| Новые программы oszone.net |  |
Инфраструктура открытого ключа (PKI) является фундаментальным элементом при построении доверия между различными приложениями, операционными системами и идентификационными областями. PKI строится на основе иерархической модели доверия, где конечные субъекты доверяют общему ключу на высшем корневом уровне и, следовательно, все остальные ключи, подписанные этим корнем, становятся доверенными. Благодаря этой структуре, правильно разработанную PKI можно легко расширить с помощью дополнительных центров сертификации (ЦС), не изменяя конечные субъекты. PKI реализуются одним из следующих способов: самый распространенный подход — по мере необходимости приобретать сертификаты у одного из безоговорочно доверенных поставщиков, например Cybertrust или VeriSign. Такие сертификаты, как правило, используются для обеспечения безопасности потоков данных на веб-узлах. Тем не менее они также применяются для шифрования в виртуальных частных сетях, для подписи сообщений электронной почты и других подобных задач. Эта технология позволяет свободно вывести отношения доверия за пределы организации, поскольку такие глобальные корни встроены в каждый современный веб-обозреватель. Внедрение такого метода в большой организации, однако, может оказаться дорогостоящим, так как сертификаты приобретаются только по мере необходимости. В последнее время большее распространение получает модель внутренней PKI. Как следует из названия, внутренняя PKI обеспечивает доверие только внутри корпоративной сети. Эта модель дает компании более экономичный способ поддержки работы каждого пользователя и вычислительного устройства в сети с помощью сертификатов. Такой метод зачастую применяется с целью упростить работу при использовании таких технологий, как вход со смарт-картой, шифрованная файловая система (EFS) и защищенная беспроводная сеть. Недостатком же этого метода является то, что такие сертификаты не самым лучшим образом подходят для приложений с доступом за пределы сети, поскольку не обладают глобальным доверием. Поэтому большинство организаций, внедривших внутреннюю PKI, применяют комбинированный подход, приобретая для открытых приложений сертификаты одного из корней с глобальным доверием. Как воспользоваться преимуществами обоих методов? А если ваша организация будет использовать собственную PKI: экономить средства, раздавая внутренние сертификаты и обеспечивая сертификаты с общим доверием, — и все это из своей локальной системы? Такое решение дает преимущества внутренней PKI (как, например, интеграция службы каталогов Active Directory®, автоматическая подача заявок и локализованная IT-поддержка) и главное преимущество корневого сертификата с глобальным доверием. В университете штата Луизиана внедрена именно такая система. В этом выпуске будет подробно описана эта система, ее техническое решение и приведены практические рекомендации по развертыванию системы такого типа. Необходимо отметить, что данное решение было разработано, исходя из конкретных условий, продиктованных средой, ресурсами и бизнес-требованиями. Перед тем как определить оптимальный тип решения, необходимо учесть приведенные выше условия применительно к конкретной организации.
|
| Управляется Cybertrust | Управляется университетом |
| Находится в защищенном центре Cybertrust | Находится на территории университета в Бэтон Руж |
| Имеется в стандартном корневом сертификате почти всех современных вычислительных систем | Выдает сертификаты конечным объектам организаций университета |
| Сертификаты, выданные университетом, находятся на корневом уровне Cybertrust и поэтому обладают глобальным доверием |
На корневом уровне формируется якорь доверия иерархии. Другими словами, отношения доверия всех сертификатов, выданных любым ЦС в иерархии, применяются к корневому ЦС (см. рис. 3). Таким образом, корневой ЦС объединяет все ЦС, сертификаты и конечные объекты в иерархии. Поскольку глобальный корневой сертификат Cybertrust встроен в операционную систему Windows® и практически в любую современную компьютерную систему, эта общая структура распространяется за пределы сети университета.
Рис. 3 Сертификат, выданный центром сертификации университета
Работа с корневым центром сертификации происходит на одном из защищенных узлов Cybertrust. На данных объектах используются мощные средства физической безопасности, включая шлюзовые кабины, биометрические замки и хранилища с особой степенью защиты, закрытые медными кожухами. Cybertrust выдает сертификаты только ЦС тех организаций, политики безопасности и сертификатов которых соответствуют установленным требованиям.
ЦС университета — это система, работающая с конечными объектами и выдающая сертификаты пользователям и компьютерам университета. Сертификат ЦС университета подписан ЦС Cybertrust на более высоком уровне иерархии; сертификаты, выданные ЦС университета, поступают по цепочке через сам центр в корневой ЦС Cybertrust (см. Рис. 3).
Оборудование и операционная
система для сертификации
ЦС университета построен на основе Windows Server® 2003 Enterprise Edition с пакетом обновления 1 (SP1). ЦС Windows Server 2003 предоставляет массу возможностей, включая архивацию ключа, разностные списки отзыва сертификатов и шаблоны "версии 2". ЦС на основе Windows применяется в соответствии со стандартными требованиями политики использования сервера Windows в университете. В системе установлены все необходимые обновления безопасности. Система управляется с помощью стандартных методов управления изменениями, набора программного обеспечения и средств обновления. Одним словом, несмотря на то, что существуют особые аспекты работы с ЦС, основное серверное оборудование и операционная система легко интегрируются в привычную информационную среду организации.
Кроме стандартных методов установки сервера, применяемых в университете, мы воспользовались преимуществами мастера настройки безопасности, который входит в Windows Server 2003 с пакетом обновления 1 (SP1). Мастер использует базу данных, содержащую матрицы зависимостей задач при работе сервера Windows и настроек безопасности, необходимых для выполнения таких задач. В этой базе данных содержится информация по двум основным ролям ЦС: службы ЦС и службы IIS, обеспечивающей работу PKI веб-узла с самообслуживанием.
С помощью мастера настройки безопасности нам легко удалось создать шаблон безопасности, который отключил все службы кроме необходимых для данных заданий, а также усилил защиту сетевого стека сервера. Затем с помощью программы scwcmd.exe мы преобразовали этот шаблон в объект групповой политики, чтобы применить его к серверу на уровне подразделений. Такой подход упрощает расширение и восстановление после аварии, так как ролевые настройки безопасности ЦС университета теперь хранятся в службе каталогов Active Directory, а не на конкретных компьютерах.
Центр сертификации университета работает на сервере IBM xSeries 346 с двумя процессорами Intel Xeon с частотой 3,2 ГГц, 4 ГБ ОЗУ и пятью жесткими SCSI-дисками емкостью 146 ГБ. При данных требованиях к производительности ЦС и учитывая, что в университете используется модуль безопасности оборудования, такая платформа должна обеспечить значительную долговечность и запас для расширения.
Мы воспользовались стандартными методами размещения баз данных и файлов журнала на разных физических дисках, создав два массива RAID 1. Пятый жесткий диск используется для горячего резервирования и доступен каждому массиву. Первый массив является системным томом, на котором хранится база данных ЦС. Второй массив используется для хранения файлов журнала и других файлов данных, например списков отзыва сертификатов. База данных ЦС построена на технологии Microsoft Jet, применяемой и в других местах в Windows, например в Active Directory. Поэтому в данном случае используются методы обслуживания и конфигурации дисков, применяемые в других решениях для хранения данных на основе технологии Jet.
Аппаратный модуль безопасности (АМБ) — это специальное устройство, независимо управляемое из операционной системы. АМБ — это, как правило, PCI-адаптер, но существуют также и отдельные сетевые устройства. Такие модули являются безопасным хранилищем ключей ЦС, а также имеют специальный шифровальный процессор для ускорения формирования подписи и шифрования. Windows работает с АМБ посредством интерфейсов CryptoAPI. С точки зрения операционной системы АМБ представляет собой устройство поставщика шифрования. В соответствии с требованиями OmniRoot для создания и хранения ключей могут использоваться АМБ, сертифицированные на соответствие федеральному стандарту обработки данных FIPS 140-2, уровень 3 (устройства уровня 4 довольно редки). Как уникальные и высоко безопасные устройства, АМБ требуют значительных капиталовложений; розничные цены на АМБ на основе PCI-адаптеров составляют 10-15 тыс. долларов.
Мы используем модуль nCipher nShield 500 TPS (модель на 500 транзакций в секунду) как непосредственно подключаемый АМБ. ("Непосредственно подключаемый" означает, что он находится внутри сервера и используется только этим сервером в отличие от отдельных сетевых АМБ, доступных нескольким компьютерам.) Этот АМБ сертифицирован в соответствии с FIPS 140-2, уровень 3 и осуществляет защиту ключей методом разделения мастер-ключей (K of N). АМБ гарантирует мощную защиту от несанкционированного доступа к закрытым ключам: злоумышленнику придется пробраться в память АМБ и захватить определенное количество маркеров доступа и PIN-кодов к ним.
Важно отметить, что АМБ предназначены для предотвращения доступа злоумышленников к их содержимому. Таким образом, АМБ строго ограничивает максимальное количество неудачных попыток входа в систему. В нашей системе данные удаляются из хранилища без возможности восстановления после десяти последовательных неудачных попыток входа.
Поскольку в системе используется только один центр сертификации, дополнительные расходы на внешний сетевой АМБ не оправданы. Тем не менее, если планируется использование ЦС, приобретение внешнего АМБ, используемого разными центрами сертификации, существенно сократит расходы. Данный метод также упрощает управление маркерами, поскольку память ключей может защищаться одним и тем же набором маркеров.
Active Directory и
регистрация
Одно из преимуществ решения PKI на основе Windows заключается в том, что процесс сертификации не требует установки дополнительного программного обеспечения на объекты, являющиеся частью PKI. Сочетание автоматической подачи заявок и групповой политики делает автономную, не видимую конечному пользователю сертификацию более предпочтительной. В университете эта технология используется для автоматической выдачи сертификатов компьютерам-членам данной службы Active Directory. Кроме того, для обеспечения возможностей самостоятельного запроса сертификатов для узлов, не использующих Windows, мы используем специально настроенный веб-узел.
Как упоминалось ранее, в программе OmniRoot различаются открытые и внутренние сертификаты. Сертификаты считаются открытыми, если они используются системами или пользователями, не относящимися к университету (например, абитуриент, подавший заявление через веб-узел, защищенный SSL-протоколом). Сертификаты, используемые внутри университета (например применяемые для шифрования данных на серверах университета), считаются внутренними.
Необходимо вести учет приобретаемых открытых сертификатов, поскольку от их количества зависит стоимость программы OmniRoot. Чтобы различать открытые и внутренние сертификаты, используется шаблон: имя каждого публичного сертификата начинается с "PublicCertificate", а отображаемое имя — с "Public Certificate". Например, TLS-шаблон сертификата нашего университета создан на основе стандартного шаблона Windows Web Server и называется Public Certificate LSU Web Server (открытый сертификат веб-сервера университета штата Луизиана). Для внутренних серверов имеется второй шаблон, Internal Certificate LSU Web Server (внутренний сертификат веб-сервера университета штата Луизиана). С технической точки зрения эти шаблоны одинаковы, различие в именах лишь упрощает учет.
При масштабной регистрации, например, регистрации целых отделов, когда используются сертификаты по протоколу IPSec, применяется автоматическая подача заявок. Это простое и чрезвычайно эффективное средство, встроенное в Windows. Администратору PKI достаточно изменить список управления доступом в шаблоне, давая право на автоматическую подачу заявок какой-либо нуждающейся в сертификатах группе пользователей или компьютеров. Затем эти объекты автоматически проверяют Active Directory, определяют шаблоны, к которым имеется автоматический доступ, находят ЦС, содержащие эти шаблоны, и автоматически подают заявку на сертификаты. Кроме того, функция автоматической подачи заявок обеспечивает замену сертификата в случае замены и автоматического обновления до истечения срока действия шаблона.
Для индивидуальных запросов, например сертификации веб-серверов, имеется веб-узел с самообслуживанием, где пользователи могут запросить сертификат через веб-обозреватель. Этот узел создан на основе страниц регистрации через Интернет, имеющихся в Windows Server 2003 (виртуальный каталог /certsrv): был создан стандартный для веб-узлов университета дизайн, а на странице запросов пользователю предлагаются стандартные варианты ввода. Кроме того, используется стандартный модуль выхода службы сертификации Windows, который автоматически отправляет сообщение по электронной почте группе администраторов PKI, если запрос, отправленный с этого узла, требует одобрения.
Отзыв сертификатов
Каждый сертификат имеет срок действия. Иногда возникает необходимость аннулировать тот или иной сертификат до окончания срока действия (например, сотруднику выдан сертификат, действительный до мая 2007 г., а он увольняется в январе). Такая операция реализуется посредством списков отзыва сертификатов (СОС), которые представляют собой список серийных номеров сертификатов, подписанных ЦС. Серийные номера в списках отзыва сертификатов указывают на сертификаты, срок действия которых не истек, но в доверии к которым отказано. Клиенты могут загружать эти списки и проверять действительность сертификатов.
Каждый сертификат x.509 v3 (кроме сертификата корневого ЦС) должен иметь указатель на действительный список отзыва сертификатов. Этот указатель называется точкой распространения СОС или ТРС. ТРС содержится в самом сертификате (см. рис. 4) и после выдачи сертификата изменению не подлежит. СОС являются главным средством для удостоверения действительности сертификатов, выданных ЦС. Поэтому мы обеспечиваем физическое резервирование СОС, их высокую доступность и простой доступ извне.
Рис. 4 Точка распространения СОС
ЦС сервера Windows, интегрированный с Active Directory (как в нашем университете), автоматически публикует СОС в Active Directory, благодаря чему он становится доступен по протоколу LDAP. Стандартное место публикации — это контейнер ТРС (см. рис. 5), находящийся в контейнере службы открытых ключей леса. Это место публикации очень удобно, поскольку оно обеспечивает автоматическую репликацию, отказоустойчивость и локальность для поиска ТРС.
Рис. 5 Контейнер ТРС
Однако в нашем университете много работающих с PKI компьютеров, на которых установлены программные продукты, отличные от Windows и Active Directory. Университет — крупная организация, большинство пользователей которой работают в университетской сети производительностью 10 Гбит/с, что сводит преимущества использования публикаций ТРС средствами Active Directory к минимуму.
Поэтому СОС публикуется только в HTTP, что позволяет упростить построение резервной платформы размещения (основной веб-узел уже имеет зеркало). Это также исключает возможные сложности, связанные с клиентским поиском по протоколу LDAP. СОС публикуется ежедневно, а разностные СОС публикуются каждый час.
Перспективы
Несмотря на то что настоящая PKI является надежным решением, обеспечивая безопасность университетского сообщества, мы планируем и дальше ее совершенствовать. Windows Vista™ и новая версия сервера Windows (кодовое название "Longhorn") предоставляют множество новых возможностей управления ключами, которые мы намерены исследовать. Нас особенно заинтересовали возможности клиента и респондента интерактивного протокола состояния сертификата (OCSP), поддержка эллиптической криптографии и алгоритмов SHA-256, а также значительно улучшенный интерфейс автоматической подачи заявок. Кроме того, в пакете обновления 3 (SP3) для Windows XP заявлена функция роуминга учетных данных, которая обеспечит безопасное перемещение пар ключей без затрат ресурсов, связанных с перемещением профилей. Наконец, с целью улучшения управления и отчетности мы исследуем применение диспетчера жизненного цикла сертификатов (на данный момент доступна бета-версия).
Таким образом, университетская PKI является мощной службой безопасности, необходимой для осуществления множества важнейших информационных функций. Программа Cybertrust OmniRoot позволяет использовать инфраструктуру открытого ключа, которая хорошо интегрируется с другими информационными системами университета, расширяя их глобальное доверие. Реализация решения на основе службы ЦС Windows обеспечивает эффективную сертификацию, управление, отличную интеграцию с существующим каталогом и систему управления идентификаторами. Словом, в университете штата Луизиана мечта о мощной защите и полном доверии средствами PKI уже становится реальностью.
| Оценить статью: |  |