трънки и блогинки

Нейерархични модели на доверие в X.509 – част I

Написано на: 11.01.2006 · Няма коментари

Yes it’s fucking political
Everythings political

Skunk Anansie за X.509 модела

Нейерархичните модели на доверие в X.509 са ми една от най-интересните теми от областта на PKI и затова искам да се опитам да ги опиша, за да си ги систематизирам първо за себе си, а и да опитам да предизвикам реакция от хора, които се интересуват от темата. Идеята ми е за три поста по темата, които ще трябва да обхванат проблема. Настоящия е за показване на ограниченията на X.509, вторият ще е за възможните връзки на доверие и различните структури, които може да възникнат при взаимно подписване на сертификати. В третият евентуално ще се опитам да опиша и установените модели за решяване на проблема като създаване на Bridge CA и ISO Banking trust model.

За мен основните предимства на X.509 са, че пътищата за проверка на доверие са по-къси и е по-лесен за разбиране и имплементация. Плюс това логическият модел съдържа в себе си и бизнес модела, което прави продажбата на доверие един от най-сериозните източници на приходи в интернет.

Класическият йерархичен модел на доверие, обаче, се основава на няколко грешни презумпции, които правят по-широкото му приложение трудно, ако не и невъзможно. Ето опит за описание на някои от тях:

  • Взаимоотношенията могат да бъдат описани, чрез йерархични връзки
  • В армията може, както и във доста корпорации. Моделът позволява гъвкавост, чрез междинни и суб-удостоверители, но понякока просто това не е реалният случай. Йерархичните структури са много разпространени, но те са само частен случай на възможните отношения.

  • Комуникацията и доверието са нужни единствено вътре в йерархията
  • PEM (Privacy Enhanced Mail) е може би най-добрият пример за това. Общуването протича по непредвидими канали и ако някой е имплементирал или се е замислял да имплементира PEM със сертификати от CA (Certification Authority), която я няма във всички клиенти, се е сблъскал с безсмислието му от по-широката му употреба, заради практическата невъзможност да се възстанови веригата на доверие от повечето получатели. Но от друга страна опитите за развитие на PEM довеждат до създаването на повечето методи и модели за алтернативните модели на доверие.

  • Една йерархия може да обхване всичко
  • Ако вземем за пример българските ДУУ (Доставчици на удостоверителни услуги) ще видим, че те могат да бъдат определени поне по един признак. Първо, те са лицензирани и оперират изключтелно на територията на страната, което прави сертификатите, издадени от тях безполезни за комуникации извън страната. Второ и по-често срещано разделение е тяхната „тематична“ ниша. Примерно „Информационно обслужване“ се ползва предимно за комуникация с държавата, акцентът „Банксервиз“ май е в междубанковите комуникации, а БСК вероятно ще акцентира на бизнес потребителите. Нормално е всяки да е силен в някоя пазарна ниша, но когато представители на две такива „ниши“ трябва да комуникират помежду си, си проличава недостатъка на модела. Плюс това стремежът да се обхване по-голяма област води до увеличаване на междинните звена.

  • Структурни реорганизации и грешки при проектирането на CA
  • И двата фактора съществуват и двата не могат да бъдат предвидени.

Житейски да „продаваш доверие“ звучи и е абсурдно, както вероятно е абсурдно и от гледна точка на психологията. За целите на X.509 „Доверие“ се дефинира от ITU (International Telecomunications Union) като:

“Generally an entity can be said to ‘trust’ a second entity when the first entity makes the assumption that the second entity will behave exactly as the first entity expects.”

Въпреки това опростено определение при изграждането на PKI структури се взимат предвид няколко особености на по-широкото понятие за доверие. При X.509 може да се каже, че доверието е основно функция на близостта между двете звена, положението в йерархията, понякога и посоката на доверие, като през цялото време не трябва да се забравя и предназначението на сертификата.

Основният проблем, обаче, при изграждането на добро PKI решение идва от нуждата да се разберат и отразят областите на доверие в дадената структура чрез стредствата на X.509. Пример за област на доверие е един фирмен отдел, в който хората работят заедно и се познават, а по-широка област на доверие е цялата фирма. В една организационна структура може да съществуват различни области на доверие (по отдели, по регионални офиси), които да се застъпват и припокриват и дори да излизат от рамките на организацията.

Друг момент, свързан с предишния, е нуждата от намирането на общ доверител. В една организация е възможно да бъде лесно положена основа, но когато излезем от нейните рамки рядко може да се намери единен доверител.

Тези недостатъци на йерархичния модел на доверие водят до нуждата от изграждане на по-гъвкави и по-сложни модели на доверие използвайки средствата на X.509.

Категория: всякакви