The right platform. The right time. now. Использование PKI для создания безопасных сетей Александр Шаповал Системный инженер

Содержание Немного о криптологии Что такое инфраструктура открытого ключа? Реализация PKI в Windows 2000 Использование Windows 2000 PKI в сетевой среде

Немного о криптологии

Криптология Криптология – область знаний, охватывающая два направления: –криптография - наука о способах преобразования (шифрования) информации с целью ее защиты от незаконных пользователей –криптоанализ - наука (и практика ее применения) о методах и способах вскрытия шифров

Асимметричное шифрование – пара ключей: открытый и личный Симметричное шифрование – один ключ Методы шифрования Алгоритм шифрования Алгоритм расшифрования... Совершенно J)Г(?л*Щ)(&(*(#Xlk ;oD; Алгоритм шифрования Алгоритм расшифрования... Совершенно J)Г(?л*Щ)(&(*(#Xlk ;oD;

Использование асимметричных методов: (шифрование) Алгоритм шифрования @;o)J)Г(?л(&(*(#Xl; Алгоритм расшифрования Личный ключ

Использование асимметричных методов: (цифровая подпись) Digest Алгоритм расшифрования Личный ключ Алгоритм (#Xl; (#Xl; Digest Открытый ключ HashHash

Плюсы и минусы Симметричные алгоритмы –скорость, эффективность, небольшие накладные расходы –проблема обмена ключами Асимметричные алгоритмы –сложность, вычислительные расходы –эффективный обмен ключами Используется комбинация обоих методов

Алгоритмы Windows 2000 Симметричное шифрование –Data Encryption Standard (DES) DES: 56 бит DESX: 128 бит Triple DES: 112 бит, 168 бит –Rivests Cipher (RC) RC2, RC4: 40 бит, 56 бит, 128 бит Обмен ключами –Diffie-Hellman Key Agreement –RSA Key Exchange

Алгоритмы Windows 2000 Хеширование –Message Digest (MD) MD2, MD4, MD5 –Secure Hash Algorithm (SHA-1) –Hashed Message Authentication Code (HMAC) Цифровая подпись –Digital Signature Algorithm (DSA) –RSA Digital Signature

CSP и CryptoAPI CryptoAPI –Программные интерфейсы к криптографическим службам Windows 2000 Cryptographic Service Provider –Криптографические операции –Генерация и хранение ключей Microsoft CSPs –Базовый набор –High Encryption Pack

CSP и CryptoAPI CSP #1 Advapi32.dllCrypt32.dllAdvapi32.dllCrypt32.dll Приложение A CSP #2 CSP #3 CSP #4 Приложение A Слой приложений Системный слой Слой поставщиков CryptoAPI CryptoSPI

Что такое инфраструктура открытого ключа?

Почему нужна инфраструктура? Необходимо быть уверенным, что полученный ключ – ключ отправителя Открытые ключи должны быть подписаны легитимным органом Легитимный орган –отдел кадров –министерство –коммерческая организация

Почему нужна инфраструктура? Необходима служба, с помощью которой можно эффективно управлять распределением открытых ключей

Компоненты Certification Authority (CA) –Политики выдачи сертификатов –Хранилище сертификатов Registration Authority (RA) Список отозванных сертификатов (CRL) –Протокол проверки легитимности сертификата Структура доверия Центров сертификации –Иерархия Центров сертификации –Кросс-сертификация

Цифровой сертификат Цифровое удостоверение –Стандарт X.509 версия 3 Информация, однозначно идентифицирующая субъекта –Его открытый ключ Допустимые режимы использования Информация, необходимая для проверки сертификата –Срок действия сертификата –Информация о службе, выдавшей сертификат Цифровая подпись CA

Реализация PKI в Windows 2000

Microsoft Certificate Services Certification Authority –Выдача сертификатов клиентам Генерация ключей, если нужно –Отзыв сертификатов Публикация Certificate Revocation List (CRL) –Хранение истории всех выданных сертификатов Web Enrollment Support –Запрос и получение сертификата через Web- интерфейс

Архитектура CA Certificate Services ExitModuleExitModuleEntryModuleEntryModule CertificateTemplatesCertificateTemplates Policy Module Protected Store CSPCSP Личные ключи Открытые ключи Certificate Database Запросы PKCS10 Сертификаты CRL

Microsoft CA Enterprise CA –Интегрирован с Active Directory –Выдает сертификаты только объектам, имеющим учетные записи в каталоге –Использует шаблоны сертификатов Stand-Alone CA –Не зависит от Active Directory –Может использоваться в качестве независимого центра сертификации для любых объектов

Иерархия CA Роли CA –Root CA Корневой центр сертификации Сертифицирует нижестоящие CA –Subordinate CA Intermediate CA –Сертифицирует CA следующего уровня Issuing CA –Выдает сертификаты пользователям Certification Path –Указывается в сертификате

Иерархия CA Root CASub CA 4Sub CA 1Sub CA 2 Intermediate CAIssuing CA Root CA Sub CA 2 Sub CA 3 User Sub CA 3 Issuing CA Certification Path

CRL Certificate Revocation List –Список отозванных сертификатов –Подписан Центром сертификации –Должен публиковаться и регулярно обновляться каждым CA Active Directory Web Файловая система Сертификат содержит список узлов публикации CRL

Certificate Trust List Список доверия –Аналог механизма кросс-сертификации Список доверяемых корневых центров –Ограничения по режимам сертификата –Назначается в групповой политике

Хранилища сертификатов Физические хранилища –Active Directory –Реестр операционной системы клиента –Файловая система Логические хранилища –Personal –Trusted Root Certification Authorities –Enterprise Trust –Intermediate Certification Authorities –Active Directory User Object –Software Publishers Certificate

Структура хранилищ My Store CryptoAPI User DS Store CA Store Root Store Smart Card CSP Default Store Provider Физические хранилища Логические хранилища Smart Card Services Trust Store LDAP

Проверка сертификата Root CA Sub CA 2 Sub CA 3 User Сертификат разрешено использовать в данном режиме. Тип сертификата Сертификат действителен в данный момент. Срок действия Цифровая подпись CA, выдавшего сертификат, верна. Целостность Сертификат не был отозван. Легитимность Сертификат корневого CA присутствует в хранилище Trusted Root Certification Authorities. Доверие Списки CTL не запрещают использование сертификата для данной задачи. Запреты

Инфраструктура открытого ключа Root CA DC приложение с поддержкой PKI

Функции PKI Аутентификация –Однозначная идентификация сущности, основанная на знании личного ключа Локальная аутентификация Удаленная аутентификация Целостность –Гарантия того, что на пути следования от отправителя к адресату данные не были модифицированы Конфиденциальность –Шифрование данных обеспечивает доступ к ним только тем, кто ими владеет и кому они предназначены

Использование Windows 2000 PKI в сетевой среде

Secure Channel Microsoft Unified Security Support Provider –Secure Sockets Layer (SSL) 3.0 –Transport Layer Security (TLS) 1.0 При установлении защищенного сеанса участники –Договариваются, какие криптографические алгоритмы будут использоваться в рамках сеанса RSA – при обмене ключами RC4 – для шифрования данных –Взаимно аутентифицируют друг друга с помощью сертификатов

Смарт-карты Микрочип, интегрированный в пластиковую карточку –Сертификат пользователя –Личный ключ пользователя Идентификация владельца –Персональный идентификационный номер (PIN) Поддержка Smart Cards в Windows 2000 –Gemplus – Schlumberger

Аутентификация Сертификат вместо пароля –Надежность аутентификации Kerberos зависит от качества паролей PKINIT –Расширение Kerberos для интерактивной аутентификации с помощью Smart Card Соответствие сертификата учетной записи домена –SSL/TLS, EAP-TLS –Возможна аутентификация пользователей, не имеющих учетных записей в домене

IPSec Защита данных на уровне сетевых пакетов –Прозрачно для приложений Два уровня защиты –Обеспечение целостности пакета Authentication Header (AH) –Шифрование данных, передаваемых в пакете Encapsulating Security Payload (ESP) Сертификаты открытых ключей –Один из режимов взаимной аутентификации узлов