من الشائع جدًا للمسؤولين إصدار شهادات باستخدام أسماء متعددة. على سبيل المثال ، عندما تحتاج إلى ربط شهادة واحدة بعدة أسماء: mail.company.com و owa.compny.com. ومع ذلك ، فإن المجال موضوعاتيمكن أن تحتوي على اسم واحد فقط. لحل هذه المشكلة ، استخدم الامتداد الاسم البديل للموضوع (سان). في هذا الملحق ، يمكنك استخدام أي عدد تريده من الأسماء الإضافية للشهادة.
ولكن ما هي الطريقة الصحيحة لترتيب عدة أسماء في الشهادة باستخدام مثال mail.company.com و owa.company.com؟ يوجد خياران فقط هنا:
- استخدم حقل الموضوع وامتداد SAN
تستخدم هذه الطريقة بشكل أكثر شيوعًا للشهادات الخارجية. يتم ملء حقل الموضوع على النحو التالي (يتم تمييز المكونات الإلزامية باللون الأحمر):
cn = mail.company.com
OU =<название подразделения>
OU =<ещё какое-то название подразделения>
س =<название организации>
L =<местоположение компании>
ج =<код страны, где расположена компания>
أولئك. يتم تضمين الاسم الرئيسي للشهادة (في الحقيقة ، عند استخدام SAN ، لا يوجد مفهوم للاسم الرئيسي ، لأن جميع الأسماء تعتبر معادلة. هنا يجب تحديد الاسم الذي سيتم استخدامه غالبًا بواسطة التطبيقات التي لا تدعم ملحق SAN) ويمكنك اختياريًا تحديد لاحقات DN إضافية ، مما يعكس ملكية الشهادة. ويتم ملء امتداد SAN على النحو التالي:
اسم DNS = mail.company.com
اسم DNS = owa.company.com
كما ترى ، يتم تكرار الاسم من الموضوع في SAN. الحقيقة هي أنه إذا كانت الشهادة تحتوي على امتداد SAN ويمكن للتطبيق معالجته ، فعادة ما يتم تكوين التطبيق فقط للتحقق من امتداد SAN ولا ينظرون في الموضوع. ولكن ليس هذا هو الحال دائما. في بعض الأحيان يبحث التطبيق في كل من الموضوع وشبكة التخزين (SAN). في هذه الحالة ، لا يلزم تكرار الأسماء. ولكن لأغراض التوافق ، يجب عليك دائمًا تكرار اسم الموضوع في امتداد SAN.
- استخدم امتداد SAN فقط
نادرًا ما تُستخدم هذه الطريقة في الشهادات الخارجية ، لكنها تستخدم فقط في الشهادات الداخلية. في هذه الحالة ، لا يتم ملء حقل الموضوع على الإطلاق ويتم تركه فارغًا. وسيشمل امتداد SAN جميع الأسماء الضرورية:
اسم DNS = mail.company.com
اسم DNS = owa.company.com
يتم دعم هذا الشكل من الحشو بواسطة Internet PKI وهو موصوف في RFC 5280. وفقًا لـ RFC هذا ، إذا لم يتم تعريف حقل الموضوع (فارغ) ، يتم اختيار اسم الشهادة من امتداد SAN ، ويتم وضع علامة على الامتداد نفسه على أنه هام (انظر RFC 5280 §4.2.1.6). فيما يلي بعض الأمثلة لما يبدو عليه الأمر في الحياة الواقعية:
في علامة التبويب "عام" ، يتم تكوين الاسم إما من الاسم الأول في امتداد SAN أو من الاسم المستخدم بواسطة تطبيق معين (على سبيل المثال ، عند العرض من مستعرض) والمُدرج في امتداد SAN.
الموضح هنا هو حقل موضوع فارغ.
وإدراج الأسماء اللازمة في امتداد SAN. يتم تحديد أهمية الامتداد من خلال وجود مثلث أصفر وعلامة تعجب.
في المذكرة: ما هو التمديد الحرج؟ إنه مجرد امتداد يحتاج التطبيق إلى التحقق منه. بدون فشل. إذا رأى أحد التطبيقات مثل هذا الامتداد ، فيجب أن يكون التطبيق قادرًا على معالجته وفهم القيمة في هذا الامتداد. إذا كان التطبيق لا يعرف ما يجب فعله مع هذا الامتداد ، أو إذا لم يتمكن التطبيق من تحليل قيمة هذا الامتداد ، فيجب أن يرفض التطبيق هذه الشهادة. تعرف على المزيد حول ترتيب سلوك التطبيق.
ملحوظة:على الرغم من ذكر أن التطبيق يجب أن يرفض الشهادة إذا كان معنى الامتداد غير واضح ، فإن هذا لا ينطبق بالكامل على امتداد SAN. التطبيق غير مطلوب لدعم جميع أشكال SAN ، وقد يدعم بعض النماذج فقط ، مثل اسم DNS فقط. ولكن إذا تعذر التعرف على النموذج المدعوم ، فيجب رفض الشهادة.
نظرًا لأن امتداد SAN هو الوسيلة الوحيدة لتحديد اسم الشهادة ، فمن المعقول أن نتوقع أن يتم تمييز هذا الامتداد على أنه ضروري ومطلوب للمعالجة بواسطة التطبيق.
أي طريقة تختار من بين الاثنين؟ أيهما تعتقد أنه أكثر قبولا؟ إذا كانت هذه شهادة خادم ويب خارجية ، فمن المستحسن استخدام الخيار الأول ، نظرًا لاستخدام لاحقات DN ، يمكنك تحديد ما إذا كانت الشهادة تنتمي إلى شركتك. وأيضًا إذا كان الوصول متوقعًا من التطبيقات التي لا تدعم امتداد SAN. هذه ليست بالضرورة تطبيقات كمبيوتر ، يمكن أن تكون تطبيقات للأجهزة المحمولة. من أجل تجنب الإفراط في العلاقات العامة لـ VeriSign "a في مدونتي ، أقدم شهادة نموذجية تم إجراؤها بالطريقة الأولى على موقع Thawte على الويب: https://www.thawte.com/
للاستخدام داخل المؤسسة ، يمكنك استخدام الخيار الثاني ، مع موضوع فارغ. على سبيل المثال ، لشهادات تسجيل دخول البطاقة الذكية. لا تنظر وحدات التحكم بالمجال في موضوع شهادة تسجيل الدخول على الإطلاق ، ولكنها تنظر فقط إلى SAN لوجود UPN في الامتداد.
تنسيق شهادة X.509
X.509 هو تنسيق آخر شائع جدًا. تتوافق جميع شهادات X.509 مع المعيار الدولي ITU-T X.509 ؛ وبالتالي (من الناحية النظرية) ، يمكن استخدام شهادة X.509 التي تم إنشاؤها لتطبيق واحد في أي تطبيق آخر يدعم هذا المعيار. ومع ذلك ، فقد تطور الوضع عمليًا ، حيث قامت الشركات المختلفة بإنشاء امتدادات خاصة بها لـ X.509 ، وليست جميعها متوافقة مع بعضها البعض.
تتطلب كل شهادة شخصًا ما للتحقق من العلاقة بين المفتاح العام والمعلومات التي تحدد مالك المفتاح. عند التعامل مع شهادة PGP ، يمكن لأي شخص أن يتصرف كشاهد على المعلومات الواردة فيها (باستثناء الحالات التي تكون فيها هذه القدرة مقيدة عن قصد بسياسة الأمان). ولكن في حالة شهادات X.509 ، لا يمكن أن يكون شاهدًا إلا سلطة مصدق أو شخص مخول لهذا الدور. (لاحظ أن شهادات PGP تدعم أيضًا بنية ثقة هرمية تستخدم المرجع المصدق للمصادقة على الشهادات.)
شهادة X.509 عبارة عن مجموعة من الحقول القياسية التي تحتوي على معلومات حول مستخدم أو جهاز والمفتاح العام المقابل له. يحدد معيار X.509 المعلومات المضمنة في الشهادة وكيفية تشفيرها (تنسيق البيانات).
تحتوي شهادة X.509 على المعلومات التالية:
إصدار X.509 - يشير إلى إصدار معيار X.509 الذي تستند إليه الشهادة المحددة ، والذي يحدد المعلومات التي يمكن تضمينها فيها.
المفتاح العام لحامل الشهادة هو المفتاح العام إلى جانب معرف الخوارزمية المستخدمة (يشير إلى نظام التشفير الذي ينتمي إليه المفتاح المحدد) ومعلومات أخرى حول معلمات المفتاح.
الرقم التسلسلي للشهادة - تلتزم المؤسسة المصدرة للشهادة بتعيين رقم تسلسلي فريد (تسلسلي) لتحديده من بين الشهادات الأخرى الصادرة عن هذه المنظمة. تنطبق هذه المعلومات في عدد من الحالات ؛ على سبيل المثال ، عند إبطال شهادة ، فإنه رقم سريوضعت في قائمة الشهادات الملغاة(قائمة إبطال الشهادات ، CRL).
الهوية الفريدة لمالك المفتاح (أو DN ، الاسم المميز- اسم فريد) - يجب أن يكون هذا الاسم فريدًا والوحيد في الإنترنت بالكامل. يتكون الاسم المميز من عدة فقرات فرعية وقد يبدو كالتالي:
CN = بوب ديفيس ، [بريد إلكتروني محمي] OU = هندسة PGP ،
O = شركة PGP ، C = الولايات المتحدة
(والتي تعني الاسم المألوف للموضوع والبريد الإلكتروني والوحدة التنظيمية والمنظمة والبلد ، على التوالي.)
فترة صلاحية الشهادة - تاريخ بدء الشهادة وتاريخ انتهاء صلاحيتها ؛ يشير إلى متى تصبح الشهادة غير صالحة.
الاسم الفريد للمُصدر - الاسم الفريد للمؤسسة التي وقعت على الشهادة. عادةً ما يكون هذا هو اسم المرجع المصدق. يشير استخدام الشهادة إلى ثقة المنظمة التي وقعت عليها. (في حالات شهادات الجذر ، تقوم المؤسسة المصدرة - نفس المرجع المصدق - بالتوقيع عليها بنفسها).
التوقيع الرقمي للناشر - توقيع إلكتروني تم إنشاؤه بواسطة المفتاح الخاص للمؤسسة التي أصدرت الشهادة. معرف خوارزمية التوقيع - يحدد الخوارزمية المستخدمة من قبل المرجع المصدق لتوقيع الشهادة.
هناك عدد من الاختلافات الأساسية بين تنسيقات شهادة X.509 و PGP:
يمكنك إنشاء شهادة PGP الخاصة بك شخصيًا ؛
يجب أن تطلب وتتلقى شهادة X.509 من مرجع مصدق ؛ تحتوي شهادات X.509 على اسم واحد فقط لمالك الشهادة ؛
تحتوي شهادات X.509 على EDS واحد فقط ، مما يؤكد صحة الشهادة.
للحصول على شهادة X.509 ، يجب أن تطلب من CA إصدارها لك. أنت تزود النظام بالمفتاح العام الخاص بك ، والذي يثبت أن لديك المفتاح الخاص المقابل ، بالإضافة إلى بعض المعلومات التي تحدد هويتك. تقوم بعد ذلك بتوقيع هذه المعلومات إلكترونيًا وإرسال الحزمة بأكملها - طلب الشهادة - إلى CA. ينفذ المرجع المصدق (CA) عملية معينة للتحقق من صحة المعلومات المقدمة ، وفي حالة تطابق كل شيء ، يقوم بإنشاء شهادة وتوقيعها وإعادتها إليك.
يمكنك تقديم شهادة X.509 كشهادة ورقية عادية أو جواز سفر مع مفتاح عام مثبت عليه. يحتوي على اسمك ، بالإضافة إلى بعض المعلومات عنك ، بالإضافة إلى توقيع مُصدر الشهادة.
ربما تكون أكبر فائدة لشهادات X.509 هي استخدامها في متصفحات الويب.
من كتاب The Art of Unix Programming مؤلف ريموند إريك ستيفن من كتاب Windows Script Host لنظام التشغيل Windows 2000 / XP مؤلف بوبوف أندري فلاديميروفيتشكيف تحصل على شهادة رقميةهناك ثلاثة أنواع من الشهادات الرقمية: تلك التي أنشأها المطور ، والصادرة للمطور من قبل مؤسسة ، والمستلمة من مرجع مصدق. عادةً ما يستخدم هؤلاء المستخدمون الذين
من كتاب Public Key Infrastructure مؤلف بوليانسكايا أولغا يوريفناإنشاء الشهادة الخاصة بك إن أسرع طريقة لإنشاء شهادتك الرقمية هي استخدام برنامج SelfCert.exe المضمن مع Microsoft Office 2000 / XP. من خلال تشغيل هذه الأداة ، سنحصل على مربع حوار يسمح لك بتحديد اسم الملف الذي تم إنشاؤه
من كتاب ياندكس للجميع المؤلف أبرامزون م.ملاحق الشهادة توجد معلومات مهمة أيضًا في ملاحق الشهادة. إنها تسمح لك بتضمين معلومات في الشهادة ليست في المحتوى الرئيسي ، وتحديد صلاحية الشهادة وما إذا كان مالك الشهادة لديه حقوق الوصول إلى شهادة معينة
من كتاب مقدمة في التشفير مؤلف فيليب زيمرمانبروتوكول حالة الشهادة عبر الإنترنت بروتوكول حالة شهادة OCSP عبر الإنترنت هو بروتوكول بسيط نسبيًا (استجابة التحدي) للحصول على معلومات الإبطال من كيان موثوق به يسمى مستجيب OCSP. يتكون طلب OCSP من رقم إصدار
من كتاب UNIX Operating System مؤلف Robachevsky Andrey M.التحقق من الشهادة الأساسية يتم إجراء التحقق من الشهادة الأساسية على جميع الشهادات بالتسلسل ويتكون من سلسلة من الفحوصات. يتم إجراء عمليات التحقق باستخدام كل مجموعة من المجموعات الأربع لمتغيرات الحالة لتحديد ما إذا كان
من كتاب المؤلفالتحقق من صلاحية الشهادة ينجح هذا الفحص إذا كان التاريخ والوقت الحاليان وقت التحقق ضمن فترة الصلاحية.
من كتاب المؤلفالتحقق من حالة الشهادة ينجح هذا الفحص إذا لم يقم المُصدر بإلغاء الشهادة. قوائم CAC هي الوسيلة الأساسية للتحقق من حالة الشهادة ، ولكن يمكن استخدام وسائل بديلة أخرى.
من كتاب المؤلفالتحقق من توقيع الشهادة يمكن التحقق من توقيع الشهادة بناءً على المجموعة الأولى من متغيرات الحالة باستخدام المفتاح العام لجهة إصدار الشهادة ، باستخدام المعلمات الصحيحة ، وباستخدام خوارزمية التوقيع الرقمي.
من كتاب المؤلفاعداد الشهادة القادمة اولا بعض شيك بسيطشهادة جامعة كاليفورنيا. يتم بعد ذلك تحديث متغيرات الحالة لتعكس قيم حقول الوظيفة الإضافية للشهادة. تم العثور على العديد من الإضافات
من كتاب المؤلفإتمام معالجة الشهادة عند اكتمال معالجة شهادة الكيان النهائي ، يتم تعيين قيم المخرجات بناءً على قيم متغيرات الحالة .. ضبط متغيرات حالة التحقق من التوقيع الرقمي. في مجال المعلومات
من كتاب المؤلف3.3.1. تنسيق RSS يمكنك قراءة أخبار الموقع بطرق مختلفة. أسهل طريقة هي زيارة الموقع من وقت لآخر وعرض الرسائل الجديدة. يمكنك وضع برنامج يتصل بقناة إخبارية ويتلقى هو نفسه عناوين الأخبار أو التعليقات التوضيحية للأخبار ، وفقًا لـ
من كتاب المؤلفتنسيق الشهادة X.509 X.509 هو تنسيق آخر شائع جدًا. تتوافق جميع شهادات X.509 مع المعيار الدولي ITU-T X.509 ؛ وبالتالي (من الناحية النظرية) يمكن استخدام شهادة X.509 التي تم إنشاؤها لتطبيق واحد في أي تطبيق آخر ،
من كتاب المؤلفإبطال الشهادة لا يمكن استخدام الشهادة إلا طالما كانت صالحة. من الخطر الاعتماد على الشهادة لتكون آمنة وموثوقة إلى الأبد. في معظم المنظمات وفي الكل شهادة PKIله عمر محدود. هذا يضيق الفترة التي
من كتاب المؤلفإخطار إبطال الشهادة بمجرد إبطال الشهادة ، من المهم للغاية إخطار جميع المراسلين المحتملين بأنها لم تعد صالحة. أسهل طريقة للإعلام في بيئة PGP هي وضع شهادة ملغاة في
من كتاب المؤلفتنسيق ELF يحتوي تنسيق ELF على عدة أنواع من الملفات التي أطلقنا عليها بشكل مختلف حتى الآن ، مثل ملف قابل للتنفيذ أو ملف كائن. ومع ذلك ، فإن معيار ELF يميز بين الأنواع التالية: 1. ملف قابل للنقل يحتوي على تعليمات وبيانات يمكن أن تكون
هناك نوعان من أنظمة التشفير: أنظمة المفاتيح السرية (المتماثلة) وأنظمة المفاتيح العامة (غير المتماثلة). بشكل تقريبي ، ولكن مفهومة ، تستخدم الأنظمة المتماثلة نفس المفتاح لعمليات التشفير وفك التشفير ، بينما تستخدم الأنظمة غير المتماثلة أنظمة مختلفة.
في الأنظمة المتماثلة ، توجد مشكلة في توزيع المفتاح السري بطريقة آمنة: يجب أن يعرف كلا الطرفين المتبادلين للمعلومات هذا المفتاح ، ولكن لا ينبغي أن يمتلك أي شخص آخر هذا المفتاح.
يتم ترتيب الأنظمة غير المتماثلة بطريقة تحتوي على رقمين:
- "المفتاح العام للمستخدم أ" ، والذي يُستخدم لتشفير رسالة مخصصة للمستخدم أ ،
- "المفتاح الخاص للمستخدم أ" ، والذي يستخدمه هذا المستخدم لفك تشفير الرسائل المرسلة إليه.
الظرف الأخير مهم جدًا: يمكن للمستخدم نشر مفتاحه العام في الأماكن العامة بحيث يمكن لأي شخص استخدامه وتشفير رسالة لـ A. لذلك تختفي مشكلة توزيع المفتاح السري.
يجب على المستخدم الاحتفاظ بسرية مفتاحه الخاص من الغرباء: فأنت تريد فقط أن يتمكن المستخدم من فك تشفير الرسائل التي تم إرسالها إليه. علاوة على ذلك ، فإن شرط الحفاظ على سرية المفتاح الخاص مهم جدًا فيما يتعلق بمفهوم التوقيع الرقمي ، والذي تمت مناقشته قليلاً. بالنظر إلى المستقبل ، دعنا نقول أن سرية المفتاح الخاص مهمة أيضًا لأن المستخدم هو الوحيد الذي يجب أن يكون قادرًا على إنشاء توقيعه الرقمي الخاص ، والذي يعتمد على قيمة المفتاح الخاص.
في كثير من الأحيان ، يتم تخزين المفتاح الخاص على الوسائط في شكل مشفر وفك تشفيره فقط لمدة بعض الإجراءات التي تتطلب معرفة المفتاح الخاص. يزيد هذا قليلاً من أمان تخزين المفتاح الخاص ، ولكنه يخلق إزعاجًا إذا كان المفتاح الخاص مطلوبًا بواسطة نوع من الخدمة التلقائية: (على الأقل) في كل مرة تبدأ فيها هذه الخدمة ، تحتاج إلى إدخال كلمة مرور لفك تشفير المفتاح.
هناك أيضًا بطاقات ذكية يمكنها إجراء عمليات تشفير داخلها ، وتعطي النتيجة فقط للمخرجات ، ولكنها لا تكشف عن محتويات المفتاح الخاص. يجب أن تكون سرقة مفتاح خاص من بطاقة ذكية مطبقة بشكل صحيح أمرًا صعبًا للغاية. يمكن حماية المفتاح الخاص بكلمة مرور ، حتى لو تم تخزينه على بطاقة ذكية. إذا لم تكن هناك كلمة مرور ، فيمكن لأي شخص لديه بطاقة ذكية في يديه تنفيذ الإجراءات التي تتطلب معرفة المفتاح الخاص: ستظل قيمة المفتاح الخاص نفسه سرية ، ولكن سيكون من الممكن تنفيذ أي إجراءات مقصودة باستخدامه .
توقيع إلكتروني
تتمتع أنظمة المفاتيح العامة بميزة أخرى لطيفة: يمكن للمستخدم إنشاء توقيع رقمي ، والذي ، عند وضعه على مستند رقمي ، يمكن أن يكون بمثابة ضمان بأن المستخدم ، وليس شخصًا آخر ، قد قام بالفعل بالتوقيع على هذا المستند.
المخطط بسيط من الناحية المفاهيمية: يقوم المستخدم أ ، باستخدام مفتاحه الخاص ، بإجراء بعض العمليات على البيانات التي يريد توقيعها ويمرر النتيجة مع البيانات الأصلية إلى أي كائن آخر. ويمكن لهذا الكائن نفسه ، باستخدام المفتاح العام للمستخدم "أ" فقط ، التحقق من ذلك بسهولة توقيع إلكترونيحقيقي.
نؤكد مرة أخرى أن شرط إمكانية الوصول إلى هذا المفتاح الخاص فقط لمالكه يلعب دورًا مهمًا للغاية: إذا تم الوفاء به ، فلا يمكن للمستخدم رفض توقيعه الرقمي. وهذا ما يسمى عدم الإنكار.
أحد استخدامات التوقيع الرقمي هو مصادقة الكائن. المصادقة هي عملية إنشاء "هوية" كائن. من الواضح أنه إذا كان بإمكان كائن ما التوقيع رقميًا ، فيمكن التحقق من هذا التوقيع ، ويكون الكائن مرتبطًا بمفتاحه العام. العنصر الأخير المفقود من مخطط المصادقة هذا هو النقطة التي يرتبط فيها المفتاح العام والعنصر نفسه: يجب أن نعرف بالضبط من يملك هذا المفتاح العمومي.
هيئة إصدار الشهادات
يمكن حل مشكلة ربط مفتاح عمومي ببعض الأشياء بطرق مختلفة. من أبسط الطرق إعداد قائمة بالمفاتيح العمومية المطابقة و "أسماء" الكائنات. يمكن أن يكون الاسم أي معرف ، مثل اسم المجال للجهاز ، الاسم الكاملواللقب واسم الأسرة ، وما إلى ذلك ؛ مشكلة تفرد الأسماء ، والتي يجب أن تظهر بالضرورة ، هي صعوبة منفصلة يتم حلها عادة بالوسائل الإداريةمثل نظام مساحة الاسم الهرمي ونوع من نظام حل تعارض الأسماء داخل نفس مساحة الاسم الفرعية. لن يتم مناقشة هذه المسألة أكثر هنا.
لكن أسلوب قائمة المطابقة لديه تحجيم ضعيف للغاية ، لأنه يجب مزامنة هذه القوائم نفسها في كل مكان في العالم (أو بالأحرى ، في الجزء من العالم حيث يتم استخدام هذه القوائم).
لذلك ، تم تقديم مفاهيم شهادة X.509 والمرجع المصدق. شهادة X.509 (المشار إليها فيما يلي باسم الشهادة) عبارة عن تكتل من المفتاح العام للمستخدم ومعلومات المستخدم واسم الشهادة المسمى Distungiushed Name (DN) والتوقيع الرقمي لمرجع التصديق الذي يربط كل هذه البيانات معًا. أي أنه يصبح من الممكن ربط المفتاح العام بالاسم المميز للمستخدم ، والذي يمكن أن يكون بمثابة المكون المطلوب في عملية المصادقة إذا تم استخدام الاسم المميز لشهادته كمعرف المستخدم. بالمناسبة ، الشهادة لها تاريخ انتهاء صلاحية ، مما يحد من فترة صلاحية المباراة التي أنشأتها CA.
بطبيعة الحال ، يتم نقل المشكلة ببساطة إلى مكان آخر - بدلاً من الاحتفاظ بقائمة كبيرة من المطابقات ، يتعين علينا الآن الاحتفاظ بقائمة أصغر بكثير من المفاتيح العامة لسلطات التصديق. في هذه الحالة ، يكون مفتاح المرجع المصدق موثوقًا به بدرجة كافية: تؤكد سلطة التصديق اقتران الآلاف من أسماء المستخدمين بالمفاتيح العامة المقابلة.
لماذا المصادقة مطلوبة؟ التشفير وحده لا يكفي؟
حسنًا ، أولاً وقبل كل شيء ، تعتبر المصادقة ذات قيمة في حد ذاتها: تحتاج أنظمة الكمبيوتر إلى مصادقة مستخدميها حتى تقرر بعد ذلك ما إذا كانت ستسمح لهم بالوصول إلى الموارد المختلفة.
ولكن إذا كنت تأخذ مفتاحًا عامًا لأحد المستخدمين وترغب في إرسال رسالة مشفرة إليه ، فربما تريد التأكد من تشفير الرسالة باستخدام المفتاح العام الصحيح ، خاصةً إذا كنت تحصل على هذا المفتاح من الجمهور مصادر. بعد كل شيء ، يمكن للمهاجم وضع مفتاحه العام ، ولكن في نفس الوقت يشير إلى أن المفتاح ينتمي إلى المرسل إليه. وإذا لم تقم بمصادقة المفتاح العام ، فسيكون المهاجم ، بعد أن اعترض رسالتك المشفرة ، قادرًا على فك تشفيرها دون أي مشاكل.
أي أن إدخال المرجع المصدق يسمح لنا بمصادقة الكائن الذي يمتلك هذه الشهادة. بطبيعة الحال ، قبل ذلك ، يجب أن نثق في المفتاح العام لسلطة التصديق. هذا يتضمن شيئين:
- الثقة في جهة إصدار الشهادات بشكل عام ، أي الثقة في سمعتها ،
- الثقة في أن المفتاح العام الذي حصلت عليه هو حقًا المفتاح العام لسلطة التصديق هذه.
- اتصل بمركز الشهادات وتحقق من محتويات المفتاح العام عبر الهاتف ،
- تعال إلى مركز الشهادات نفسه وأخذ المفتاح العام في بعض الوسائط ،
- الوثوق بالمفاتيح العامة للمراجع المصدقة الموجودة بالفعل في بعض حزم البرامج
- والعديد من الطرق الأخرى التي تكون أكثر إزعاجًا من تلك المذكورة سابقًا ؛))
شهادات التوكيل
عظيم: لدينا الآن مراجع مصدقة ومفاتيحها العامة وشهادات المستخدم ومفاتيحها الخاصة. يمكننا تشفير الرسائل وإنشاء توقيعات رقمية يصعب دحضها.
ماذا بعد؟ في الأنظمة متعددة المكونات ، يعتبر ما يسمى بالدخول الأحادي ملائمًا للغاية - القدرة على المصادقة يدويًا مرة واحدة فقط ، وسيتم تنفيذ جميع عمليات المصادقة الأخرى تلقائيًا. عادة ما يكون هذا صحيحًا في الأنظمة التي تقوم بمصادقتك في البداية ، ثم يبدأ النظام في تنفيذ الإجراءات نيابة عنك ، على سبيل المثال ، تلقي البيانات وتشغيل المهام ونشر نتائجها ، وما إلى ذلك. هذا يسمى التفويض.
يعمل التفويض المستند إلى شهادات الوكيل على النحو التالي: بعد المصادقة المتبادلة للمستخدم والخدمة التي ستعمل لاحقًا نيابة عن المستخدم ، تنشئ الخدمة زوجًا جديدًا من المفاتيح وترسل المفتاح العام إلى المستخدم للتوقيع. يوقع المستخدم هذا المفتاح العمومي بنفس الطريقة التي يقوم بها المرجع المصدق (CA) ، لكنه يستخدم المفتاح الخاص للمستخدم. الشهادة الناتجة تسمى شهادة الوكيل.
يمكن للخدمة ، التي تعمل نيابة عن المستخدم ، المصادقة باستخدام مفتاحها الخاص (الذي تم إنشاؤه حديثًا) وشهادة موقعة من قبل المستخدم. تسير عملية المصادقة على هذا النحو.
- تم التحقق من التوقيع الذي تم إنشاؤه بواسطة الخدمة. يستخدم هذا المفتاح العام الذي تم إرساله مع التوقيع.
- يتم مصادقة المفتاح العام الذي تم التحقق من صحة التوقيع به. أولاً ، يتم التحقق من التوقيع على شهادة الوكيل ، التي تم إنشاؤها باستخدام المفتاح الخاص للمستخدم. يتم ذلك باستخدام المفتاح العام للمستخدم.
- بالطريقة نفسها ، يتم مصادقة المفتاح العام للمستخدم نفسه ، ولكن البيانات المتعلقة بالمرجع المصدق مستخدمة بالفعل هنا.
باستخدام نفس الآلية ، يمكن للخدمة التي تم إصدار شهادة الوكيل لها في الأصل توقيع شهادة وكيل أخرى ، وتفويض سلطة مستخدم المستخدم على طول السلسلة لخدمة أخرى. هذه هي الطريقة التي يتم بها تنفيذ الدخول الموحد.
- دليل نمط X.509 ، بقلم بيتر جوتمان. هناك الكثير من التفاصيل الفنية ، ولكن بالنسبة للبعض فإن الأمر يستحق القراءة.
الحاجة إلى حماية المعلومات
استمرار التطور السريع تكنولوجيا الكمبيوتركما أن التبني الواسع النطاق للأعمال التجارية باستخدام الإنترنت يغير بشكل جذري الطريقة الراسخة لممارسة الأعمال التجارية. لا يمكن أن تنحى أنظمة أمن الشركات التي تدعم الأعمال جانبًا أيضًا.
حاليًا ، على سبيل المثال ، تُستخدم مرافق البريد الإلكتروني ليس فقط للتواصل بين الأشخاص ، ولكن لنقل العقود والمعلومات المالية السرية. تستخدم خوادم الويب ليس فقط للأغراض الإعلانية ، ولكن أيضًا للتوزيع البرمجياتوالتجارة الإلكترونية. البريد الإلكتروني ، الوصول إلى خادم الويب ، التجارة الإلكترونية ، VPN تتطلب تطبيقًا أموال إضافيةللسرية والمصادقة والتحكم في الوصول والنزاهة وتحديد الهوية. حاليًا ، تُستخدم أدوات حماية التشفير والبنية التحتية للمفاتيح العامة (PKI) على نطاق واسع كأدوات.
ما هو التشفير؟
يجب أن يوفر نظام الحماية المشفرة:
- سرية- يجب حماية المعلومات من القراءة غير المصرح بها أثناء التخزين والنقل. عند مقارنتها بتقنية الورق ، فإن هذا يشبه معلومات الختم في مظروف. تصبح المحتويات معروفة فقط بعد فتح المغلف المختوم. يتم توفير التشفير في أنظمة حماية التشفير.
- صلاحية التحكم صلاحية الدخول- يجب أن تكون المعلومات متاحة فقط لمن هي مخصصة لهم. مقارنة بتقنية الورق ، يمكن للمستلم المعتمد فقط فتح المغلف المختوم. يتم توفير التشفير في أنظمة حماية التشفير.
- المصادقة- القدرة على تحديد المرسل بشكل فريد. عند مقارنته بتقنية الورق ، فإن هذا يشبه توقيع المرسل. في أنظمة حماية التشفير ، يتم تزويدها بتوقيع رقمي إلكتروني وشهادة.
- التكامل- يجب حماية المعلومات من التعديل غير المصرح به أثناء التخزين والنقل. في أنظمة الحماية المشفرة ، يتم تزويدها بالتوقيع الرقمي الإلكتروني وحماية التقليد.
- عدم التنصل- لا يمكن للمرسل إلغاء الإجراء. عند مقارنتها بتقنية الورق ، فإن هذا يشبه تقديم المرسل جواز السفر قبل القيام بأي إجراء. في أنظمة حماية التشفير ، يتم تزويدها بتوقيع رقمي إلكتروني وشهادة.
ما هو تشفير المفتاح العام
تحويل التشفير (التشفير) هو تحويل رياضي واحد لواحد يعتمد على المفتاح (المعلمة السرية للتحويل) ، والذي يطابق الكتلة المعلومات المفتوحة(ممثلة في بعض الترميز الرقمي) كتلة من المعلومات المشفرة ، يتم تقديمها أيضًا في الترميز الرقمي. يجمع مصطلح التشفير بين عمليتين: تشفير المعلومات وفك تشفيرها.
ينقسم التشفير إلى فئتين: المفاتيح المتماثلة والمفاتيح العامة.
في تشفير المفتاح المتماثل ، يستخدم المرسل والمستقبل نفس المفتاح (المشترك) لكل من التشفير وفك التشفير.
فوائد تشفير المفتاح المتماثل:
- أداء- أداء الخوارزميات ذات المفاتيح المتماثلة مرتفع للغاية.
- ثبات- تشفير المفتاح المتماثل قوي للغاية ، مما يجعل فك التشفير شبه مستحيل. تساوي الأشياء الأخرى (الخوارزمية العامة) ، يتم تحديد القوة من خلال طول المفتاح. بطول مفتاح يبلغ 256 بت ، من الضروري إجراء 10 أسطوانات 77 عملية بحث لتحديد المفتاح.
عيوب تشفير المفتاح المتماثل:
- توزيع المفاتيح - نظرًا لاستخدام نفس المفتاح للتشفير وفك التشفير ، يتطلب تشفير المفتاح المتماثل آليات قوية جدًا لتوزيع المفاتيح.
- قابلية التوسع - نظرًا لاستخدام مفتاح واحد بين المرسل وكل من المستلمين ، يزداد عدد المفاتيح المطلوبة بشكل كبير. بالنسبة لـ 10 مستخدمين ، يلزم 45 مفتاحًا ، ولعدد 100 بالفعل 499500.
- الاستخدام المحدود - نظرًا لأن تشفير المفتاح المتماثل يُستخدم فقط لتشفير البيانات ويقيد الوصول إليها ، فلا يمكنه توفير المصادقة وعدم التنصل.
يستخدم تشفير المفتاح العام زوجًا من المفاتيح: مفتاح عام ومفتاح سري (خاص) معروف فقط لمالكه. على عكس المفتاح الخاص ، الذي يجب أن يظل سريًا ، يمكن توزيع المفتاح العام عبر الشبكة. يتم استخدام المفتاح السري في تشفير المفتاح العام للتكوين التوقيع الإلكترونيوفك تشفير البيانات.
يوفر تشفير المفتاح العام جميع متطلبات أنظمة التشفير. لكن تنفيذ الخوارزميات يتطلب الكثير من وقت وحدة المعالجة المركزية. لذلك ، في شكله النقي ، لا يتم استخدام تشفير المفتاح العام عادةً في الممارسة العالمية. لتشفير البيانات ، يتم استخدام مفاتيح متناظرة (جلسة) ، والتي يتم تشفيرها بدورها باستخدام مفاتيح الجلسة المفتوحة للإرسال عبر الشبكة.
يتطلب تشفير المفتاح العام بنية تحتية للمفتاح العام (PKI) - وهي خدمة أساسية لإدارة الشهادات والمفاتيح الإلكترونية للمستخدمين والتطبيقات والأنظمة.
التحقق من المفتاح العام
يتطلب الاستخدام المباشر للمفاتيح العمومية حمايتها الإضافية وتعريفها لتحديد العلاقة مع المفتاح السري. بدون هذه الحماية الإضافية ، يمكن للمهاجم أن يتظاهر بأنه مرسل البيانات الموقعة ومتلقي البيانات المشفرة عن طريق استبدال قيمة المفتاح العام أو انتهاك هويته. في هذه الحالة ، يمكن للجميع التظاهر بأنهم ملكة إنجلترا. كل هذا يؤدي إلى ضرورة التحقق من المفتاح العمومي. لهذه الأغراض ، يتم استخدام شهادة إلكترونية.
الشهادة الإلكترونيةيمثل وثيقة رقميةهو الذي يربط مفتاحًا عامًا بمستخدم أو تطبيق معين. للمصادقة على شهادة إلكترونية ، يتم استخدام توقيع رقمي إلكتروني لمركز موثوق به - يتم استخدام مركز الشهادات (CA). استنادًا إلى الوظائف التي يؤديها المرجع المصدق ، فهو المكون الرئيسي للبنية التحتية للمفتاح العام بالكامل. باستخدام المفتاح العام لـ CA ، يمكن لكل مستخدم التحقق من صحة الشهادة الإلكترونية الصادرة عن CA واستخدام محتوياتها.
التحقق من سلسلة الشهادة
كما هو موضح سابقًا ، يتم تحديد الثقة في أي شهادة مستخدم بناءً على سلسلة الشهادات. علاوة على ذلك ، فإن العنصر الأولي للسلسلة هو شهادة سلطة التصديق المخزنة في دليل شخصي آمن للمستخدم.
تم وصف إجراء التحقق من سلسلة الشهادة في X.509 و RFC 2459 والتحقق من العلاقة بين اسم حامل الشهادة ومفتاحه العام. يشير إجراء التحقق من السلسلة إلى أن جميع السلاسل "الصحيحة" تبدأ بشهادات صادرة عن واحدة مركز موثوق بهشهادة. المرجع الموثوق به هو المرجع المصدق الرئيسي الذي يوجد مفتاحه العام في شهادة موقعة ذاتيًا. يبسط هذا التقييد إجراء التحقق ، على الرغم من أن وجود شهادة موقعة ذاتيًا والتحقق من التشفير لا يوفران الأمان. لضمان الثقة في المفتاح العام لمثل هذه الشهادة ، يجب تطبيق طرق خاصة لتوزيعها وتخزينها ، حيث يتم التحقق من جميع الشهادات الأخرى على هذا المفتاح العمومي.
تستخدم خوارزمية التحقق من السلسلة البيانات التالية:
- اسم مُصدر شهادة X.500 ؛
- اسم حامل شهادة X.500 ؛
- المفتاح العمومي للناشر ؛
- فترة صلاحية المفتاح العام (السري) الخاص بالناشر والمالك ؛
- إضافات القيد المستخدمة في التحقق من السلسلة (basicConstraints ، nameConstraints ، policyConstrains) ؛
- COS لكل ناشر (حتى لو لم يكن يحتوي على شهادات ملغاة).
سلسلة الشهادات هي سلسلة من الشهادات n حيث:
- بالنسبة إلى جميع x في (1، (n-1)) ، يعتبر "مالك الشهادة x" جهة إصدار الشهادة x + 1 ؛
- الشهادة x = 1 هي شهادة موقعة ذاتيًا ؛
- الشهادة x = n هي شهادة المستخدم النهائي ؛
بالتزامن مع سلسلة الشهادات ، يتم استخدام سلسلة COC ، وهي سلسلة من n COCs ، حيث:
- بالنسبة لجميع COS x في (1، n) ، يكون مصدر الشهادة x هو COS Issuer x ؛
- COS x = 1 هو COS الصادر عن مالك الشهادة الموقعة ذاتيًا ؛
- COS x = n هو COS الصادر عن جهة إصدار شهادة المستخدم النهائي ؛
بعد بناء سلسلتين (شهادات و SOS) ، يتم تنفيذ ما يلي:
- التحقق المشفر من الشهادات و SOS في سلاسل ؛
- التحقق من صحة الشهادات و SOS ؛
- التحقق من تطابق اسمي الناشر والمالك باستخدام الوظيفة الإضافية الاسم;
- تحقق من طول السلسلة باستخدام الحشو القيود الأساسية;
- تحقق من إلغاء الشهادة ، وإذا تم إلغاء شهادة المركز المتوسط من قبل COS للمركز الأعلى ، فإن جميع الشهادات الصادرة عن المركز المتوسط تعتبر غير صالحة ؛
- التحقق من سياسات استخدام الشهادة المقبولة ومناطق الاستخدام الرئيسية المقبولة باستخدام الوظائف الإضافية الشهاداتالسياساتو تمديد KeyUsage.
مكونات البنية التحتية للمفاتيح العمومية ووظائفها
تشتمل مكونات البنية التحتية للمفاتيح العمومية على المكونات التالية:
- هيئة إصدار الشهادات؛
- مركز التسجيل
- المستخدمين النهائيين؛
- دليل الشبكة.
هيئة إصدار الشهادات
مركز الاعتماد (أو المرجع المصدق) - عنصر التحكم الرئيسي في البنية التحتية للمفاتيح العمومية ، المصمم لإنشاء شهادات إلكترونية للمراكز التابعة والمستخدمين النهائيين. بالإضافة إلى الشهادات ، ينشئ المرجع المصدق قائمة بشهادات X.509 CRL (CRLs) المبطلة مع الانتظام الذي تحدده لوائح النظام.
الوظائف الرئيسية للمركز هي:
- إنشاء مفتاحك الخاص وشهادة CA ؛
- تشكيل شهادات المراكز التابعة ؛
- إنشاء شهادات مفاتيح عمومية للمستخدمين النهائيين ؛
- تشكيل قائمة الشهادات الملغاة ؛
- الاحتفاظ بقاعدة بيانات لجميع الشهادات الصادرة وقوائم الشهادات الملغاة ؛
مركز التسجيل
مكون PKI اختياري مصمم لتسجيل المستخدم النهائي. تتمثل المهمة الرئيسية لـ CA في تسجيل المستخدمين وضمان تفاعلهم مع CA. قد تتضمن مهام RA أيضًا نشر الشهادات وقوائم إلغاء الشهادات في دليل LDAP عبر الإنترنت.
المستخدمون
المستخدم أو التطبيق أو النظام الذي يحمل الشهادة ويستخدم البنية التحتية للمفاتيح العمومية.
دليل على الإنترنت
مكون PKI اختياري يحتوي على الشهادات وقوائم إبطال الشهادات ويعمل على توزيع هذه الكائنات بين المستخدمين باستخدام بروتوكول LDAP (HTTP ، FTP).
استخدام البنية التحتية للمفاتيح العمومية في التطبيقات
يستخدم PKI لإدارة المفاتيح والشهادات الإلكترونية في التطبيقات (مثل البريد الإلكتروني ، وتطبيقات الويب ، والتجارة الإلكترونية) التي تستخدم التشفير لإنشاء اتصالات شبكة آمنة (S / MIME ، SSL ، IPSEC) ، أو لتشكيل EDS الإلكترونيةالمستندات والتطبيقات وما إلى ذلك. بالإضافة إلى ذلك ، يمكن استخدام PKI لتطبيقات الشركات.
إدارة البريد الإلكتروني والمستندات
يستخدم البريد الإلكتروني الآمن وسير العمل التشفير لتشفير الرسائل أو الملفات وإنشاء توقيع رقمي. من بين أكثر المعايير شهرة وانتشارًا ، تجدر الإشارة إلى بروتوكول S / MIME (ملحقات بريد الإنترنت متعدد الأغراض الآمن) ، وهو امتداد لمعيار بريد الإنترنت MIME (ملحقات بريد الإنترنت متعدد الأغراض).
تطبيقات الويب
تستخدم متصفحات الويب والخوادم PKIs للمصادقة على الجلسات والخصوصية ، وكذلك لتطبيقات الخدمات المصرفية عبر الإنترنت والمتاجر الإلكترونية. البروتوكول الأكثر شيوعًا في هذا المجال هو SSL (طبقة مآخذ التوصيل الآمنة). لا يقتصر بروتوكول SSL على أمان HTTP (بروتوكول نقل النص التشعبي) ، ولكن يمكن استخدامه أيضًا لبروتوكول FTP (بروتوكول نقل الملفات) و Telnet.
EDS للملفات والتطبيقات
يتيح لك استخدام EDS لتوقيع التطبيقات والملفات توزيعها بأمان عبر الإنترنت. في الوقت نفسه ، يثق المستخدم في صحة التطبيق المستلم من المطور.
معايير IEC
تنقسم معايير البنية التحتية للمفاتيح العمومية إلى مجموعتين: بعضها يصف التنفيذ الفعلي للبنية التحتية للمفاتيح العمومية ، والجزء الثاني ، الذي ينتمي إلى مستوى المستخدم ، يستخدم البنية التحتية للمفاتيح العمومية دون تحديده. يوضح الشكل أدناه كيفية ارتباط التطبيقات بالمعايير. يسمح التوحيد القياسي في مجال البنية التحتية للمفاتيح العمومية (PKI) للتطبيقات المختلفة بالتفاعل مع بعضها البعض باستخدام PKI واحد.
على وجه الخصوص ، التوحيد مهم في مجال:
- إجراءات التسجيل وإنشاء المفاتيح ؛
- أوصاف تنسيق الشهادة ؛
- أوصاف تنسيق SOS ؛
- أوصاف تنسيق البيانات المحمية بالتشفير ؛
- أوصاف البروتوكولات عبر الإنترنت.
المركز الرئيسي لإصدار المعايير المنسقة في مجال PKI هو مجموعة عمل PKI (مجموعة عمل PKI) التابعة لـ IETF (فرقة عمل هندسة الإنترنت) ، والمعروفة باسم مجموعة PKIX (من اختصار PKI لشهادات X.509) .
معايير PKIX
تستند مواصفات PKIX إلى مجموعتين من المعايير: X.509 ITU-T (اللجنة الدولية للاتصالات) و PKCS (معايير تشفير المفتاح العام) RSA Data Security. تم تصميم X.509 في الأصل ليكون أحد مواصفات المصادقة عند استخدامه كجزء من خدمة دليل X.500. في الواقع ، تم التعرف على بناء جملة الشهادة الإلكترونية المقترحة في X.509 كمعيار واقعي واكتسب قبولًا عامًا بشكل مستقل عن X.500. ومع ذلك ، لم يكن الغرض من التوصية ITU-T X.509 أن يكون تعريفاً كاملاً للبنية التحتية للمفاتيح العمومية. من أجل تطبيق معايير X.509 في الممارسة اليومية ، يشير المستخدمون والبائعون ولجان المعايير إلى معايير PKCS. PKIXقامت المجموعة بنشر معايير الإنترنت التالية (RFCs).
يستخدم الاسم الشائع أو CN بشكل عام في شهادات SSL. يستخدم CN لتحديد اسم الخادم الذي سيتم استخدامه لاتصال SSL الآمن. بشكل عام ، تُستخدم شهادة SSL هذه لتأمين الاتصال بين خادم HTTP / S ومتصفح العميل مثل Chrome و Explorer و Firefox.
يُستخدم الاسم الشائع لتحديد هوية المضيف أو الخادم. عندما يحاول العميل الاتصال بخادم بعيد مثل خادم HTTP ، سيحصل أولاً على شهادة SSL لهذا الخادم. ثم قارن اسم المضيف أو اسم المجال الذي تريد توصيله بالاسم الشائع المتوفر في شهادة SSL. إذا كانت هي نفسها ، فستستخدم شهادة SSL لتشفير الاتصال.
يتم تمثيل الاسم الشائع تقنيًا كحقل اسم عام في مواصفات شهادة X.509. يتم استخدام مواصفات X.509 في شهادات SSL التي هي نفسها.
يمكننا صياغة اسم الأمر كما هو موضح أدناه.
الاسم الشائع = اسم المجال + اسم المضيف
الاسم الشائع = اسم المجال + اسم المضيف |
يمكننا استخدام أسماء المجال والمضيف التالية كاسم مشترك.
موقع www.site * .site
poftut. كوم www. poftut. كوم *. poftut. كوم |
اسم المجال المؤهل بالكامل (FQDN)
يتم استخدام اسم المجال المؤهل بالكامل أو FQDN مع اسم الأمر القابل للتبديل. يستخدم الاسم المؤهل بالكامل لتعريف اسم المضيف بطريقة صارمة. يمكن العثور على مزيد من التفاصيل حول FQDN في البرنامج التعليمي التالي.
اسم المنظمة
قد يتم تفسير اسم المنظمة بشكل خاطئ بالاسم الشائع. اسم المؤسسة هو اسم المؤسسة التي تنتمي إليها البنية التحتية لتكنولوجيا المعلومات. لا ينبغي استخدام اسم المنظمة للاسم الشائع الذي سيؤدي إلى مشاكل أمنية.