Zawartość
- Co to jest PKI?
- Bez błędów, bez stresu - Twój przewodnik krok po kroku do tworzenia oprogramowania zmieniającego życie bez niszczenia życia
- Plusy i minusy infrastruktury klucza publicznego
- Przyszłość PKI
Na wynos:
Złożoność i koszt początkowy PKI zniechęciły niektóre organizacje do podjęcia go, ale wiele innych dużych organizacji dokonuje tej zmiany.
Wszystko jest połączone. iPady, iPody, iPhone'y, a nawet telefony stacjonarne są podłączone do tej stosunkowo nowej granicy, którą nazywamy internetem. Dostępność informacji stała się tak powszechna, że ilekroć okoliczności uniemożliwiają komuś sprawdzenie konta, konta lub strony na żądanie, zbyt powszechna reakcja jest zbliżona do sytuacji, w której ktoś tymczasowo traci użycie ręki lub nogi. Najpierw pojawia się niewiara, potem panika, a potem pełna determinacja, by odzyskać to połączenie.
Ale chociaż nasze pragnienie pozostania w kontakcie jest prawdopodobnie naturalne, budzi również pewne obawy dotyczące bezpieczeństwa. W końcu, jeśli wszystkie wyżej wymienione konta są dostępne dla użytkownika końcowego 24/7, czy mogą być one również dostępne dla oszustów? Ponadto bezpieczeństwo tych kont jest w dużej mierze poza naszą kontrolą; możesz dołożyć wszelkich starań na świecie, aby zapewnić ich bezpieczeństwo, ale co z osobą obsługującą serwer na drugim końcu?
W branży bezpieczeństwa podjęto wiele prób rozwiązania tych problemów. Infrastruktura klucza publicznego (PKI) jest jednym ważnym kluczem w tej eksploracji. Jak bezpieczne są twoje dane? Przyjrzymy się bliżej technologii PKI zaprojektowanej w celu jej ochrony. (Aby dowiedzieć się więcej na temat kluczy szyfrowania, zobacz 10 najlepszych praktyk dotyczących zarządzania kluczami szyfrowania i bezpieczeństwa danych).
Co to jest PKI?
Infrastruktura klucza publicznego to zestaw sprzętu, oprogramowania, personelu i innych podmiotów zaangażowanych w komunikację za pośrednictwem certyfikatów cyfrowych. Mówiąc dokładniej, znaczna część PKI to koncepcja znana jako szyfrowanie klucza publicznego (PKE). Jest to podstawa PKI, podobnie jak silniki palne stanowią trzon przemysłu motoryzacyjnego; PKE jest niezbędnym składnikiem, który sprawia, że PKI działa.
Pomijając kolorowe analogie, czym dokładnie jest PKI / PKE i jak może zapewnić rozwiązanie bezpieczeństwa? Dobre pytanie. Szyfrowanie klucza publicznego (czasami nazywane kryptografią klucza publicznego) polega na uwierzytelnianiu i szyfrowaniu poprzez wymianę kluczy publicznych. Te klucze publiczne są zwykle nazywane certyfikatami cyfrowymi. Mają matematyczny związek z kluczem prywatnym użytkownika końcowego, który zazwyczaj opiera się na algorytmie kryptograficznym Diffie-Hellmana lub algorytmie RSA, w którym poniższa formuła jest punktem wyjścia do wymiany kluczy publicznych między dwiema stronami, które chcą się komunikować zdalnie:
(A * B)do mod N
Gdzie:
A = Użytkownik końcowy 1
B = użytkownik końcowy 2
C = klucz sesji
N = liczba pierwsza
Bez błędów, bez stresu - Twój przewodnik krok po kroku do tworzenia oprogramowania zmieniającego życie bez niszczenia życia
Nie możesz poprawić swoich umiejętności programistycznych, gdy nikt nie dba o jakość oprogramowania.
Po ustanowieniu relacji matematycznej i po wymianie kluczy publicznych między dwiema lub większą liczbą stron szyfrowana komunikacja może (przynajmniej teoretycznie) zostać wymieniona. Ponadto wszystkie zainteresowane strony mogą (ponownie teoretycznie) uwierzytelniać się nawzajem za pomocą podpisów cyfrowych.
Brzmi tak prosto, prawda? Z całą powagą, PKI jest faktycznie raczej skuteczna i wydajna, gdy jest praktykowana w środowiskach, w których niewielka liczba użytkowników komunikuje się ze sobą, ale pewne ważne problemy pojawiają się, gdy PKI jest wdrażana w przedsiębiorstwie. (Aby uzyskać więcej informacji na temat bezpieczeństwa w Internecie, zobacz 9 wskazówek, jak zachować prywatność korzystania z Internetu).
Plusy i minusy infrastruktury klucza publicznego
Po prawidłowym wdrożeniu PKI może zapewnić poziom bezpieczeństwa, który nie jest łatwo dopasowany przez inne rozwiązania bezpieczeństwa. Jedną z głównych zalet PKI, która pozwala na taki poziom bezpieczeństwa, jest koncepcja znana jako brak odrzucenia. W przypadku bezpieczeństwa sieci brak odrzucenia odnosi się po prostu do idei, że dwóch lub więcej użytkowników, którzy chcą się ze sobą bezpiecznie komunikować, nie muszą wymieniać tajnych kluczy, haseł, tajnych uścisków dłoni ani niczego innego, co w innym przypadku byłoby potrzebne do odszyfrowania. Ta właściwość wynika w dużej mierze z wyżej wymienionych algorytmów kryptograficznych, które tworzą matematyczny związek między parami kluczy publicznych i prywatnych. Zasadniczo każdy użytkownik końcowy jest odpowiedzialny za poufność swojego klucza prywatnego, podczas gdy inne rozwiązania bezpieczeństwa utrzymują centralne repozytoria, w których przechowywane są tajne klucze, hasła i inne takie poufne informacje.
Główną wadą PKI jest zwykle obciążenie sieci. Narzut sieci związany z PKI jest znaczny w porównaniu z innymi rozwiązaniami bezpieczeństwa. Na przykład wyżej wymienione algorytmy, w których pary kluczy publicznych i prywatnych są generowane i wymieniane, mogą czasami zużywać duże ilości zasobów sieciowych.
PKI obejmuje również znacznie więcej niż zwykłą wymianę kluczy publicznych i prywatnych. Na przykład listy odwołania certyfikatów (CRL) muszą być utrzymywane w celu prawidłowego śledzenia ważnych i nieważnych certyfikatów. W typowym środowisku korporacyjnym pewna fluktuacja personelu jest faktem, a administratorzy bezpieczeństwa muszą mieć sposób, aby być na bieżąco z tym, kto jest, a kto nie jest upoważniony do dostępu do sieci. Jeśli zatrudnienie użytkowników końcowych zostanie zakończone w ramach danej organizacji, jedynym sensownym rozwiązaniem jest odwołanie dostępu do sieci dla pracowników. Ale te listy CRL muszą być gdzieś przechowywane i utrzymywane, co oznacza - zgadłeś - więcej zasobów sieciowych jest zużywanych.
Przyszłość PKI
Obecnie infrastruktura klucza publicznego jest uważana za niemały obowiązek do wdrożenia w przemyśle prywatnym. Złożoność PKI w połączeniu z początkowymi kosztami zniechęciły niektóre organizacje do podjęcia wysiłku. Jednak Departament Obrony dokonał dobrze udokumentowanego przejścia na PKI w ostatnich latach, poświęcając na to znaczną ilość czasu i skarbów. Dodaj do tego liczbę prywatnych firm kontraktowych, które polegają na prowadzeniu interesów z rządowym sektorem bezpieczeństwa informacji, i łatwo jest uzyskać poczucie, że istnieje pewna trwałość PKI.
Czy PKI zostanie tutaj? Wydaje się, że tak właśnie jest, a jedynym scenariuszem, który może spowodować odwrócenie kursu, byłoby wykrycie, wykorzystanie i nagłośnienie luki w zabezpieczeniach.