Инфраструктура на јавниот клуч

thumb|300п|Дијаграм на инфраструктурата на јавниот клуч
**Инфраструктура на јавниот клуч** претставува збир на хардвер, софтвер, луѓе, политика, и процедури потребни за создавање, управување, дистрибуирате, употреба, чување, и одземање на дигитални сертификати.

Во криптографија PKI е аранжман кој ги врзува јавните клучеви со соодветните кориснички идентитети со помош на сертификатот за авторитер. Корисничкиот идентитет мора да биде единствен во рамките на  certificate authority доменот. Врзувањата се воспоставуваат преку регистрација и issuance process, кое зависи од нивото на осигурување кое го има врзувањето, може да се изврши од страна на софтвер од страна на CA, или пак под човечки надзор. PKI има улога да увери дека ова поврзување е наречено Registration Authority (RA). RA уверува дека јавниот клуч е врзан за поединецот  на кој му е доделен на начин на обезбедување non-repudation.
Поимот trusted third party (TTP) може да биде употребен за certificate authority (CA). Поимот PKI понекогаш погрешно се користи за означување public keys algorithms, кои не бараат употреба од CA.

Терминот доверливост од трета страна или trusted third party (**TTP**) исто така може да се користи кај сертификати за авторитет (**CA**). Поимот јавен клуч понекогаш погрешно се користи за означување алгоритми за јавни клучеви или public keys algorithms, кои не бараат употреба од CA.

## Преглед
Заштитата јавен клуч е криптографска техника која им овозможува на корисниците безбедно да комуницираат на небезбедна јавна мрежа, и со сигурност да го верифицираат идентитетот на корисникот преку дигитални потписи. 
Инфраструктурата на јавниот клуч е систем за создавање, складирање и дистрибуција на дигитални сертификати кои се употребуваат за потврда дека одредени јавни клучеви припаѓаат на одредена заедница. Јавниот клуч создава дигитални сертификати кои ги мапира јавните клучеви во целина, безбедно чувајки ги овие сертификати во централното складиште, и ги отповикува назад ако се потребни.
Инфрастуктурата на јавниот клуч се состои од:
* A *Сертификати за афторитет* која и двете ги верификува како дигитални сертификати
* A *Регистарски авторитет* кој го верификува идентитетот на корисникот по барање на CA
* A *Централен директориум* е безбедна локација на која се зачувуваат index keys
* A *Сертификат за управување со системот*

## Методи на сертификација
Генерално кажано, има 3 пристапи за добивање на довербата: Certificate Authorities (CAs), Web of Trust (WoT), и Simple public key infrastructure (SPKI).

### Издавачи на сертификати
Примарната улога на CA е дигитално да се потпишат и да го објават јавниот клуч врзани за даден корисник. Ова е направено со употреба на приватниот клуч на CA, и довербата на корисничкиот клуч се потпира на еден доверба на валидноста CA клучот. Механизмот кој ги врзува клучевите со корисникот е наречен регистрација за авторитет или Registration Authority (RA), со кој може или не може да се раздели од CA. Врзувањето клуч-корисник е воспоставено, засновано на нивото на осигурување што го има поврзувањето, без разлика дали е од софтвер или под надзор од човек.

Поимот trusted third party (**TTP**) може да биде употребено за (**CA**). Повеќе пати, јавниот клуч само по себе употребува синоним за имплементација за CA.

#### Привремени сертификати сам најавен
Овој пристап инволвира опслужувач кој работи како онлајн сертификат авторитет со single sign-on систем. Со single sign-on опслужувач ќе внесе дигитални сертификати во системот на клиентот,но никогаш не ги зачувува. Корисниците можат да стопираат програми, итн. со моментален сертификат. Ова е неопходно да се пронајдат различни решение за со x.509 засновани сертификати.

### Веб доверба

Алтернативен пристап до проблемот со јавна авторизација на информации на јавниот клуч е шемата мрежа на доверба, која употребува само потпишаниcertificates сертификати и потврда од трета страна за сертификатите. Единечниот поим Мрежа на доверба не го имплементира постоењето на единствена мрежа на доверба, или земено точка на доверба, туку една од било кој број на потенцијални disjoint "мрежи на доверба". Примери за имплементација на овој пристап се PGP (Pretty Good Privacy) и GnuPG (имплементација од OpenPGP, стандардизирана спецификација на PGP). Бидејќи PGP и имплементациите дозволуваат употреба на e-mail дигитален потпис за self-publication од информациите за јавните клучеви, тоа е релативно лесно да се имплементира сопствена веб доверба.
Една од придобивките од Мрежа на доверба , како што е PGP, е тоа што може внатрешно да функционираат со PKI CA целосно сигурните делови во домеинот ( како интерна CA во компанијата) која е желна да ги гарантира сертификатите, како сигурен претставник. Ако мрежата на доверба е целосно сигурна, и бидејќи од самата природа на мрежата на доверба, осигурување еден сертификат е доделување доверба кон сите сертификати на таа мрежа. PKI вреди единствено како стандард и практики кои го контролираат издавањето на сертификати вклучувајќи го PGP или лично избрана мрежа на доверба може значително да ја намали сигурноста на тоа enterprise’s or domain’s implementation of PKI.
Концептот “Мрежа од Доверба” за првпат беше изнесена од страна на PGP основачот Phil Zimmermann во 1992 како прирачник за употреба на PGP 2.0 верзијата.

### Едноставен јавен клуч
Друга алтернатива, која не бара дозвола за авторизација на информациите од јавните клучеви, е единствениот јавен клуч (SPKI), која порасна поради надминуванјето на проблемите со комплексноста на X.509 и PGP мрежата на доверба. SPKI не associate корисници со луѓе, бидејќи *клучот* е во што се сигурни, а не во човекот. SPKI не употребува никаков поим на доверба, верификаторот е исто така издавач. Ова се нарекува "дозволен циклус" во терминологијата на SPKI, каде авторизацијата е составен дел од неговиот дизајн.

## Историја
Концептите за употреба на јавниот клуч беа откриени од страна на научниците Јаmes H. Ellis и British GCHQ во 1969 година. По откривањето и комерцијална употреба на јавниот клуч од страна на Rivest, Shamir, Diffie и други GCHQ британската влада го смета за успешно во рамките на оваа област и го пушта во употреба. Сепак ненавременото објавување на Spycatcher владата издаде ред за молк за целосните детали за GCHQ чии достигнувања никогаш не беа откриени.

На јавната објава на двата безбедносни клуча и асиметричниот алгоритам во 1976 година од страна на  Diffie, Hellman, Rivest, Shamir, и Adleman со оваа промена комуникацијата ја направија да биде безбедна во целост. Со понатамошниот развој на високата брзина на дигиталните електронски комуникации (Интернет и неговите претходници), потребата стана јасна за начиотн на кои корисниците ќе може безбедно да комуницираат едни со други, начини на кои корисниците може да биде сигурен со кого тие всушност вршат интеракција.
Избрани криптографски протокли биле измислени и анализирани кон новита примитивна криптографија кој би можеле да ги користат. Со пронаоѓањето на World Wide Web  и неговото брзо ширење, пшотребата за комуникација стана уште поакутна. Само комерцијалните причини (пример: е-бизнис on-line пристап до база на податоци од web браузери и слично) беа доволни. Taher Elgamal и другите од Нетскејп развија SLL протокол (https во веб URL). Toa вклучува претставување на клучот автентикација на опслужувачот (prior to v3 one-way only), и слично. PKI структурата е создадена за веб корисниците/ страните со цел за безбедна комуникација.

Продавачите и претприемачите видоа огромна можност за голем бизнис, основаа компании (или нови проект на постоечки компании), и почнаа да агитираат за легално препознавање и заштита од одговорности. Американска Адвокатска Асоцијација објави анализи од некои предвидливи аскпекти на операциите на PKI (види ABA упатство за дигитални потписи ABA digital signature guidelines), кратко потоа, неколку Соединети држави (прва беше Јута во 1995) и други надлежности ширум светот, почна да владеат закони и да се донесуваат регулативи. Се покренаа прашања од страна на купувачите за приватноста.

Донесените закони и регулативи се разликуваа, имаше технички и опеарциски проблеми во претворајки ги PKI шемите во успешни комерцијални операции, а пргресот беше далеку поспор отколку што пионерите можеа и да замислат дека ќе биде.

Првите неколку години од 21-от век основниот криптографско инженерство не беше лесно коректно да се развие. Операциските процедури (рачни или автоматски ) не беше лесно коректно да се дизајнираат (дури ни кога се дизајнирани, за префектно за се извршуваат како што бара инженерството.)  Стандардите кои постојат беа недоволни.

PKI продавачите си најдоа маркет, но тоа не е тој маркет предвиден во средината на 90-тите, и растат заедно многу споро а во некои различни патеки од очекуваните. PKI не решија некои проблеми кои се очекуваа да ги решат, и неколку големи продавачи си заминаа од бизнисот или беа препуштени на други. PKI имаше најголем успех во владината имплементација, најголема PKI имплементација до денес е Агенција за Одбранбен Информациски СистемDefense Information Systems Agency (DISA) Инфраструктурата на PKI за програми со често пристапувани картички.

## Безбедносно прашање
* See PKI security issues with X.509 
* See Breach of Comodo CA
* See Breach of Diginotar CA
## Примери
* Encryption and/or sender authentication of e-mail messages (e.g., using OpenPGP or S/MIME).
* Encryption and/or authentication of documents (e.g., the XML Signature http://www.w3.org/TR/xmldsig-core/ or XML Encryption http://www.w3.org/TR/xmlenc-core/ standards if documents are encoded as XML).
* Authentication of users to applications (e.g., smart card logon, client authentication with SSL). There's experimental usage for digitally signed HTTP authentication in the Enigform and mod openpgp projects.
* Bootstrapping secure communication protocols, such as Internet key exchange (IKE) and SSL. In both of these, initial set-up of a secure channel (a "security association") uses asymmetric key (a.k.a. public key) methods, whereas actual communication uses faster symmetric key (a.k.a. secret key) methods.
* Mobile signatures are electronic signatures that are created using a mobile device and rely on signature or certification services in a location independent telecommunication environment.
* Universal Metering Interface (UMI) an open standard, originally created by Cambridge Consultants for use in Smart Metering devices/systems and home automation, uses a PKI infrastructure for security.

## Терминологија
* CA: Certificate authority
* TTP: Trusted third party
## Наводи

## Надворешни врски
*PKI tutorial, Peter Gutmann
*PKI Tutorial using Fingerpuppets 
*PKIX workgroup
*Easing the PAIN &mdash; a detailed explanation of PKI Privacy, Authentication, Integrity and Non-repudiation (PAIN)
*NIST PKI Program  &mdash; in which the National Institute of Standards and Technology (NIST) is attempting to develop a public key infrastructure
*Ten Risks of PKI: What You're Not Being Told About Public Key Infrastructure by C. Ellison and B. Schneier
**Response to Ten Risks by A. Perez
**Seven and a Half Non-risks of PKI  by B. Laurie
*The Inevitable Collapse of the Certificate Model  by Hagai Bar-El

Категорија:Public-key cryptography
Категорија:Key management
Категорија:Asymmetric-key cryptosystems