkoitetut X.509-sertifikaatit. Tarjolla on myös käyttöliittymä, joka helpottaa S-lausekkeiden havaitsemista . [3] [2]