Certyfikaty Standard x.509.

Prezentacja na temat: "Certyfikaty Standard x.509."— Zapis prezentacji:

1 Certyfikaty Standard x.509

2 Zarządzanie kluczami Kryptografia z kluczami publicznymi umożliwia:
bezpieczne komunikowanie się bez potrzeby wcześniejszego wymieniania kluczy. składanie podpisów cyfrowych bez udziału centralnego pośrednika. Ponadto funkcje skrótów umożliwiają efektywne weryfikowanie autentyczności komunikatów T.Boczoriszwili

3 Certyfikaty Najpierw rozpatrzymy centrum dystrybucji kluczy działające bez przerwy i udostępniające unikalny klucz na każde żądanie. Rozwiązanie to nie jest jednak dobre, z powodu jego niewydolności załamałby się cały system kluczy publicznych. Jest to duża wada. Z tego powodu opracowano inne rozwiązanie, niewymagające ciągłej dostępności centrum dystrybucyjnego. Rozwiązanie to zakłada, że istnienie centrum autoryzacyjnego (Certification Authority) , który odpowiednimi certyfikatami potwierdza autentyczność kluczy należących do określonych osób, firm itp. Gdy Ban będzie chciał otrzymywać zaszyfrowane listy od Any i innych respondentów, przedstawi swój klucz publiczny w CA, (wylegitymuje się paszportem ) otrzyma plik zawierający stosowne prywatnym świadectwo (certyfikat) oraz skrót SHA-1 tego świadectwa, podpisany kluczem CA. T.Boczoriszwili

4 Certyfikaty KeyID=d4 5a 9e c c6 e c0 7e d 6f 4d 03 77 Certificate Issuer: Directory Address: CN=OpenVPN serwer OU=II O=UPH L=Siedlce S=mazowieckie C=PL Certificate SerialNumber=00 e2 0a ec Skrót SHA-1 powyższego certyfikatu podpisany kluczem prywatnym CA. Przykład podpisanego certyfikatu klucza publicznego T.Boczoriszwili

5 Certyfikaty Podstawową funkcją centrum autoryzacyjnego jest powiązanie klucza publicznego z nazwą jego właściciela (osoby fizycznej, firmy itp.). Certyfikaty kluczy nie są w żadnym razie tajne ani chronione; wręcz przeciwnie, Ban może umieścić na swej stronie WWW hiperłącze zaetykietowane „Kliknij tu, aby obejrzeć certyfikat mojego klucza publicznego". Funkcjonowanie centrum autoryzacyjnego (CA) napotkałoby jednak na poważne problemy, gdyby musiało ono obsługiwać żądania certyfikatów w zróżnicowanych formatach. Opracowano więc standard formatu certyfikatów, który zaaprobowany został przez ITU. Standard ten nosi nazwę X.5O9 jest powszechnie wykorzystywany w Internecie. T.Boczoriszwili

6 Certyfikaty Najważniejszym aspektem standardu X.5O9 jest sposób opisu certyfikatów. Najważniejsze pola tego opisu opisane są w tabeli dokładniejsze informacje - dokumentu RFC 2459. T.Boczoriszwili

7 Certyfikaty T.Boczoriszwili

8 Infrastruktura kluczy publicznych (PKI)
PKI składa się z wielu komponentów: użytkowników, centrów autoryzacyjnych, certyfikatów i katalogów. Zadaniem PKI jest strukturalne zorganizowanie tych komponentów oraz zdefiniowanie standardów dla rozmaitych dokumentów i protokołów. Root Autorizacja RA1, RA 2 RA 1 RA 2 Podpis Root Autorizacja CA1, CA 2 CA 1 CA 2 CA 3 CA 4 CA 5 Podpis RA1 Centrum autoryzacyjne najwyższego poziomu root zajmuje się wydawaniem certyfikatów organizacjom zlokalizowanym na drugim poziomie hierarchii zwanym zarządcami regionalnymi (Regional Authorities). T.Boczoriszwili

9 Infrastruktura kluczy publicznych (cd)
W kompetencji zarządcy regionalnego pozostaje określony region geograficzny Zarządcy regionalne wydaje certyfikaty X.5O9 dla określonych podmiotów (osób, firm). Utworzenie nowego RA polega na wygenerowaniu dla niego (przez CA) odpowiedniego certyfikatu X.5O9 określającego: klucz publiczny Podpis cyfrowy podpisanego kluczem prywatnym CA. W podobny sposób RA ustanawia nowe CA na swym obszarze kompetencji. T.Boczoriszwili

10 Infrastruktura kluczy publicznych (cd)
Root System ten funkcjonuje następujące: Załóżmy, że An chce sprawdzić wiarygodność klucza Bana, certyfikat związany z tym kluczem podpisany jest przez CA 5. RA 1 RA 2 CA 1 CA 2 CA 3 CA 4 CA 5 An Ban An żąda certyfikat Bana T.Boczoriszwili

11 Infrastruktura kluczy publicznych (cd)
Root System ten funkcjonuje następujące: Załóżmy, że An chce sprawdzić wiarygodność klucza Bana, certyfikat związany z tym kluczem podpisany jest przez CA 5. An kontaktuje się z CA 5, żądając stosownego certyfikatu; CA 5 udostępnia certyfikat podpisany przez RA 2, zawierający klucz publiczny CA 5. An używając ten klucz może już zweryfikować legalność działania CA 5. RA 1 RA 2 CA 1 CA 2 CA 3 CA 4 CA 5 An Ban An żąda certyfikat Certyfikat CA5 jest potrzebny do sprawdzania autentyczności certyfikatu Bana T.Boczoriszwili

12 Infrastruktura kluczy publicznych (cd)
Root Teraz trzeba weryfikować autentyczność RA 2. An żąda od RA 2 dowodów legalności, i otrzymuje od niego podpisany przez root certyfikat określający klucz publiczny RA 2. Teraz An jest już pewna, że klucz publiczny Bana jest autentyczny. A co kluczem publicznym root ? RA 1 RA 2 CA 1 CA 2 CA 3 CA 4 CA 5 Generalnie zakłada się, że klucz ten jest ogólnie znany, na przykład może być zawarty w pakiecie dostarczanym wraz z przeglądarką WWW. Nadal nierozwiązana pozostaje kwestia, kto sprawować ma rolę root CA? Rozwiązanie polega na zrezygnowaniu z bezwzględnej centralizacji i ustanowienie wielu root CA z własnymi RA i CA. Nowoczesne przeglądarki standardowo udostępniają klucze publiczne ponad 100 root zwanych niekiedy potocznie kotwicami zaufania (trust anchors). T.Boczoriszwili

13 Generacja certyfikatu
Openssl genrsa -aes out ca.key Openssl req new -x509 -deys key ca.key -out ca.crt CA Uph.crt Openssl ca -md sha256 -notext -days keyfile ca.key -cert ca.crt -in uph.csr -out uph.crt Uph.csr Anna Openssl genrsa -aes out uph.key Openssl req new key uph.key -out uph.csr T.Boczoriszwili

14 Koniec