9th International Scientific Conference on Production Engineering DEVELOPMENT AND MODERNIZATION OF PRODUCTION MODEL PKI INFSTRUKTURE ZA VISOKOOBZOVNU USTANOVU Eldin Okanović, Amel Džanić Tehnički Bihać, okanovic.eldin@gmail.com, amel.dzanic@gmail.com Ključne riječi: Javni ključ, Certifikaciono tijelo, Kriptografija SAŽETAK: Prenos informacija predstavlja sigurnosni rizik bilo da se ono obavlja preko lokalne mreže, Interneta ili čak na samom host računaru. Primjenom odgovarajućih modela ovaj se rizik može umanjiti. Temelj sigurnosti informacija u svakoj organizaciji, pa tako i u visoko obrazovnoj, jeste uspostava certifikacionog tijela, čiji je glavni zadatak izdavanje sigurnosnih certifikata, te upravljanje PKI (eng. Public Key Infrastrure) infrastrukturom.u ovom radu analizirat ćemo postojeće modele PKI (eng. Public Key Infrastructure)infrastruktura,te predstavit model PKI infrastrukture za visoko obrazovnu ustanovu. 1. UVOD Mnoge ustanove i ljudi koriste PKI infrastrukturu pri izvršavanju poslovnih transakcija putem interneta. Njen cilj je da osigura siguran, prikladan i efikasan način distribucije javnog ključa, neophodnog pri enkripciji povjerljivog sadržaja prije nego što se započne njegovo slanje preko nesigurnog kanala (internet, lokalna mreža, pa čak unutar host računara). Slika 1. Dijagram PKI insfrastrukture [2] Postoji velik broj modela PKI infrastruktura koje su u široj primjeni, a razlikuju se po zahtjevima konfiguracijskih informacija, pravilima povjerenja i nivou međuoperabilnosti. Klijenti PKI infrastrukture mogu biti ljudi, serveri, klijentski računari, i svi drugi subjekti uključeni u izvršavanju 303
sigurne transakcije [1]. Na slici 1 dat je dijagram PKI infrastrukture sa tokom komunikacije između osnovnih subjekata pri autorizaciji korisnika u procesu sigurne kupovine. 2. PKI INFSTRUKTU PKI infrastruktura je skup hardvera, softvera, ljudi, polica i procedura neophodnih za kreiranje, upravljanje, pohranjivanje, distribuciju i povlačenje sigurnosnih certifikata baziranih na kriptografiji koja primjenjuje javni ključ. PKI se sastoji od pet komponenti, datih u tabeli 1. Tabela 1.: Komponente PKI infrastrukture[2] Tip komponente Opis Certifikaciono tijelo () Izdaje i povlači sigurnosne certifikate Registraciono tijelo () Jamči vezu između javnog ključa i identiteta vlasnika certifikata, te drugih atributa Vlasnici certifikata Potpisuju i kriptuju digitalne dokumente Klijenti Repozitoriji Validiraju digitalne potpise i njihove certifikacione putanje prema poznatom javnom ključu i certifikacionim tijelima od povjerenja Pohranjuju i omogućuju pristup sigurnosnim certifikatima te listama povučenih certifikata (CRL, eng. Certificate Revokation List) 2.1. PKI standardi i specifikacije Postoji nekoliko radnih grupa i instituta koje razvijaju i definišu standarde i specifikacije PKI infrastruktura. Jedni od najprimjenjenijih standarda su: Internet X.509 PKI infrastruktura (PKIX) PKIX radna grupa NIST PKI program Američki institut za standarde i tehnologiju PKIX je otvoreni standard kojim je definisanaosnovna grupa entiteta i njihova međusobna interakcija unutar PKI infrastrukture prikazanih na slici 2. Slika 2.: PKI entiteti [2] Pojedine komponente standarda su definisane i sa RFC dokumentima datim u sljedećoj tabeli: 304
Tabela 2.: Pregled RFC dokumenata za PKIX standard [2] Subjekt RFC Profil X.509 v3 Certifikata sa javnim ključemi X.509 v2 CRL RFC 2459 PKIX protokoli za upravljanje certifikatima RFC 2510 Operacijski protokoli RFC 2559, RFC 2585, RFC 2560 Certifikacijska polica i framework u certifikacijskoj praksi RFC 2527 Vremenski pečat i servisi za certificiranje podataka RFC 3161, RFC 3029 NIST (eng. National Institute of Standards and Technology) ima vodeću ulogu u razvoju, evaluaciji, te održavanju Američke Federalne PKI infrastrukture. Tedencije ove ustanove nije da duplicira rad postojećih PKI razvojnih grupa, već da olakša integraciju različitih implementacija tehnologija javnog ključa koje nisu međusobno operabilne. Budući da je vlada SAD-a veliki kupac, može se očekivati da će rad NIST-a na neki način odrediti budućnost PKI implementacija koje će se koristiti u cijelom svijetu. U suradnji sa parnerima AT&T, BBN, Certicom, Cylink, DynCorp, IRE, Motorola, Nortel (Entrust), Spyrus i Verisign, NIST je razvio minimalnu specifikaciju za međuoperabilnost PKI komponenti (MISPC). [5] 3.PREGLED OSNOVNIH MODELA PKI INFSTRUKTURE Tačan brojrazličitih modela PKI infrastruktura razlikuje se od diskusionog foruma do foruma, ali većina modela se može adekvatno svrstati unutar sljedećih 5 modela: 1) /Hijararhijski model 2) Hibridni model mesh PKI model 3) Premosni model 4) Model sa unakrsnim prepoznavanjem 5) Model sa listom certifikata od povjerenja mrežni model [7] Hijarhijski model prikazan na slici 3, izbjegava mnoge probleme međuoperabilnosti, te nudi prikladnu i jednostavnu tačku pristupa. Međutim, isti model ima brojna ograničenje, pogotovo ukoliko se broj korisnika povećava: Tehničko i administrativno opterećenje postaje enormno u velikim PKI šemama (npr. na državnom nivou) Različite grupe korisnika mogu postaviti različite zahtjeve jednom koji ih ne može istovremeno isporučiti, npr. osjetljive aplikacije kao što je e-zdravstvo zahtjeva napredne i kompleksne procedure, dok porezne aplikacije mogu zahtjevati brzinu i efikasnost Javljaju se poteškoće pri prihvatanju jedinstvenog od strane svih korisnika Jedinstveni je očita meta hakerima, gdjesigurnosni proboj utječe na čitavu PKI infrastrukturu Hibridni model prikazan na slici 4, posjeduje drugačiji pristup međuoperabilnosti. Za razliku od hijararhijskog modela, svi su ravnopravni te mogu odlučiti da li da vjeruju jedan drugom. Povjerenje između dva se uspostavlja tako što oba izdaju cross-certifikat jedan drugom. U ovom slučaju korisnik može pratiti trag svog certifikata preko nepoznatog do poznatog lokalnog, što se postiže dopuštajući korisniku da se obrati repozitoriju certifikata od lokalnog, ili uključivanjem lanca digitalnih potpisa u samom certifikatu izdatom korisniku. 305
Subordinirani Subordinirani Subordinirani Korisnik4 Slika 3.: /Hijararhijski model Slika 4.: Hibridni model Napad na pojedini, utječe samo na jedan segment infrastrukture, dok se ostali mogu zaštititi povlačenjem cross-certifikata izdatom ugroženom. Međutim, uspostava međuoperabilnosti kroz mrežu cross-certifikacija predstavlja tehnički i logistički izazov, jer npr. povećanje broja u mreži uzrokuje još veći rast cross-certifikacija među njima, tačnije n2. Premosni model datom na slici 5, je baziran na centralnom, koji ima ulogu komunikacijskog kanala između ostalih neovnisnih. Može se reći da ovaj model kombinira najbolje aspekte prethodna dva modela, jer centralizira problem međuoperabilnosti u jedno tijelo čiji je glavni zadatak da razvija i ponudi najbolja riješenja međuoperabilnosti. Subordinirani Premosni Subordinirani Korisnik4 Slika 5.: Premosni model 306
Oglašavčko tijelo Koordinacijsko tijelo Sporazum......... Korisnik4 Slika 6.: Model sa unakrsnim prepoznavanjem Lista certifikata od povjerenja Slika 7.: Model sa listom certifikata od povjerenja Model sa unakrsnim prepoznavanjem, prikazanim na slici 6, razlikuje se od hibridnog modela u nekoliko aspekata. Na primjer, ne postoji uzajamno (ili čak jednostrano) priznavanje između. Model se temelji na ideji da neovisne licencira i akredituje zajedničko tijelo (koordinacijsko tijelo na slici). Krajnji rezultat se ogleda u tome da sve dok korisnik vjeruje koordinacijskom tijelu, moći će prepoznati certifikate izdate od licenciranih i akreditovanih. Model sa listom certifikata od povjerenja dat je na slici 7. Sama lista certifikata je elektronski potpisana, čime je osiguran njen integritet. Najčešći korisnici ove vrste modela su web preglednici, koji pri instalaciji učitavaju listu najprestižnijih, npr. Verisign, RSA, Thawte, itd. [7] 4. PRIMJER MODELA PKI INFSTRUKURE UNIVERZITETA U BIHAĆU U februaru 2012. godine uspostavljena je PKI infrastruktura na Univerzitetu u Bihaću. Model infrastrukture prikazan je na slici 8, gdje su sva certifikaciona i registracijska tijela u offline režimu rada. Drugim riječima, svi izdati certifikati sa javnim ključem su javno objavljeni na službenoj stranici Univerziteta i dostupni korisnicima servisa. Bitno je napomenuti da u trenutku pisanja ovog rada, citiram: Federacija BiH nema legislativu za primjenu elektronskog potpisa, jer se oslanja na Zakon o elektronskom potpisu BiH., te iz tog razloga je uz PKI infrastrukturu Univerziteta u Bihaću navedena i PKI infrastrukura Federacije BiH koja bi u budućnosti trebala da akredituje i licencira postojeće PKI infrastrukture onih ustanova koje spadaju u njenu nadležnost.kao operativno tijelo za BiH vrlo uspješno se kandidira državna agencija IDDEEA, što bi svakako trebalo uzeti u obzir kod izbora OA (operativno tijelo).[4] 307
FBiH Pravni PF Islamsko pedagoški FBiH BofT Biotehnički IPF PKI infrastruktura Federacije FBiH????????????? BF Pedagoški UNBI PFB Rektorat EF UNBI Računovodstvo TF Ekonomski Tehnički VZS TF TF infoservis Računovodstvo VZS infoservis Visoka zdravstvena škola PKI infrastruktura Univerziteta u Bihaću Slika 8.: PKI infrastruktura Univerziteta u Bihaću 5. ZAKLJUČAK Ovaj rad je nastao kao rezultat projekta autora rada: Dizajn i implementacija PKI infrastrukture Univerziteta u Bihaću. Uspostava PKI infrastrukture otvara vrata sigurnom elektronskom poslovanju ustanove, što čini elektronsko potpisivanje dokumenata, autorizacija i identifikacija korisnika, integritet razmjenjenih podataka preko nesigurnih kanala, itd. Navedeni su neki od osnovnih modela PKI infrastruktura, te njihove prednosti i mane. Nepostojanje otvorenog sistema certificiranja na nivou države BiH, PKI infrastruktura bilo koje privredne ustanove, uključujući i obrazovne, predstavlja neovisnu domenu ili zatvoreni sistem. 6. LITETU [1]Perlman R.: Overview of PKI Trust Models, IEEE Network, 1999. godina [2]Xenitellis S.: A guide to PKIs and Open-source implementations, Open Team, 2000. godina [3] Kuhn R., Hu V., Polk T., Chang S.: Introduction to PKI [4] Analiza učinka propisa na pravni i institucionalni okvir za elektronski potpis, Ministarstvo komunikacija i prometa BiH, 2011. godina [5] Burr W., Dodson D., Nazario N., Polk T.: Minimum interoperability specification for PKI Components (MISPC) Version 1, NIST Special Publication 800-15, januar 1998. [6] Ijaz I.: Design and Implementation of PKI (For Multi Domain Environment), International Journal of Computer Theory and Engineering, August 2012. godine [7] Connolly C., Dijk P., Vierboom F., Wilson S.: PKI interoperability models, Galexia, februar 2005 308