Certificate digitale. Riscuri de securitate
O semnătură digitală în sine nu oferă o legătură puternică cu o persoană sau o
entitate. Cum se poate şti că o cheie publică utilizată pentru a crea o semnătură digitală
aparţine într-adevăr unui individ anume şi că acea cheie este încă validă? Pentru acest
lucru este necesar un mecanism care să ofere o legătură între cheie publică şi un individ
real, funcţie îndeplinită de certificatele digitale.
Certificatele digitale pot oferi un nivel ridicat de încredere asupra faptului că
persoana al cărei nume apare pe acel certificat are ca şi corespondent o anumită cheie
publică. Această încredere este realizată prin utilizarea unei terţe părţi, cunoscută sub
numele de Autoritate de Certificare (Certificate Authority - CA). O autoritate de
certificare semnează un certificat în calitate de garant pentru identitatea unei persoane al
cărei nume apare pe certificatul respectiv. Formatul curent acceptat pentru certificate
digitale este X.509v3.
Standardul X.509v3 definit în RFC 2459 descrie un format agreat de certificate
digitale. Acest standard defineşte elementele unui certificat:
• Certificate Version - indică versiunea formatului unui certificat;
• Serial Number - un număr unic asignat de către autoritatea de certificare,
utilizat pentru urmărirea certificatelor;
• Signature - identifică algoritmul de criptare şi funcţiile de tip message digest
suportate de CA;
• Issuer name - numele emitentului (al CA);
• Period of Validity - datele între care certificatul este valid. Această perioadă
nu exclude ca certificatul să fie revocat;
• Subject - numele proprietarului certificatului;
• Subject's Public Key Info - cheia publică şi algoritmul asociat cu câmpul
Subject;
72 Cap. 7 - Tehnici, servicii şi soluţii de securitate pentru Intranet-uri şi portaluri
• Issuer Unique ID - un câmp opţional utilizat pentru a identifica emitentul
certificatului sau autoritatea de certificare. Utilizarea acestui câmp nu este
recomandată în RFC 2459;
• Extensions - câmp opţional utilizat pentru extensii proprietare. Acest câmp
nu este definit dar cuprinde articole precum: alte denumiri ale subiectului,
informaţii pentru utilizarea cheilor şi punctele de distribuţie a listelor de
revocare a certificatelor (Certificare Revocation List - CRL);
• Encrypted - acest câmp conţine semnătura în sine, identificatorul
algoritmului, hash-ul securizat al celorlalte câmpuri din certificat şi o
semnătură digitală a hash-ului.
Formatul certificatului digital este relativ uşor de înţeles, dar schimbul de
certificate între persoane poate ridica anumite dificultăţi. Asigurarea faptului că un
certificat aparţine unui utilizator anume este dificil de realizat. De exemplu, într-o
organizaţie pot exista mai multe persoane cu numele Ioan Popescu, dar numai unul
dintre ei este utilizatorul vizat al certificatului.
Certificatele necesită mijloace de gestionare a creării acestora, distribuirea lor,
stocarea centralizată, revocarea, backup-ul cheilor şi actualizarea acestora. Acest sistem
de management este cunoscut sub numele de infrastructura de chei publice ( Public Key
Infrastructure - PKI).
O infrastructură de chei publice este o arhitectură de securitate creată pentru a
facilita instalarea tehnologiei de chei publice. Între componentele unui PKI se pot
număra un depozit de certificate (de obicei un serviciu director compatibil LDAP),
certificatele digitale, listele de revocare a certificatelor (CRL), software-ul pentru aceste
aplicaţii, precum şi aspectul uman al acestor proceduri.
O PKI cuprinde câteva servicii de bază de securitate între care se numără
autentificarea utilizatorilor, confidenţialitatea şi integritatea, ajutând de asemenea la
implementarea nerepudierii.
O autoritate de certificare este o componentă a infrastructurii generale de chei
publice şi este o componentă critică pentru o implementare la scară a acestei
infrastructuri. Funcţia principală a unei autorităţi de certificare este aceea de a certifica
faptul că perechea cheie publică / cheie privată aparţine într-adevăr unui individ anume.
Obţinerea certificatelor digitale se poate face în mai multe moduri, în funcţie de
scopul acestora. De exemplu, se poate utiliza Microsoft Certificate Services din
Windows 2000/2003 pentru a instala certificate auto-emise.
O altă opţiune este obţinerea unor certificate de la un distribuitor de certificate.
Unul dintre cei mai mari distribuitori este VeriSign. Acesta oferă certificate pentru
S/MIME, SSL (client şi server), Server Gated Cryptography (SGC) pentru instituţii
financiare, certificate de tip Authenticode pentru publicarea de software, etc.
Certificatele digitale pot reprezenta un mecanism puternic de autentificare, în
special în momentul în care sunt stocate pe smart card-uri. Dar, pentru ca certificatele
digitale să reprezinte o securitate adecvată, trebuie rezolvate mai întâi problemele de
încredere. De exemplu, o autoritate de certificare trebuie să posede mecanisme de
securitate puternice pentru a identifica în mod pozitiv toţi participanţii care doresc
asemenea certificate. Întrebarea "cât de bine identifică o autoritate de certificare un
viitor posesor?" determină securitatea de ansamblu a infrastructurii de chei publice.
Dacă scopul unui certificat este de a lega un individ de o semnătură digitală,
cum se poate cunoaşte că certificatul aparţine într-adevăr persoanei reale şi nu unui
73 Securitatea sistemelor informatice
impostor? Poate că certificatul aparţine unui utilizator neintenţionat cu acelaşi nume ca
şi al utilizatorului real. Multe certificate se bazează pe numele care apar în câmpul
Subject pentru a identifica posesorul.
În cazul în care funcţia unei autorităţi de certificare este aceea de a certifica
identitatea unui individ şi de a oferi servicii de nerepudiere, acest lucru ridică şi
probleme de răspundere sau obligaţie.
O altă problemă cu certificatele digitale este reprezentată de faptul că listele de
revocare a certificatelor (CRL) sunt verificate foarte rar, inclusiv de către browser-ele
Web. Un certificat poate fi revocat din mai multe motive, între care se numără
compromiterea cheii, compromiterea autorităţii de certificare sau o schimbare a
autorităţii de certificare. Problemele legate de distribuirea listelor de revocare a
certificatelor nu au fost încă rezolvate pe deplin.
.jpg)
.jpg)
