Построение корпоративной инфраструктуры открытых ключей - PKI (Корпоративный Удостоверяющий центр - УЦ)
Одним из методов обеспечения защиты электронного документооборота. систем шифрования данных или систем аутентификации является использование системы электронно-цифровой подписи (ЭЦП).
Для осуществления данной технологии необходим выпуск сертификатов отрытых ключей - PKI (Public Key Infrastructure) для уполномоченных лиц и реализации установленных правил, создание и поддержание единого пространства доверия сертификатам ЭЦП для информационных систем и ресурсов.
Зачастую, при создании корпоративных систем ЭЦП, систем шифрования данных или системы аутентификации компании сталкиваются с необходимостью развертывания собственного Удостоверяющего центра для создания инфраструктуры открытых ключей. ).
Для чего нужен собственный Удостоверяющий центр открытых ключей
Рассмотрим подробнее на примере корпоративной системы ЭЦП:
На первый взгляд система ЭЦП надежна, прозрачна и обеспечивает заявленный уровень безопасности. Это всё так, но при детальном анализе выясняется, что у нее есть своя уязвимость, при которой существует угроза атаки «man in the middle» (в переводе на русский – «человек посередине» или «злоумышленник посередине»), и которая может существенно повлиять на деятельность компании в целом, причем не в лучшую сторону. Как мы знаем в системе ЭЦП два ключевых элемента – это секретный и открытый ключ. Секретный ключ мы храним в защищенном виде или недоступном для злоумышленника месте, а открытый ключ должен быть доступен всем участникам системы ЭЦП, поэтому мы храним его открыто или пересылаем по открытым каналам связи всем абонентам. Такая незащищенность и вызывает угрозу атаки «man in the middle». Ведь злоумышленник, имеющий физический доступ к месту хранения открытых ключей или каналам связи, по которым передается открытый ключ, может перехватить его и создав свою пару секретный/открытый ключ подменить пересылаемый открытый ключ своим. В таком случае пользователь, получивший подмененный открытый ключ будет воспринимать данные, подписанные злоумышленником, как отправленные и подписанные реальным отправителем. Проще говоря, злоумышленник сможет отсылать документ от имени другого пользователя.
Проблема уязвимости открытых ключей, используемых в различных криптографических системах, при пересылке или хранении решается созданием инфраструктуры открытых ключей (PKI).
Как правило, в состав исполнительного комплекса PKI входят следующие основные компоненты:
- Удостоверяющий центр (Certificate Authority, Certificate Manager и т.п.) – главная компонента PKI, предназначенная для выпуска и управления сертификатами, управления базой данных инфраструктуры открытых ключей, назначения политики безопасности для всей организации.
- Регистрационный центр (Registration Authority, Registration Manager и т.п.) - компонент структуры PKI, обеспечивающий функции по аутентификации пользователей и составлению запроса на сертификацию.
В зависимости от поставщика решения в этот комплекс может входить дополнительное программное обеспечение, обеспечивающее следующие функции:
- хранение и восстановление секретных ключей пользователей;
- прием удаленно представленных запросов на получение сертификата (по электронной почте, для систем VPN или от web-браузеров) и распределение полученных сертификатов;
- поддержку криптографических аппаратных устройств;
Что дает внедрение корпоративной PKI:
- создание максимально защищенной корпоративной системы ЭЦП;
- использование ключевой инфраструктуры в системах шифрования данных (SSL - защита конфиденциальной информации при передаче по различным каналам связи, системы защищенного хранения данных и др);
- повышение степени доверия клиентов и поставщиков (к предоставляемым сервисам компании, электронный документооборот и др.) - подтвердив свою подлинность через доверенный УЦ;
- применение двухфакторных систем аутентификации (Token, SmartCard) вместо однофакторный (Login/Password);
- значительно снижается риск раскрытия пользовательских аккаунтов.
Рисунок. Схема работы корпоративного удостоверяющего центра.
