SPKI

Yksinkertainen julkisen avaimen infrastruktuuri ( venäläinen yksinkertaisen julkisen avaimen infrastruktuuri, SPKI, lausutaan spoo-avain ) on julkisen avaimen infrastruktuuri , jonka on luonut IETF Simple Public Key Infrastructure Working Group korjatakseen joitain X.509 -standardin puutteita . IETF Request For Comments -spesifikaatioita on kaksi - RFC 2692 ja RFC 2693 IETF SPKI -työryhmä.

Luomisen tarkoitukset ja ominaisuudet

SPKI on julkisen avaimen infrastruktuuri , joka on suunniteltu tarjoamaan mekanismeja, jotka tukevat suojausta useissa Internet - sovelluksissa, mukaan lukien IPSEC - protokollat , salatut sähköpostit ja WWW - asiakirjat, maksuprotokollat ja muut sovellukset, jotka vaativat julkisen avaimen sertifikaattien käyttöä ja kykyä käyttää niitä. . [1] SPKI:tä ehdotettiin korvaamaan X.509 tämän järjestelmän puutteiden vuoksi. SPKI luotiin ratkaisemaan valtuutuksen ja tunnistamisen ongelmia . Tällä järjestelmällä on myös mahdollisuus delegoida valtuuksia. SPKI:llä ei ole globaalia hierarkkista CA -rakennetta , vaan SPKI käyttää PGP :n kaltaista yksityiskohtaisempaa alhaalta ylöspäin suuntautuvaa luottamuksen uudelleenjakomenetelmää . Varmenteiden kirjoittamiseen käytetään LISP :n kaltaisia rakenteita - S-lausekkeita . SPKI-varmenteita on kahta tyyppiä: neljän kohteen SPKI-monitori ja viiden objektin SPKI-monitori todennusta ja valtuutusta varten. Kaiken tämän vuoksi SPKI:tä ei käytetä laajalti. [2]

Luottamuksen uudelleenjako

Luottamuksen uudelleenjakamiseen SPKI käyttää luottamusverkkoa. Käyttäjät itse hallitsevat julkisia avaimia alhaalta ylös -periaatteella. Jokainen käyttäjä on CA , joka allekirjoittaa muiden käyttäjien julkiset avaimet. Alice, joka allekirjoittaa Bobin julkisen avaimen, toimii Bobin varmentajana , minkä jälkeen Bob välittää Alicen allekirjoittaman varmenteen Charlielle. Jos Charlie luottaa Aliceen, hän on varma, että annettu julkinen avain, jonka Liisa on allekirjoittanut, todella kuuluu Bobille. Jatkuvan ristiinpuhumisen vuoksi tämä luottamusverkko kasvaa ylhäältä alas, mistä johtuu nimi. [2]

Delegaatio

Yksi SPKI-valtuutusvarmenteen eduista on valtuuksien siirtäminen henkilöltä toiselle ilman resurssin omistajaa. Voit myöntää yksinkertaisen luvan (esimerkiksi lukea jonkin tiedoston) tai myöntää luvan lisävaltuutusta varten. Valtuutuksen delegointia harkittaessa nousee esiin kaksi kysymystä: halu rajoittaa delegoinnin syvyyttä ja mahdollisten delegaattoreiden jako niihin, jotka voivat delegoida ja niihin, jotka eivät voi. Näiden prosessien säätely tapahtuu loogisen (Boolean) ohjauksen avulla. Sen etuna on, että loogisen ohjauksen avulla voit määrittää valtuutuksen delegoinnin mahdottomuuden. Kuvittele, että Yhdysvaltain kauppaministeriöllä on avain, jonka avulla salausohjelmistomoduuli voidaan julistaa vientikelpoiseksi ja myös delegoida muille. On järkevää olettaa, että kauppaosasto ei anna lupaa delegoida edelleen.

SPKI : n delegointikyky osoittautuu hyödylliseksi Internetissä tapahtuvissa tapahtumissa . Esimerkiksi kun yksittäiset johtajat lähtevät lomalle, he voivat delegoida valtuuksiaan tiettyihin toimiin alaisilleen. [3]

SPKI-sertifikaatit

SPKI-varmenteet sisältävät varmenteen ja varmenneobjektin luovan viranomaisen julkiset avaimet (tai niiden hash -arvot) . Nimet eivät sisälly SPKI-varmenteeseen, koska SPKI:n kirjoittajat uskovat, että vain avaimella on väliä. Näppäinten korostaminen tarkoittaa, että tässä järjestelmässä kiinnitetään paljon huomiota toimivuuteen. SPKI-varmenteita on kahta tyyppiä, neljän kohteen SPKI-monitori ja viiden objektin SPKI-monitori, jotka luodaan todennus- ja valtuutusavainten avulla.

Neljän objektin SPKI-tuple

SPKI käyttää neljän osan SPKI:tä yhdistääkseen käyttäjän paikallisen nimen ja julkisen avaimen

(Luoja, nimi, kohde, voimassaoloaika)

Käytännössä sertifikaatti koostuu viidestä kohteesta:

luojan julkinen avain
aiheen nimi
aiheen julkinen avain
pätevyyttä
varmenteen luojan allekirjoitus kolmiosassa (nimi, objekti, voimassaoloaika)

Kuka tahansa käyttäjä voi luoda tällaisen varmenteen ja tulla sen seurauksena CA :ksi .

Viisikertainen SPKI

Viisikertaista SPKI:tä käytetään avainten valtuutukseen ja se koostuu:

(Tekijä, objekti, delegointi, valtuutus, voimassaolo)

Todellisuudessa sertifikaatissa on kuusi kenttää:

aiheen nimi
aiheen julkinen avain
delegointi , eli "kyllä" tai "ei"-merkki, joka osoittaa, voiko kohde siirtää valtuutuksen vai ei
valtuutus: mitä subjekti itse asiassa voi delegoida
valtuutuksen voimassaoloaika
varmenteen luojan allekirjoitus neljällä (objekti, delegointi, valtuutus, voimassaoloaika)

Varmenteiden yhdistelmä

Voit yhdistää todennus- ja valtuutusvarmenteita saadaksesi kirjausketjun. Valtuutusvarmenteen avulla voit suorittaa mitä tahansa toimintoja avaimella, mutta se ei kerro mitään avaimen omistajasta. Avaimen sitominen tapahtuu todennusvarmenteen avulla. Siksi on tarpeen käyttää niiden yhdistelmää.

Varmenteiden yhdistelmä tehdään käyttämällä seuraavaa vähennyssääntöä :

{\näyttötyyli (I_{1},S_{1},D_{1},A_{1},V_{1})+(I_{2},S_{2},D_{2},A_{2} ,V_{2})=(I_{1},S_{2},D_{2},A_{2}\cap A_{1},V_{2}\cap V_{1})}

Missä on luoja, onko kohde, on delegointi, on valtuutus, on viimeinen voimassaolopäivä. $I_i$ $Si}$ $D_{i}$ $A_{i}$ $V_i$

Tasa-arvo saavutetaan jos ja vain jos ja = Kyllä. $S_{1}=I_{2}$ $D_{1}$

Valtuutuksen delegointi kahden rivin yhdistelmällä

Alice-todistuksen tiedot:

$I_1$ = Alice
$S_{1}$ = Bob
$D_{1}$ = kyllä
$A_{1}$ = Nosta 100 euroa Alicen tililtä
$V_{1}$ = Rajoittamaton

Tämä tarkoittaa, että Alice antaa Bobin nostaa 100 euroa tililtä ja antaa tämän toiminnon delegoida kenelle tahansa henkilölle, jonka Bob pitää tarpeellisena.

Bobin todistuksen tiedot:

$minä_{2}$ = Bob
$S_{2}$ = Charlie
$D_{2}$ = Ei
$A_{2}$ = Nosta Alicen tililtä summa 50 eurosta 100 euroon.
$V_{2}$ = Huomiseen asti

Tämä tarkoittaa, että Charlie saa nostaa Alicen tililtä 50–100 euroa tämän päivän aikana.

Kahden varmenteen yhdistäminen vähennyssääntöä käyttämällä:

$I_3$ = Alice
$S_{3}$ = Charlie
$D_{3}$ = Ei
$A_{3}$ = Nosta Alicen tililtä summa 50 eurosta 100 euroon.
$V_{3}$ = Huomiseen asti

Siten Alice antoi Bobin delegoida valtuudet ja sen seurauksena Charlien nostaa rahaa tililtään huomiseen aamuun asti. [2]

Voimassaoloaika ja CRL

SPKI-varmenteella, kuten muillakin varmenteilla , on oltava voimassaoloaika: ajanjakso, jonka se on voimassa. Käytössä on myös online-todentaminen kelvollisuudelle, joka saadaan aikaan varmenteen peruutuslistalla - CRL . Pienin CRL sisältää luettelon peruutetuista varmenteista, sarjanumeron ja allekirjoituksen . Jos jokin varmenne löytyy luettelosta, se tuhotaan. Jos se kohtaa edellisen CRL :n , se poistaa edellisen CRL:n. Tällaiset CRL:t johtavat ei-deterministiseen ohjelman toimintaan. Tämän seurauksena valtuutusprosessi on ajasta riippuvainen, mikä on haavoittuvuus . Toisin sanoen se mahdollistaa varmenteen peruuttamissuojauksen estämällä uusien CRL:ien toimittamisen. Tämä ei täytä salausvaatimuksia . SPKI on poistanut tämän lähestymistavan varmenteistaan ja tehnyt prosessista deterministisen väliaikaisilla CRL:illä, jotka noudattavat kolmea sääntöä:

Varmenteen on sisällettävä avain (tai sen hash-arvo ), jolla CRL allekirjoitetaan, ja se voi osoittaa yhden tai useamman paikan, josta CRL voidaan noutaa.
CRL:ssä on oltava viimeinen voimassaolopäivä.
CRL:n vanhenemisalueet eivät saa mennä päällekkäin. Tämä tarkoittaa, että uusi CRL ei voi tulla voimaan ennen kuin nykyinen CRL vanhenee.

Näiden sääntöjen mukaan CRL:ää käyttäviä varmenteita ei voida käsitellä ilman kelvollista CRL:ää. [3]

X.509 ja SPKI

X.509-varmenteen peruskentät

Selvyyden vuoksi näytetään X.509 -varmenteen pääkentät .

sertifikaatin sarjanumero - yksilöllinen sarjanumero
allekirjoitusalgoritmin tunniste - varmenteen luojan käyttämä digitaalisen allekirjoituksen tyyppi
lähdenimi - luotettavan kolmannen osapuolen erottuva nimi ( X.500 -muoto).
voimassaoloaika - ilmoittamalla varmenteen voimassaoloajan alkamis- ja päättymispäivät
aiheen julkinen avain
sertifikaatin aiheen nimi - aiheen erottuva nimi

SPKI:n ja X.509:n erot

X.509 :n ongelma on, että nimet ovat yleisiä (mikä ei ole totta) ja niitä käytetään varmenteiden tunnistamiseen. Siksi avaimen omistajan valtuuttamiseksi se on todennettava. Siksi valtuutus ilman autentikointia X.509-standardissa on mahdotonta, mikä tarkoittaa erityisesti, että tämä standardi ei tue anonyymiä valtuutusta. SPKI:ssä nämä ongelmat ratkaistaan sillä, että avaimet, jotka ovat itse yksilöllisiä, ovat tunnisteita (mikä mahdollistaa anonyymin valtuutuksen). Koska ihmisten on vaikea tulkita avaimia, SPKI tarjoaa paikallisia nimiä. Paikallinen nimi on nimi jossain nimiavaruudessa. Tästä seuraa, että "Subject Name" -kentällä on radikaalisti erilaiset arvot. Toinen ero SPKI:n ja X.509:n välillä on Delegation-kenttä, joka puuttuu X.509:stä. Molemmissa varmenteissa toistensa kaltaiset kentät ovat kentät "Julkinen avain", "Tekijän nimi" ja "Voimassaoloaika".

Erot SPKI:n ja X.509:n välillä ovat myös se, että SPKI : ssä ei ole CA-hierarkiaa ja X.509-varmenteiden kirjoittamisessa käytetyn ASN.1 -kielen paikka , S-lausekkeita käytetään SPKI-varmenteiden kirjoittamiseen , jotka ovat kevyitä. ja helppo ymmärtää, toisin kuin tietokoneen jäsennystä varten tarkoitetut X.509-sertifikaatit. Tarjolla on myös käyttöliittymä, joka helpottaa S-lausekkeiden havaitsemista . [3] [2]

Katso myös

Kirjallisuus

C. Ellison, B. Frantz, B. Lampson, R. Rivest, B. Thomas, T. Ylonen. SPKI Certificate Theory // IETF: artikkeli. – 1999.
C. Ellison. SPKI-vaatimukset // IETF : artikkeli. - 1999. Arkistoitu 1. elokuuta 2015.
Smart, N. Cryptography. - Technosphere, 2005. - 528 s.
C. Ellison, Bill Frantz, Butler Lampson, Ron Rivest, Brian M. Thomas, Tatu Ylonen. Yksinkertainen julkisen avaimen sertifikaatti // IETF: artikkeli. – 1999.