3.2.5.1. Рішення: проксі-сертифікати
Сертифікат, показаний на рис.№5 називається проксі-сертифікатом. Словник Вебстера визначає проксі як “інструмент, яким уповноважена персона виконує справи іншого”. Як видно на зображенні, проксі-сертифікат дозволяє утримувачеві сертифікату діяти на користь іншого. Фактично, це подібно цифровим сертифікатам X.509, за винятком того, що вони не підписуються Центром Сертифікації (Certificate Authority); а підписується кінцевим користувачем. Дізнатися достовірність сертифікату можна, перевіривши його підпис (Організація А підписує сертифікат в цифровій формі).
Як бути із загальним ключем проксі-сертифіката, чий цей загальний ключ, організація A, організація B? Проксі-сертіфікат має пару відкритих ключів, що згенерували спеціально для проксі-сертификата. Ця пара відкритих ключів узгоджується взаємно з обома частинами (в даному випадку, А і B), і Організація А допустить діяти в її інтересах (в даному випадку B) тільки утримувача цієї пари приватних ключів.
На розглянутому зображенні є одна упущена деталь. Дозволяти кому-небудь діяти у ваших інтересах – ризикована справа. Можливо, їм довіряють зараз для виконання конкретного завдання, але хто-небудь з Організації B, можливо, скористається проксі-сертифікатом в майбутньому, щоб здійснити несанкціоновані дії від вашого імені. Тому, тривалість життя сертифікату зазвичай дуже обмежена (наприклад, до 12 годин). Це означає що, якщо проксі-сертифікат поставлений під загрозу, нападаючий не зможе довго їм користуватися. До того ж, проксі-сертифікати розширюють звичайні сертифікати X.509 додаючи їм додаткові надбудови безпеки, щоб більше обмежити їх функціональність (наприклад, визначаючи, що проксі-сертифікат може використовуватися тільки для певних завдань). Підводячи підсумки, розглянемо більш правильне представлення проксі-сертифіката на рис.№14.
Рисунок 14. Проксі-сертіфікат з обмеженою тривалістю життя
3.2.5.2. Що досягає рішення: Делегація і єдиний вхід
Проксі-сертіфікат дозволяє користувачеві діяти на користь іншого користувача. Більш точніше це називається делегація посвідчення особи, оскільки, проксі-сертифікати дозволяють користувачеві фактично делегувати безліч посвідчень особи (особа користувача) до іншого користувача. Це вирішує проблему, оскільки B міг би використовувати проксі-сертифікат (підписаний А, звичайно), щоб довести, що він діє на користь A. Організація C потім прийняла б запит B.
При використанні проксі-сертифікатів, відкривається ще одна особливість: єдиний вхід. Без проксі-сертифіката, організації А довелося б засвідчити себе перед всіма організаціями, які отримують запити від імені А. На практиці, це означає, що користувачеві в організації А з дозволом на читання приватного ключа довелося б звертатися до ключа кожного разу, коли була потрібна взаємна аутентифікація. Оскільки приватні ключі зазвичай захищає пароль, це означає, що користувачеві довелося б “увійти”(надати пароль), щоб звернутися до ключа і виконати аутентифікацію. Використовуючи проксі-сертифікати, користувачеві доведеться підписатися тільки один раз для того, щоб створити проксі-сертифікат. Потім проксі-сертифікат використовуватиметься для всіх подальших аутентифікацій.
Хоча вище було приділено увагу перевагам проксі-сертифікатів для делегації, ці сертифікати мають і інші особливості, які роблять їх корисними для різних цілей. Наприклад, вони можуть використовуватися локально: генеруючи проксі-сертифікат, який уповноважує себе, для того, щоб діяти в своїх інтересах, що фактично приносить велику користь оскільки, можна використовувати проксі-сертифікат для всіх безпечних діалогів, замість використання приватної пари ключів безпосередньо. Це скорочує ризик загрози діалогу, оскільки той, що атакує, мав би можливість зламати тільки пару ключів проксі, а не особистий ключ (який використовується тільки для створення проксі-сертифіката).