Занятие 1. Сертификаты и аутентификация

(Продолжительность занятия 20 минут)

Сертификаты — способ цифровой аутентификации для программных систем обеспечения безопасности. Они позволяют удостовериться в подлинности объекта или субъекта, когда невозможно получить физические доказательства. Сертификаты предоставляют необходимую информацию для создания защищенного соединения и идентификации его инициатора.

Изучив материал этого занятия, Вы сможете:

• понять, как работает шифрование и дешифрование данных;
• описать, что такое цифровые сертификаты и конверты;
• объяснить роль цифровых сертификатов в создании защищенного соединения;
• описать криптографический интерфей прикладного программирования Microsoft CryptoAPI и его применение для защиты пакетов при пересылке их по Интернету.

Чтобы реализовать аутентификацию и обеспечить конфиденциальность информации в незащищенных сетях (например, в Интернете), требуется привлечь средства шифрования и дешифрования данных или, иными словами криптографию в качестве составной части программной системы защиты.

Криптография

Криптография — это совокупность методов шифрования данных и сообщений для их защиты при хранении и передаче. Этот способ обеспечивает защиту соединений даже в незащищенной среде (например, при передаче информации по Интернету). Средства криптографии также позволяют зашифровывать файлы конфиденциальной информации на компьютере, чтобы взломщик не мог прочитать их содержимое.

Для того чтобы программные приложения пользовались всеми постоянно усложняющимися и расширяющимися возможностями криптографических технологий, им необходим интерфейс прикладного программирования, обеспечивающий доступ к средствам защиты и шифрования.

Microsoft Cryptographic API (CryptoAPI) — 32-битный интерфейс прикладного программирования для Microsoft Windows, реализующий множество функций защиты информации. Поддержка CryptoAPI — составная часть Microsoft Windows NT Server, и, следовательно, эти средства доступны Internet Information Server. Если Вы разрабатываете Windows-приложения для коллективной работы группы пользователей, Интернет-приложения или настольные приложения, требующие защиты, этот API идеально подойдет для Ваших нужд. CryptoAPI находит применение в различных областях, включая:

• средства проведения конференций в реальном времени;
• средства передачи информации в глобальных сетях:
• системы авторизации потребителей;
• банковские приложения, в том числе использующие технологии смарт-карт;
• утилиты шифрования и дешифрования файлов;
• приложения электронной почты;
• приложения коллективной работы.

CryptoAPI построен по модульному принципу. Все криптографические операции выполняют заменяемые компоненты — так называемые поставщики криптографических услуг (Cryptographic Service Providers, CSPs). Ядром каждого CSP служит определенный криптографический алгоритм. CSP не зависит от использующего его приложения; таким образом, приложение способно работать с множеством различных CSP. Это позволяет Вам, не изменяя приложение, выбрать поставщика криптографических услуг, который обеспечит необходимый уровень защиты.

Симметричное шифрование

Для шифрования сообщений применяется так называемый ключ шифрования, а для обратной процедуры соответственно — ключ дешифрования. Чрезвычайно важно строго ограничить доступ к последнему, так как любой, в чьи руки попадет этот ключ, сможет прочитать все сообщения, которые были «закрыты» соответствующим ключом шифрования.

Асимметричное шифрование

Асимметричное шифрование базируется на применении двух разных ключей: открытого (public key) и личного (private key). Последний хранится у владельца пары ключей, а первый рассылается всем, кому это необходимо (как правило, с помощью цифрового сертификата). На приведенном ниже рисунке видно, что один из ключей применяется для шифрования сообщения, а второй — для его расшифровки.

Цифровые подписи и цифровые конверты

Цифровые подписи (digital signatures) и цифровые конверты (digital envelopes) создаются с использованием двух похожих процессов, однако первый подразумевает применение личного ключа отправителя, в то время как второй — открытого ключа получателя.

Цифровые подписи используют для подтверждения авторства сообщений, но не для их шифрования. Как показано на предыдущем рисунке, отправитель средствами своего личного ключа создает цифровую подпись, прилагаемую к сообщению. Получив сообщение, адресат с помощью открытого ключа отправителя проверяет подлинность подписи. Поскольку для этого необходим открытый ключ отправителя, цифровая подпись служит доказательством подлинности авторства сообщения.

Цифровые конверты применяют для отправки конфиденциальных сообщений, которые может расшифровать только определенный получатель. Чтобы создать цифровой конверт, отправитель шифрует сообщение посредством открытого ключа получателя. Такое сообщение можно расшифровать только с помощью личного ключа получателя, поэтому прочитать его сумеет только адресат.

Цифровые сертификаты

Такие способы, как цифровые подписи и конверты, предполагают, что подлинность владельца открытого ключа, использованного для шифрования или дешифрования сообщения, не вызывает сомнений.

Гарантией подлинности владельцев открытых ключей служат цифровые сертификаты Microsoft Certificate Server — надежное средство для обмена открытыми ключами по незащищенным сетям.

Цифровой сертификат (digital certificate) — это совокупность данных, полностью идентифицирующих объект или субъект. Сертифицирующий орган (Certificate Authority, CA) выдает его только после того, как удостоверится, что объект или субъект является именно тем, за кого себя выдает. В состав сертификата входит открытый криптографический ключ, присвоенный владельцу сертификата. Когда отправитель сообщения подписывает его средствами своего личного ключа, получатель сообщения может использовать открытый ключ отправителя (полученный из сертификата, присланного с сообщением, или уже имеющийся в службе каталогов получателя) для проверки аутентичности отправителя.

Списки отозванных сертификатов

Сертификаты, как и большинство применяемых в различных областях средств идентификации, могут иметь ограниченный срок действия. Но это не единственная причина, по которой сертифицирующий орган вправе отозвать сертификат* . Каждый сертифицирующий орган ведет список отозванных сертификатов (Certificate Revocation List, CRL); заглянув в него, клиенты могут проверить правомочность любого сертификата.

Резюме

Если работники Вашей организации обмениваются информацией по незащищенным сетям (например, по Интернету), для аутентификации и защиты данных Вам понадобятся средства шифрования и дешифрования. На этом занятии описаны основные составляющие этого процесса. Цифровые сертификаты помогают установить подлинность корреспондента и предоставляют информацию, необходимую для обеспечения конфиденциальности соединения. Цифровые подписи служат для подтверждения авторства, а цифровые конверты — для пересылки конфиденциальных сообщений, которые сможет прочитать только адресат. Открытые и личные ключи предназначены для шифрования и дешифрования сообщений; ограничение доступа к этим ключам — гарантия конфиденциальности.

* Например, в случае нарушения конфиденциальности соответствующего личного ключа. — Прим. ред.