17-04-2010, 03:54 PM
Sadržaj :
1. UVOD 4
2. INFRASTRUKTURA ZA SERTIFIKOVANJE JAVNIH KLJUČEVA (PKI) 6
3. MODULI PKI SISTEMA 11
3.1. Sertifikaciono tijelo (CA) 11
3.2. Operator registracionog tijela (RAO) 14
3.3. Gejtvej 15
3.4. WEB operator registracionog tijela (WebRAO) 15
3.5. WebRAO server 16
3.6. Token menadžer 16
4. IZDAVANJE DIGITALNOG SERTIFIKATA - METODE REGISTRACIJE KORISNIKA 17
4.1 Registracija u ličnom kontaktu 18
4.2. Udaljena registracija 19
4.3. Primjer izdavanja digitalnog sertifikata korisnicima 21
5. SISTEMI ZA DISTRIBUCIJU SERTIFIKATA 23
6. PRAKTIČNI PRIMJER KREIRANJA TESTNOG SERTIFIKACIONOG TJELA ZA IZDAVANJE DIGITALNIH SERTIFIKATA 24
6.1. Preduslovi za kreiranje testnog sertifikacionog tjela 25
6.2. Kreiranje sertifikata za server sertifikacionog tjela 26
6.3. Kreiranje sertifikata za korisnika 30
6.4. Prikaz sertifikata korisnika i zahtjeva za sertifikatom 31
6.5. Procedura izdavanja setrifikata korisnicima 33
7. ZAKLJUČAK 34
LITERATURA 36
1. UVOD
U modernoj eri informatike, kada se podaci obrađuju, prenose i čuvaju u elektronskoj formi, informacije postaju izložene čitanju, kopiranju i neautorizovanoj promjeni. Savremene računarske mreže se, skoro u potpunosti, zasnivaju na Internet tehnologijama. Slabosti koje su uočene u arhitekturi mreža Internet tipa sa aspekta bezbjednosti su da protokoli na kojima se Internet zasniva (TCP/IP) nisu projektovani da zadovolje zahtjeve za zaštitom informacija koje se preko njih prenose. Rješenje ovog problema dinekle pruža kriptologija, nauka koja razmatra različite aspekte obezbjeđivanja tajnosti informacija.
Kriptologija je termin koji potiče od grčke riječi kriptos (skriven, tajan) i logos (nauka), i označava naučnu disciplinu koja se bavi sigurnim (tajnim) komunikacijama. Dvije osnovne, tijesno povezane grane kriptologije su: kriptografija i kriptoanaliza.
Predmet kriptografije je, prije svega, sinteza postupaka za obezbjeđivanje tajnosti informacija, tzv. kripto-zaštitu informacija.
Predmet kriptoanalize je razmatranje metoda kojim se kompromituju („razbijaju“ od strane neovlašćenih korisnika) postupci kripto-zaštite informacije. Primjenom kriptografije realizuju se četiri osnovna bezbjedonosna zahtjeva (servisa):
• tajnost – obezbjeđuje da informacioni sadržaj poruke bude dostupan samo ovlašćenim korisnicima
• integritet – obezbjeđuje otkrivanje neovlašćene izmjene informacionog sadržaja poruke
• autentičnost – omogućava provjeru identiteta učesnika u komunikaciji
• neporečivost – spriječava mogućnost poricanja realizacije određenih aktivnosti učesnika u komunikaciji (kao što su slanje poruke, transakcija i dr.)
Simetrična kriptografija ili tzv. kriptografija tajnih ključeva je najstariji oblik kriptografije, stara gotovo koliko i ljudska komunikacija. Ona se razvijala i koristila kao alat u zaštiti informacija, naročito u vojnim, diplomatskim i državnim komunikacijama. Za proces kriptovanja u simetričnoj kriptografiji potrebno je znati algoritam kriptovanja i tajni ključ, a sigurnost zavisi od sigurnosti algoritma i dužine ključa. Najpoznatiji simetrični algoritmi su DES (eng. Data Encryption Standard), koji koristi ključeve dužine 56 bita i AES (eng. Advanced Encryption Standard), koji koristi ključeve dužine 128, 192 i 256 bita.
Osnovni nedostatak simetričnih algoritama, odn. sistema zasnovanih na simetričnoj kriptografiji jeste upravljanje ključevima tj. njihova distribucija. Prije početka sigurne komunikacije subjekti komunikacije moraju razmijeniti ključeve. Budući da se sigurnost svih zaštićenih (kriptovanih) informacija zasniva na sigurnosti ključa, razmjena ključeva postaje vrlo ozbiljan problem, koji se usložava ako se komunikacija odvija na većoj udaljenosti i u njoj učestvuje više subjekata. Za n subjekata u komunikaciji potrebno je n(n - 1)/2 ključeva. Generisanje i upravljanje ovako velikim brojem ključeva najčešće je nepraktično, a njihova razmjena je nesigurna.
Javni interes za kriptografiju drastično je porastao 1976. god. kada se prvi put javila ideja o infrastrukturi sa javnim ključevima (eng. Public Key Infrastructure, PKI). Naime Whitfield Diffie i Martin Hellman u svojoj publikaciji "New Directions in Cryptography" predstavili su ideju kriptografije bazirane na javnom i privatnom ključu. Tako je utemeljena asimetrična kriptografija ili tzv. kriptografija javnih ključeva čime se dobila mogućnost postizanja tajnosti informacija bez prethodne razmjene tajnog ključa putem (ne)sigurnog komunikacionog kanala.
Osnova sigurnosti asimetričnih algoritama temelji se na nemogućnosti (ili vrlo teškoj mogućnosti) izračunavanja privatnog ključa iz javnog ključa.
1978. god. definisan je prvi praktični, asimetrični algoritam, koji se oznacava sa RSA (početna slova imena njegovih autora Rivesta, Shamira i Adlemana) i koji je iskorišćen za kreiranje digitalnog potpisa (eng. Digital Signature, DS).
1991. god. usvojen je prvi standard digitalnog potpisa, baziran na RSA asimetričnom algoritmu . 1994. god. američka Nacionalna Bezbednosna Agencija (eng. National Security Agency, NSA) razvila je i usvojila standard digitalnog potpisa (eng. Digital Signature Standard, DSS), kako bi omogućila generisanje digitalnog potpisa u svrhu autentifikacije elektronskih dokumenata. Sve ovo, uz ubrzan razvoj savremene komunikacije preko različitih medija (najviše Interneta), dovelo je do realizacije infrastrukture sa javnim ključevima (PKI) koja omogućuje sigurnu komunikaciju preko nesigurnog kanala.
2. INFRASTRUKTURA ZA SERTIFIKOVANJE JAVNIH KLJUČEVA (PKI)
Jedinstvena organizacija za izdavanje sertifikata za cijeli svijet nije dobro rješenje, jer ne bi mogla da izdrži toliko opterećenje. Sa druge strane, ako širom svijeta postoje desetine servera koje čuvaju privatne CA ključeve, znatno se povećavaju šanse da bude ukraden. Zbog ovih razloga razvijen je način ovjere javnih klučeva koji se zove infrastruktura za sertifikovanje javnih ključeva (Public Key Infrastructure, PKI). Infrastruktura sistema sa javnim ključevima (PKI sistem) predstavlja kombinaciju hardverskih i softverskih proizvoda, politika i procedura. PKI sistemi omogućuju osnovno bezbjednosno okruženje koje se zahtjeva u sistemima elektronskog poslovanja (e-business) u kome korisnici, koji se ne poznaju ili su distribuirani po svijetu i nalaze se na velikim udaljenostima, mogu komunicirati bezbjedno kroz mrežu poverenja. PKI sistemi se baziraju na digitalnim identitetima (digital IDs) poznatim pod nazivom digitalni sertifikati koji igraju ulogu svojevrsnih “digitalnih pasoša”, i koji povezuju ime vlasnika datog sertifikata sa njegovim javnim ključem asimetričnog kriptografskog sistema, kao što je na primer RSA algoritam.
Princip rada PKI sistema je prikazan na slici 1. Svaki korisnik koji želi koristiti PKI sistem za zaštitu komunikacije, mora dobiti lične sertifikate. Ustanova koja na zahtjev izdaje sertifikat je ,već pomenuta CA. Nakon što se korisniku izda sertifikat, generiše se par ključeva. Tajni ključ iz para čuva korisnik, dok se javni ključ smješta u bazu ključeva, odakle se distribuira drugim korisnicima koji žele komunicirati sa vlasnikom javnog ključa.Par ključeva može generisati CA ustanova. Sigurnija metoda je da par generiše sam vlasnik, koji javni ključ prosleđuje CA ustanovi radi njegovog smještanja u bazu ključeva, dok tajni zadržava za sebe. Na taj način se osigurava da je samo vlasniku sertifikata poznat tajni ključ. Svaki korisnik koji želi komunicirati sa vlasnikom sertifikata,može od PKI sistema dobiti njegov sertifikat sa javnim ključem. U cilju obezbjeđenja veće sigurnosti, svaki sertifikat se izdaje sa rokom važnosti, po čijem isteku se obnavlja procedura izdavanja sertifikata. Na taj način se smanjuje vrijeme koje neovlašćeni korisnici imaju na raspolaganju, u cilju razbijanja ključa sertifikata i podmetanja lažnog ključa.
![[Slika: 64262324.jpg]](http://img580.imageshack.us/img580/4338/64262324.jpg)
Slika 1. Princip rada PKI sistema
1. UVOD 4
2. INFRASTRUKTURA ZA SERTIFIKOVANJE JAVNIH KLJUČEVA (PKI) 6
3. MODULI PKI SISTEMA 11
3.1. Sertifikaciono tijelo (CA) 11
3.2. Operator registracionog tijela (RAO) 14
3.3. Gejtvej 15
3.4. WEB operator registracionog tijela (WebRAO) 15
3.5. WebRAO server 16
3.6. Token menadžer 16
4. IZDAVANJE DIGITALNOG SERTIFIKATA - METODE REGISTRACIJE KORISNIKA 17
4.1 Registracija u ličnom kontaktu 18
4.2. Udaljena registracija 19
4.3. Primjer izdavanja digitalnog sertifikata korisnicima 21
5. SISTEMI ZA DISTRIBUCIJU SERTIFIKATA 23
6. PRAKTIČNI PRIMJER KREIRANJA TESTNOG SERTIFIKACIONOG TJELA ZA IZDAVANJE DIGITALNIH SERTIFIKATA 24
6.1. Preduslovi za kreiranje testnog sertifikacionog tjela 25
6.2. Kreiranje sertifikata za server sertifikacionog tjela 26
6.3. Kreiranje sertifikata za korisnika 30
6.4. Prikaz sertifikata korisnika i zahtjeva za sertifikatom 31
6.5. Procedura izdavanja setrifikata korisnicima 33
7. ZAKLJUČAK 34
LITERATURA 36
1. UVOD
U modernoj eri informatike, kada se podaci obrađuju, prenose i čuvaju u elektronskoj formi, informacije postaju izložene čitanju, kopiranju i neautorizovanoj promjeni. Savremene računarske mreže se, skoro u potpunosti, zasnivaju na Internet tehnologijama. Slabosti koje su uočene u arhitekturi mreža Internet tipa sa aspekta bezbjednosti su da protokoli na kojima se Internet zasniva (TCP/IP) nisu projektovani da zadovolje zahtjeve za zaštitom informacija koje se preko njih prenose. Rješenje ovog problema dinekle pruža kriptologija, nauka koja razmatra različite aspekte obezbjeđivanja tajnosti informacija.
Kriptologija je termin koji potiče od grčke riječi kriptos (skriven, tajan) i logos (nauka), i označava naučnu disciplinu koja se bavi sigurnim (tajnim) komunikacijama. Dvije osnovne, tijesno povezane grane kriptologije su: kriptografija i kriptoanaliza.
Predmet kriptografije je, prije svega, sinteza postupaka za obezbjeđivanje tajnosti informacija, tzv. kripto-zaštitu informacija.
Predmet kriptoanalize je razmatranje metoda kojim se kompromituju („razbijaju“ od strane neovlašćenih korisnika) postupci kripto-zaštite informacije. Primjenom kriptografije realizuju se četiri osnovna bezbjedonosna zahtjeva (servisa):
• tajnost – obezbjeđuje da informacioni sadržaj poruke bude dostupan samo ovlašćenim korisnicima
• integritet – obezbjeđuje otkrivanje neovlašćene izmjene informacionog sadržaja poruke
• autentičnost – omogućava provjeru identiteta učesnika u komunikaciji
• neporečivost – spriječava mogućnost poricanja realizacije određenih aktivnosti učesnika u komunikaciji (kao što su slanje poruke, transakcija i dr.)
Simetrična kriptografija ili tzv. kriptografija tajnih ključeva je najstariji oblik kriptografije, stara gotovo koliko i ljudska komunikacija. Ona se razvijala i koristila kao alat u zaštiti informacija, naročito u vojnim, diplomatskim i državnim komunikacijama. Za proces kriptovanja u simetričnoj kriptografiji potrebno je znati algoritam kriptovanja i tajni ključ, a sigurnost zavisi od sigurnosti algoritma i dužine ključa. Najpoznatiji simetrični algoritmi su DES (eng. Data Encryption Standard), koji koristi ključeve dužine 56 bita i AES (eng. Advanced Encryption Standard), koji koristi ključeve dužine 128, 192 i 256 bita.
Osnovni nedostatak simetričnih algoritama, odn. sistema zasnovanih na simetričnoj kriptografiji jeste upravljanje ključevima tj. njihova distribucija. Prije početka sigurne komunikacije subjekti komunikacije moraju razmijeniti ključeve. Budući da se sigurnost svih zaštićenih (kriptovanih) informacija zasniva na sigurnosti ključa, razmjena ključeva postaje vrlo ozbiljan problem, koji se usložava ako se komunikacija odvija na većoj udaljenosti i u njoj učestvuje više subjekata. Za n subjekata u komunikaciji potrebno je n(n - 1)/2 ključeva. Generisanje i upravljanje ovako velikim brojem ključeva najčešće je nepraktično, a njihova razmjena je nesigurna.
Javni interes za kriptografiju drastično je porastao 1976. god. kada se prvi put javila ideja o infrastrukturi sa javnim ključevima (eng. Public Key Infrastructure, PKI). Naime Whitfield Diffie i Martin Hellman u svojoj publikaciji "New Directions in Cryptography" predstavili su ideju kriptografije bazirane na javnom i privatnom ključu. Tako je utemeljena asimetrična kriptografija ili tzv. kriptografija javnih ključeva čime se dobila mogućnost postizanja tajnosti informacija bez prethodne razmjene tajnog ključa putem (ne)sigurnog komunikacionog kanala.
Osnova sigurnosti asimetričnih algoritama temelji se na nemogućnosti (ili vrlo teškoj mogućnosti) izračunavanja privatnog ključa iz javnog ključa.
1978. god. definisan je prvi praktični, asimetrični algoritam, koji se oznacava sa RSA (početna slova imena njegovih autora Rivesta, Shamira i Adlemana) i koji je iskorišćen za kreiranje digitalnog potpisa (eng. Digital Signature, DS).
1991. god. usvojen je prvi standard digitalnog potpisa, baziran na RSA asimetričnom algoritmu . 1994. god. američka Nacionalna Bezbednosna Agencija (eng. National Security Agency, NSA) razvila je i usvojila standard digitalnog potpisa (eng. Digital Signature Standard, DSS), kako bi omogućila generisanje digitalnog potpisa u svrhu autentifikacije elektronskih dokumenata. Sve ovo, uz ubrzan razvoj savremene komunikacije preko različitih medija (najviše Interneta), dovelo je do realizacije infrastrukture sa javnim ključevima (PKI) koja omogućuje sigurnu komunikaciju preko nesigurnog kanala.
2. INFRASTRUKTURA ZA SERTIFIKOVANJE JAVNIH KLJUČEVA (PKI)
Jedinstvena organizacija za izdavanje sertifikata za cijeli svijet nije dobro rješenje, jer ne bi mogla da izdrži toliko opterećenje. Sa druge strane, ako širom svijeta postoje desetine servera koje čuvaju privatne CA ključeve, znatno se povećavaju šanse da bude ukraden. Zbog ovih razloga razvijen je način ovjere javnih klučeva koji se zove infrastruktura za sertifikovanje javnih ključeva (Public Key Infrastructure, PKI). Infrastruktura sistema sa javnim ključevima (PKI sistem) predstavlja kombinaciju hardverskih i softverskih proizvoda, politika i procedura. PKI sistemi omogućuju osnovno bezbjednosno okruženje koje se zahtjeva u sistemima elektronskog poslovanja (e-business) u kome korisnici, koji se ne poznaju ili su distribuirani po svijetu i nalaze se na velikim udaljenostima, mogu komunicirati bezbjedno kroz mrežu poverenja. PKI sistemi se baziraju na digitalnim identitetima (digital IDs) poznatim pod nazivom digitalni sertifikati koji igraju ulogu svojevrsnih “digitalnih pasoša”, i koji povezuju ime vlasnika datog sertifikata sa njegovim javnim ključem asimetričnog kriptografskog sistema, kao što je na primer RSA algoritam.
Princip rada PKI sistema je prikazan na slici 1. Svaki korisnik koji želi koristiti PKI sistem za zaštitu komunikacije, mora dobiti lične sertifikate. Ustanova koja na zahtjev izdaje sertifikat je ,već pomenuta CA. Nakon što se korisniku izda sertifikat, generiše se par ključeva. Tajni ključ iz para čuva korisnik, dok se javni ključ smješta u bazu ključeva, odakle se distribuira drugim korisnicima koji žele komunicirati sa vlasnikom javnog ključa.Par ključeva može generisati CA ustanova. Sigurnija metoda je da par generiše sam vlasnik, koji javni ključ prosleđuje CA ustanovi radi njegovog smještanja u bazu ključeva, dok tajni zadržava za sebe. Na taj način se osigurava da je samo vlasniku sertifikata poznat tajni ključ. Svaki korisnik koji želi komunicirati sa vlasnikom sertifikata,može od PKI sistema dobiti njegov sertifikat sa javnim ključem. U cilju obezbjeđenja veće sigurnosti, svaki sertifikat se izdaje sa rokom važnosti, po čijem isteku se obnavlja procedura izdavanja sertifikata. Na taj način se smanjuje vrijeme koje neovlašćeni korisnici imaju na raspolaganju, u cilju razbijanja ključa sertifikata i podmetanja lažnog ključa.
Slika 1. Princip rada PKI sistema