Ольга Полянская - Инфраструктуры открытых ключей

|Защищенное датирование | Нотаризация | Неотказуемость |

|Защищенный архив данных | Разработка полномочий/политики | Проверка полномочий/политики |

Таблица 17.3.Интернет-PKI

Табл. 17.4иллюстрирует функции PKI в сценарии, когда для доступа к корпоративной сети извне используется браузер и выполняется SSL-аутентификация клиентов. В этом сценарии должна поддерживаться проверка статуса сертификата, полномочий и политики. Из-за ограниченных возможностей браузера невозможно реализовать управление жизненным циклом ключей и сертификатов, кросс-сертификацию и другие сервисы, базирующиеся на PKI.

| УЦ| Репозиторий | Аннулирование сертификатов|

| Резервное хранение ключей| Восстановление ключей | Автоматическое обновление ключей |

|Управление историями ключей | Кросс-сертификация | Клиентское ПО |

| Аутентификация| Целостность| Конфиденциальность|

|Защищенное датирование | Нотаризация | Неотказуемость |

|Защищенный архив данных | Разработка полномочий/политики| Проверка полномочий/политики|

Таблица 17.4.Экстранет-безопасность (через SSL-аутентификацию клиентов)

В табл. 17.5представлен набор функций PKI для сценария защищенной корпоративной электронной почты. В этом сценарии может потребоваться управление жизненным циклом ключей и сертификатов и встроенное клиентское программное обеспечение, так как стандартные пакеты электронной почты не всегда поддерживают безопасность, основанную на PKI. В данном случае не нужны дополнительные сервисы, базирующиеся на PKI, и кросс-сертификация.

Наконец, в сценарии поддержки межкорпоративных транзакций с использованием цифровых подписей могут потребоваться многие возможности полнофункциональной PKI , в частности сильная аутентификация и авторизация, проверка статуса сертификатов, разработка и проверка полномочий и политики, сервис неотказуемости (поддержка множественных пар ключей, хранение принятых электронных документов с цифровой подписью и т.д.). Если корпорации имеют свои собственные PKI, то необходима кросс-сертификация. В данном сценарии можно обойтись без архивирования данных, датирования и нотаризации.

| УЦ| Репозиторий| Аннулирование сертификатов|

| Резервное хранение ключей| Восстановление ключей| Автоматическое обновление ключей|

| Управление историями ключей| Кросс-сертификация | Клиентское ПО|

| Аутентификация| Целостность| Конфиденциальность|

|Защищенное датирование | Нотаризация | Неотказуемость |

|Защищенный архив данных | Разработка полномочий/политики | Проверка полномочий/политики |

Таблица 17.5.Защищенная корпоративная электронная почта

| УЦ| Репозиторий| Аннулирование сертификатов|

| Резервное хранение ключей| Восстановление ключей| Автоматическое обновление ключей|

| Управление историями ключей| Кросс-сертификация| Клиентское ПО|

| Аутентификация| Целостность| Конфиденциальность|

|Защищенное датирование | Нотаризация | Неотказуемость|

|Защищенный архив данных | Разработка полномочий/политики| Проверка полномочий/политики|

Таблица 17.6.Межкорпоративные транзакции с цифровой подписью

Таблицы 17.3, 17.4, 17.5и 17.6подтверждают, что PKI, реализующие частные сценарии, являются подмножествами полнофункциональной PKI . Технология PKI продолжает развиваться, но уже сейчас ясно, что многие поставщики программного и аппаратного обеспечения PKI будут ориентироваться на реализацию полнофункциональных систем, а не на PKI-продукты узкого назначения. Очевидно, что во многих случаях проще и экономически более эффективно адаптировать полнофункциональный продукт для решения специфической проблемы, чем разрабатывать и поддерживать несколько отдельных продуктов, каждый из которых предназначен для решения одной или двух специфических проблем. Во многих средах PKI произойдет неизбежный переход от частных решений частных проблем к полнофункциональной PKI , предлагающей универсальное решение проблем безопасности для широкого круга приложений.

Приводится перечень этапов развертывания PKI, подробно рассматривается процесс подготовки решения о развертывании инфраструктуры, дается краткая характеристика инсорсинга и аутсорсинга, обсуждаются стандартность и комплексность решения, стоимость и время развертывания PKI, дается представление о средах развертывания, режимах оперирования и приоритетных сервисах безопасности PKI.

Процесс развертывания PKI состоит из нескольких этапов, каждый из которых должен сопровождаться соответствующим документированием и проверками:

1Предварительный этап

2Проектирование.

3Создание прототипа.

4Пилотный проект.

5Внедрение.

Каждый из этапов создания PKI дает результат в виде явно оформленного "продукта", позволяющего убедиться в законченности и общем продвижении процесса [20].

Предварительный этап включает подготовительную работу для принятия решения о необходимости развертывания инфраструктуры, оценку материальных ресурсов и финансовых возможностей организации, определение цели развертывания и сферы применения PKI , выбор приоритетных сервисов безопасности, анализ данных и приложений PKI.

В процессе подготовки принятия решения специалисты организации, планирующей развернуть PKI, должны изучить возможности и риски инфраструктур открытых ключей, ознакомиться с предложениями и PKI-решениями различных поставщиков программных продуктов и услуг в этой области и получить их консультации относительно целесообразности, возможной стратегии и ожидаемой эффективности использования технологии цифровых сертификатов. На этом шаге полезно изучение опыта развертывания или функционирования существующих инфраструктур открытых ключей.

Многие компании берутся за развертывание крупномасштабных систем типа PKI, не имея необходимых ресурсов. Поскольку развертывание PKI требует значительных капиталовложений, для принятия решения необходима оценка материальных ресурсов и финансовых возможностей организации на настоящий момент и в ближайшие годы, экономического эффекта от использования новой технологии, начальных затрат и стоимости функционирования PKI. В этом процессе должны участвовать представители администрации или бизнес-менеджеры, технические специалисты и работники планово-финансовых подразделений.