PKI
Från Rilpedia
PKI, public key infrastructure, är det dominerande sättet för att hantera publika krypteringsnycklar.
Innehåll |
Hierarki av förtroende
PKI möjliggör för användare av ett i grunden osäkert offentligt nätverk, som till exempel Internet, att säkert utbyta data genom att använda asymmetrisk kryptering. Varje användares publika nyckel knyts till användarens uppgifter med hjälp av ett certifikat. Certifikatet är signerat av en certifikatauktoritet (CA). Även CA:n har ett certifikat som knyter CA:ns publika nyckel till CA:ns uppgifter.
Eftersom signeringar gjorda med den privata nyckeln kan verifieras om man känner till den publika nyckeln kan man:
- Verifiera att alla användares certifikat är äkta och innehåller korrekta uppgifter om man har CA:ns certifikat
- Verifiera att signaturer gjorda av en användare är äkta om man har en användarens certifikat
Detta innebär att det räcker med CA:ns certifikat för att kunna verfiera identiteten på en part.
Användningsområden
Exempel på identitet som kan verifieras med PKI är
- en webbplats namn som "secure.wikileaks.org"
- en person som skickat ett signerat e-postmeddelande
- en person som loggar in på en webbsida över SSL med ett klientcertifikat
- tillverkaren av datorprogram eller annan mjukvara
- en maskindel eller komponeter i DRM-system
PKI på Internet
De flesta webbläsare innehåller redan från början en lista med betrodda CA-certifikat. Dessa betrodda certifikat är utgivna av företag eller organisationer som lever upp till höga säkerhetskrav för hur användar-certifikat ges ut för att kunna garantera att det namn som skrivs in i webbläsarens addressfält verkligen tillhör ägaren av certifikatets privata nyckel. Exempel på företag som har betrodda CA-certifikat är VeriSign och Thawte. SSL är det protokoll som används för säker surfning.
Implementationer med öppen källkod
- OpenSSL är den enklaste formen av CA och verktyg för PKI. Finns inkluderad i alla de stora Linux-distributionerna. (GPL-licensierat)
- EJBCA är en skalbar, anpassningsbar, plattformsoberoende CA med installationer över hela världen[1] som huvudsakligen utvecklas i Sverige av PrimeKey Solutions AB. (LGPL-licensierat)
- TinyCA är ett grafiskt gränssnitt för OpenSSL
- OpenCA
Standarder
X.509 är den standard som styr den vanligaste typen av certifikat. Men många andra standarder reglerar området.
Relaterad teknologi
Även Pretty Good Privacy och GNU Privacy Guard kan användas för att kryptera e-post och identifiera identiteter, men använder att korslänkat företroende mellan användarna istället för en hierarkiskt struktur vilket ger en distribuerad struktur, som dessvärre är mer opraktisk att verifiera.
