Diplomski - Distribucija i ovjera kljuceva -elektronsko poslovanje

Tema: Distribucija i ovjera ključeva

Predmet: Bezbjednost računarskih mreža

Sadržaj :
1. UVOD 4
2. INFRASTRUKTURA ZA SERTIFIKOVANJE JAVNIH KLJUČEVA (PKI) 6
3. MODULI PKI SISTEMA 11
3.1. Sertifikaciono tijelo (CA) 11
3.2. Operator registracionog tijela (RAO) 14
3.3. Gejtvej 15
3.4. WEB operator registracionog tijela (WebRAO) 15
3.5. WebRAO server 16
3.6. Token menadžer 16
4. IZDAVANJE DIGITALNOG SERTIFIKATA - METODE REGISTRACIJE KORISNIKA 17
4.1 Registracija u ličnom kontaktu 18
4.2. Udaljena registracija 19
4.3. Primjer izdavanja digitalnog sertifikata korisnicima 21
5. SISTEMI ZA DISTRIBUCIJU SERTIFIKATA 23
6. PRAKTIČNI PRIMJER KREIRANJA TESTNOG SERTIFIKACIONOG TJELA ZA IZDAVANJE DIGITALNIH SERTIFIKATA 24
6.1. Preduslovi za kreiranje testnog sertifikacionog tjela 25
6.2. Kreiranje sertifikata za server sertifikacionog tjela 26
6.3. Kreiranje sertifikata za korisnika 30
6.4. Prikaz sertifikata korisnika i zahtjeva za sertifikatom 31
6.5. Procedura izdavanja setrifikata korisnicima 33
7. ZAKLJUČAK 34
LITERATURA 36


U modernoj eri informatike, kada se podaci obrađuju, prenose i čuvaju u elektronskoj formi, informacije postaju izložene čitanju, kopiranju i neautorizovanoj promjeni. Savremene računarske mreže se, skoro u potpunosti, zasnivaju na Internet tehnologijama. Slabosti koje su uočene u arhitekturi mreža Internet tipa sa aspekta bezbjednosti su da protokoli na kojima se Internet zasniva (TCP/IP) nisu projektovani da zadovolje zahtjeve za zaštitom informacija koje se preko njih prenose. Rješenje ovog problema dinekle pruža kriptologija, nauka koja razmatra različite aspekte obezbjeđivanja tajnosti informacija.

Kriptologija je termin koji potiče od grčke riječi kriptos (skriven, tajan) i logos (nauka), i označava naučnu disciplinu koja se bavi sigurnim (tajnim) komunikacijama. Dvije osnovne, tijesno povezane grane kriptologije su: kriptografija i kriptoanaliza.

Predmet kriptografije je, prije svega, sinteza postupaka za obezbjeđivanje tajnosti informacija, tzv. kripto-zaštitu informacija.

Predmet kriptoanalize je razmatranje metoda kojim se kompromituju („razbijaju“ od strane neovlašćenih korisnika) postupci kripto-zaštite informacije. Primjenom kriptografije realizuju se četiri osnovna bezbjedonosna zahtjeva (servisa):

• tajnost – obezbjeđuje da informacioni sadržaj poruke bude dostupan samo ovlašćenim korisnicima
• integritet – obezbjeđuje otkrivanje neovlašćene izmjene informacionog sadržaja poruke
• autentičnost – omogućava provjeru identiteta učesnika u komunikaciji
• neporečivost – spriječava mogućnost poricanja realizacije određenih aktivnosti učesnika u komunikaciji (kao što su slanje poruke, transakcija i dr.)

Simetrična kriptografija ili tzv. kriptografija tajnih ključeva je najstariji oblik kriptografije, stara gotovo koliko i ljudska komunikacija. Ona se razvijala i koristila kao alat u zaštiti informacija, naročito u vojnim, diplomatskim i državnim komunikacijama. Za proces kriptovanja u simetričnoj kriptografiji potrebno je znati algoritam kriptovanja i tajni ključ, a sigurnost zavisi od sigurnosti algoritma i dužine ključa. Najpoznatiji simetrični algoritmi su DES (eng. Data Encryption Standard), koji koristi ključeve dužine 56 bita i AES (eng. Advanced Encryption Standard), koji koristi ključeve dužine 128, 192 i 256 bita.

Osnovni nedostatak simetričnih algoritama, odn. sistema zasnovanih na simetričnoj kriptografiji jeste upravljanje ključevima tj. njihova distribucija. Prije početka sigurne komunikacije subjekti komunikacije moraju razmijeniti ključeve. Budući da se sigurnost svih zaštićenih (kriptovanih) informacija zasniva na sigurnosti ključa, razmjena ključeva postaje vrlo ozbiljan problem, koji se usložava ako se komunikacija odvija na većoj udaljenosti i u njoj učestvuje više subjekata. Za n subjekata u komunikaciji potrebno je n(n - 1)/2 ključeva. Generisanje i upravljanje ovako velikim brojem ključeva najčešće je nepraktično, a njihova razmjena je nesigurna.

Javni interes za kriptografiju drastično je porastao 1976. god. kada se prvi put javila ideja o infrastrukturi sa javnim ključevima (eng. Public Key Infrastructure, PKI). Naime Whitfield Diffie i Martin Hellman u svojoj publikaciji "New Directions in Cryptography" predstavili su ideju kriptografije bazirane na javnom i privatnom ključu. Tako je utemeljena asimetrična kriptografija ili tzv. kriptografija javnih ključeva čime se dobila mogućnost postizanja tajnosti informacija bez prethodne razmjene tajnog ključa putem (ne)sigurnog komunikacionog kanala. Osnova sigurnosti asimetričnih algoritama temelji se na nemogućnosti (ili vrlo teškoj mogućnosti) izračunavanja privatnog ključa iz javnog ključa.

1978. god. definisan je prvi praktični, asimetrični algoritam, koji se oznacava sa RSA (početna slova imena njegovih autora Rivesta, Shamira i Adlemana) i koji je iskorišćen za kreiranje digitalnog potpisa (eng. Digital Signature, DS).

1991. god. usvojen je prvi standard digitalnog potpisa, baziran na RSA asimetričnom algoritmu . 1994. god. američka Nacionalna Bezbednosna Agencija (eng. National Security Agency, NSA) razvila je i usvojila standard digitalnog potpisa (eng. Digital Signature Standard, DSS), kako bi omogućila generisanje digitalnog potpisa u svrhu autentifikacije elektronskih dokumenata. Sve ovo, uz ubrzan razvoj savremene komunikacije preko različitih medija (najviše Interneta), dovelo je do realizacije infrastrukture sa javnim ključevima (PKI) koja omogućuje sigurnu komunikaciju preko nesigurnog kanala.

2. INFRASTRUKTURA ZA SERTIFIKOVANJE JAVNIH KLJUČEVA (PKI)

Jedinstvena organizacija za izdavanje sertifikata za cijeli svijet nije dobro rješenje, jer ne bi mogla da izdrži toliko opterećenje. Sa druge strane, ako širom svijeta postoje desetine servera koje čuvaju privatne CA ključeve, znatno se povećavaju šanse da bude ukraden. Zbog ovih razloga razvijen je način ovjere javnih klučeva koji se zove infrastruktura za sertifikovanje javnih ključeva (Public Key Infrastructure, PKI). Infrastruktura sistema sa javnim ključevima (PKI sistem) predstavlja kombinaciju hardverskih i softverskih proizvoda, politika i procedura. PKI sistemi omogućuju osnovno bezbjednosno okruženje koje se zahtjeva u sistemima elektronskog poslovanja (e-business) u kome korisnici, koji se ne poznaju ili su distribuirani po svijetu i nalaze se na velikim udaljenostima, mogu komunicirati bezbjedno kroz mrežu poverenja. PKI sistemi se baziraju na digitalnim identitetima (digital IDs) poznatim pod nazivom digitalni sertifikati koji igraju ulogu svojevrsnih “digitalnih pasoša”, i koji povezuju ime vlasnika datog sertifikata sa njegovim javnim ključem asimetričnog kriptografskog sistema, kao što je na primer RSA algoritam.

Princip rada PKI sistema je prikazan na slici 1. Svaki korisnik koji želi koristiti PKI sistem za zaštitu komunikacije, mora dobiti lične sertifikate. Ustanova koja na zahtjev izdaje sertifikat je ,već pomenuta CA. Nakon što se korisniku izda sertifikat, generiše se par ključeva. Tajni ključ iz para čuva korisnik, dok se javni ključ smješta u bazu ključeva, odakle se distribuira drugim korisnicima koji žele komunicirati sa vlasnikom javnog ključa.Par ključeva može generisati CA ustanova. Sigurnija metoda je da par generiše sam vlasnik, koji javni ključ prosleđuje CA ustanovi radi njegovog smještanja u bazu ključeva, dok tajni zadržava za sebe. Na taj način se osigurava da je samo vlasniku sertifikata poznat tajni ključ. Svaki korisnik koji želi komunicirati sa vlasnikom sertifikata,može od PKI sistema dobiti njegov sertifikat sa javnim ključem. U cilju obezbjeđenja veće sigurnosti, svaki sertifikat se izdaje sa rokom važnosti, po čijem isteku se obnavlja procedura izdavanja sertifikata. Na taj način se smanjuje vrijeme koje neovlašćeni korisnici imaju na raspolaganju, u cilju razbijanja ključa sertifikata i podmetanja lažnog ključa.

7. ZAKLJUČAK

Sve brži razvoj informacionih sistema i promet elektronskih dokumenata u državnoj administraciji, bankarstvu, pravosuđu i ostalim sferama društva, kao i komuniciranje u otvorenim mrežama bez direktnog ličnog kontakta, zahtjeva nove oblike utvrđivanja identiteta i zaštite sadržaja koji se razmjenjuje.

Dok se funkcije zaštite tajnosti i integriteta podataka mogu realizovati i primjenom tradicionalnih simetričnih tehnika, funkcije autentičnosti i neporecivosti transakcija zahtjevaju primjenu asimetričnih kriptografskih sistema. Najbolje karakteristike pokazuju sistemi u kojima su realizovane sve pomenute četiri funkcije.Infrastruktura sa javnim ključevima (PKI) obezbjeđuje pouzdan metod za realizaciju sva četiri osnovna bezbjedonosna zahtjeva (servisa), koji je baziran na precizno utvrđenoj politici rada.Ona će brzo postati ključna karika svih sistema elektronske trgovine i korporacijske bezbjednosti i sigurno će dominirati u bezbjedonosnim sistemima budućnosti.
Suština PKI je uspostavljanje povjerenja između dva entiteta, koje se zasniva na međusobnoj autentifikaciji i razmjeni kriptografskog materijala za buduću šifrovanu komunikaciju. Pri tome, koriste se usluge institucije od visokog povjerenja – sertifikacionog tijela (CA). U okviru digitalnog sertifikata koji izdaje sertifikaciono tijelo korisniku, nalazi se, pored ostalog, i korisnikov javni kriptografski ključ. Sertifikaciono tijelo garantuje tačnost podataka u sertifikatu tj. garantuje da javni ključ koji se nalazi u sertifikatu pripada korisniku čiji su podaci navedeni u tom istom sertifikatu.Zbog toga ostali korisnici na Internetu, ukoliko imaju povjerenje u sertifikaciono tijelo, mogu da budu sigurni da određeni javni ključ zaista pripada korisniku koji je vlasnik pripadajućeg tajnog ključa.

AES - Advanced Encryption Standard
ARL - Authority Revocation List
CA - Certification Authority
CRL - Certificate Revocation List
CPS - Certificate Practice Statement
CDP - Certificate Distribution Points
DAP - Directory Acces Protocol
DES - Data Encryption Standard
DSA - Digital Signature Algorithm
DSS - Digital Signature Standard
ECDSA - Elliptic Curve Digital Signature Algorithm
IDEA - International Data Encryption Algorithm
LAN - Local Area Network
LDAP - Lightweight DirectoryAccess Protocol
MAC – Message Authentication Code
OSCP - Online Certificate
PIN - Personal Identification Number
PKI - Public Key Infrastructure
VPN - Virtual Private Networks
3DES - Triple Data Encryption Standard

LITERATURA:

[1] D.Pevac, Internet :arhitektura i protokoli – Viša škola za informacione i komunikacione tehnologije, 2005

[2] R.Vojinović, Osnovi bezbjednosti računarskih mreža, Podgorica – Univerzitet "Mediteran", 2009

[3] D.Pleskonjić, N.Maček, B.Đorđević, M.Carić, Sigurnost računarskih sistema i mreža, Mikro knjiga, 2007

[4] J.Kurose, K.Ross, Umrežavanje računara – od vrha ka dnu, Računarski fakultet Beograd, CET Beograd, 2005

[5] Rivest, R., Shamir, A., Adleman, L., “A Method for Obtaining Digital Signatures and Public-Key Cryptosystems,” Communications of the ACM, Vol. 21, No. 2, pp. 120-126, Feb. 1978.

[6] RSA Laboratories, PKCS#7: Cryptographic Message Syntax Standard, Version 1.5, November 1993.

[7] B.Schneier, Applied Cryptography: Protocols, Algorithms, and Source Code in C, John Wiley & Sons, 1995.

[8] R.Oppliger, Internet and Intranet Security, Artech House, 1998.

[9] RSA Laboratories, PKCS#1: RSA Encryption Standard, Version 1.5, November 1993.

[10] Web strana Sertifikacionog tjela Pošte: http://www.cepp.co.yu/ca.

[11] OpenSSL Web strana: http://www.openssl.org.

[12] The Apache + SSL on Win32 HOWTO: http://tud.at/programm/apache-ssl-win32- howto.php3.

[13] Preuzimanje i instalisanje sertifikata za Web server Apache, Korisničko uputstvo, Sertifikaciono tjelo Pošte, 2005. (http://www.cepp.co.yu/ca/dokumentacija).

[14] http://www.emonca.com

[15] http://www.entrust.com

[16] http://www.fineprint.com

[17] http://www.cepp.co.yu

[18] http://www.ucf.so.ac.yu