4.3. Распространение открытых ключей

В настоящее время существует две технологии распространения открытых асимметричных ключей между абонентами. Это технология PGP и технология PKI (ИОК).

4.3.1. Технология pgp

Технология PGP применяется в тех случаях, когда возможно полное доверие друг другу. Например, когда все потенциальные абоненты собираются вместе и напрямую обмениваются своими открытыми ключами. В этом случае, получая ключ, мы знаем, что он получен из рук владельца, и доверяем, что этот ключ истинный. Далее, обмен информацией происходит по выше описанным алгоритмам.

4.3.2. Технология pki (иок)

В случае, когда абоненты находятся далеко друг от друга и не имеют возможности встретиться лично, технология PGP не работает, так как мы не можем доверять лицу, которого мы не видим.

Проблема распространения открытых ключей между удаленными абонентами выражается в том, что при использовании открытых каналов связи возможна организация атаки «Посредник». Злоумышленник может перехватить наш открытый ключ, отправленный абоненту, и подменить его своим открытым ключом. Абонент, получив ключ, будет считать его нашим, и использовать в конфиденциальной переписке и для проверки электронной цифровой подписи, а злоумышленник получит полный контроль над процессом обмена информацией между нами и нашим абонентом.

Для предотвращения подобной ситуации и была создана технология, которая получила название PKI (Public Key Infrastructure) – Инфраструктура Открытых Ключей (ИОК – в Российских руководящих документах).

В процессе обмена ключами по этой технологии участвуют три субъекта: два абонента, не доверяющие друг другу, и Удостоверяющий центр (УЦ), которому доверяют абоненты. УЦ является хранителем открытых ключей абонентов, и в случае необходимости выдаёт эти ключи совместно с сертификатом, подтверждающим их подлинность. Так как злоумышленник не может скрытно и быстро подменить сертификат, то абоненты доверяют, что полученные открытые ключи принадлежат конкретным лицам.

Как мы видим – цель технологии PKI состоит в управлении ключами и сертификатами, в результате чего любая организация может поддерживать надежную среду обмена информацией. PKI позволяет использовать сервисы шифрования и выработки цифровой подписи согласованно с широким кругом приложений, функционирующих в среде открытых ключей.

Основными компонентами PKI являются:

• удостоверяющий центр;

• регистрационный центр;

• репозиторий сертификатов;

• список отозванных сертификатов;

• архив сертификатов;

• конечные пользователи.

В составе PKI должны функционировать подсистемы выпуска и аннулирования сертификатов, создания резервных копий и восстановления ключей, выполнения криптографических операций, управления жизненным циклом сертификатов и ключей. Клиентское программное обеспечение пользователей должно взаимодействовать со всеми этими подсистемами безопасным, согласованным и надежным способом.

Удостоверяющий центр

Удостоверяющий центр (УЦ) является основной структурой, формирующей цифровые сертификаты конечных пользователей. УЦ является главным управляющим компонентом PKI:

• он является доверенной третьей стороной;

• осуществляет управление сертификатами.

В случае необходимости, может быть выстроена иерархия УЦ. Т.е. основной УЦ делегирует свои полномочия и доверие подчиненному УЦ, например, в удаленном регионе. Уровней иерархии может быть несколько. Доверие ко всем подчиненным УЦ определяется уровнем доверия к основному УЦ.