Ольга Полянская - Инфраструктуры открытых ключей

Для функционирования PKI чрезвычайно важна поддержка списков САС. Следует учитывать, что выбор такого способа проверки статуса сертификатов, как онлайновая верификация, значительно повышает требования к производительности сервера каталогов, поэтому система УЦ должна выдерживать дополнительную нагрузку при возрастании числа пользователей PKI. Кроме того, для нормального функционирования PKI крайне нежелательно совпадение дат окончания срока действия одновременно многих сертификатов и ключей, поэтому их генерация и возобновление должны происходить непрерывно, а не привязываться к определенной дате. Это требование иногда бывает трудно выполнимо, например, в образовательной среде, когда требуется составить список и выдать сертификаты многим учащимся в течение относительно короткого периода времени. Кроме того, при проектировании PKI и организации ее базы данных необходимо учитывать ежедневные часы пиковой нагрузки в работе системы.

Итак, в связи с тем, что организация может расти с течением времени и может расширяться круг ее поставщиков и клиентов, ей важно выбрать масштабируемое PKI-решение, позволяющее управлять большим количеством сертификатов. Предварительно оценивая количество сертификатов, которые будут обслуживаться PKI, следует учитывать, что каждый субъект обычно нуждается не в одном, а во многих сертификатах, поскольку сертификаты имеют разное назначение, могут быть потеряны или просрочены. Таким образом, пользователю необходимо иметь по крайней мере 2-3 сертификата для каждого приложения. Кроме того, масштаб развертывания зависит от количества сертификатов, которое может выпустить PKI за короткий период времени (например, сотни или тысячи сертификатов). В этом случае лучшей стратегией является планирование максимально возможного масштаба, но реализация реально необходимого варианта.

Проблемы масштабирования связаны не только с выпуском сертификатов УЦ, но и с функционированием РЦ. С возрастанием количества сертификатов, которыми необходимо управлять, повышается нагрузка на РЦ. Кроме того, масштабируемость зависит от системы каталога и возможностей базы данных - именно они используются для хранения, поиска и проверки статуса сертификатов. Поэтому, когда речь идет о большом количестве сертификатов (например, заверенных ключом корневого сертификата УЦ в масштабе страны), предлагаемая система организации и управления данными действительно критически важна.

Традиционно считается, что система защищена настолько, насколько защищено ее самое слабое звено, поэтому в контексте безопасности необходимо взглянуть на PKI-решение как на комплекс компонентов, имеющих разную степень защищенности. Организации критически важно, опираясь на международные и национальные стандарты ИТ-безопасности, оценить защищенность разных компонентов PKI, предлагаемых поставщиком, а также безопасность функционирования всей системы.

Гарантии безопасности должны свидетельствовать о том, насколько организация может полагаться на точную и безопасную работу компонентов PKI. Для формального оценивания уровня доверия к определенному продукту могут использоваться критерии специальной программы сертификации или аккредитации. Существуют, например, критерии оценки криптографических модулей и независимые организации, выполняющие оценку в соответствии со стандартами. Имеются другие критерии и процедуры оценки, базирующиеся на "Общих критериях оценки безопасности информационных технологий" [59]. Существуют также лаборатории тестирования, которые сертифицируют продукты в соответствии с принятыми в отрасли критериями. Очевидно, что больший интерес для организации будут представлять известные PKI-продукты, которые удовлетворяют необходимым критериям.

В случае аутсорсинга организации важно привлечь поставщика услуг , поддерживающего на должном уровне операционную работу УЦ . Надежные удостоверяющие центры должны:

*регулярно проходить проверки внешних аудиторов;

*строго документировать процедуры;

*сохранять распределение обязанностей при выполнении всех внутренних операций УЦ;

*поддерживать непрерывность операционной работы .

Кроме того, удостоверяющие центры, генерирующие для организаций корневые ключи, должны сохранять документальные свидетельства того, как эти ключи генерируются, хранятся и подписываются. Некоторые наиболее авторитетные в своей отрасли удостоверяющие центры даже фиксируют на видеопленке и заверяют нотариально все процедуры генерации ключей.

Выбирая инсорсинг , организация должна гарантировать, что ее собственный УЦ способен выполнять операционную работу столь же эффективно, как и внешний УЦ. Важными документами для сертификации операционной работы УЦ являются стандарты проведения аудита. Проверка деятельности УЦ в соответствии с требованиями стандартов дает возможность доверенной третьей стороне (внешнему агентству аудита) установить правильность выполнения операций и надежность УЦ.

Техническая поддержка является решающим моментом при выборе поставщика. Организации важно обратить внимание на следующие аспекты:

*режим предоставления технической поддержки;

*компетентность технических специалистов;

*ограничения на количество обслуживаемых клиентов, использующих линию технической поддержки;

*соглашение об уровне обслуживания в случае расширения организации.

На практике к обслуживанию инфраструктур открытых ключей средних и крупных компаний предъявляются следующие требования:

1Предоставление технической поддержки ежедневно в круглосуточном режиме.

Так как PKI участвует в выпуске сертификатов и проверке их статуса, ее надежное функционирование должно поддерживаться непрерывно.

2Компетентность технических специалистов.

Поскольку многие центры технической поддержки клиентов перегружены или предоставляют услуги аутсорсинга , организации следует оценить возможности работающих там специалистов быстро и грамотно оказывать техническую помощь. Если специалисты групп оперативного реагирования не имеют должного опыта и знаний, решение проблем клиента потребует много времени. Надежные центры технической поддержки должны иметь системы управления знаниями, содержащие сценарии немедленного реагирования на разные ситуации, и гарантировать квалифицированную помощь специалистов.

3Предоставление технической поддержки максимально возможному количеству клиентов, обращающихся за помощью по телефону.