e-mail védelem digitális tanúsítványok
A több ezer éves ember használta különböző módszerekkel, hogy elrejtse a továbbítandó információt, valamint ellenőrzését a feladó és az üzenet. A fejlesztés a civilizáció hozott létre és most kap elterjedt egyetlen módszer elérni a három feladatot. protokoll
S / MIME - egy olyan rendszer biztonságos e-mailek küldése a titkosítás és a digitális aláírások.
Jelenlegi titkosítási technológia (záró) vannak osztva két fő típusa van: algoritmusok szimmetrikus (titkos) kulcsot, például DES vagy AES titkosító algoritmusok és az aszimmetrikus (nyitott / zárt) gombokkal, mint az RSA vagy ECC. Modern eszköze a küldő ellenőrzésének - matematikai egyirányú függvények, az úgynevezett hash amelyek egyedi aláírásokat. Két leggyakrabban használt hash módszer - az MD5 és SHA algoritmusokkal. Számítógépek lehet használni őket, hogy hozzon létre egy egyedi hash vagy megfelelő számot egyéni forrás szöveg (azonos forrásszövegek egy hash kód érték). Ezek az egyszerű eszközöket használnak, és együttesen egy nyilvános kulcsú infrastruktúra (PKI).
A vizsgálati bizonyítvány
Identity belül PKI rendszer kezeli a digitális tanúsítványok, amelyek nem nagyon különbözik állami kiadott személyazonosító igazolványok, amelyek az emberek többsége szállítják nemzetközi határokon keresztül - útlevél. útlevelek szabvány a világon a digitális tanúsítványok - a X.509 formátum, amely széles körben használt aláírási és titkosítási technológiák, mint például az S / MIME, IPsec, SSH, valamint a vezeték nélküli hálózati biztonság, a virtuális magánhálózatok (VPN), és még egy biztonsági üzenet kiszolgáló (például SSL weboldalak).
A tanúsítványok alapján aszimmetrikus kriptográfia és a hash kódok. Ahhoz, hogy hozzon létre egy tanúsítványt kérelmező (az egyik, akinek szüksége van egy kulcs által aláírt magasabb CA) létrehoz egy titkos kulcsot. A kulcs zárva tartani, úgy, hogy a hitelesség nem kérdőjelezték meg. a megfelelő nyilvános kulcs létrehozásakor együtt egy titkos kulcsot. Ahogy a neve is mutatja, a nyitott része a pár nem titok, és szabadon terjeszthető, bár még mindig olyan módon, amely biztosítja annak hitelességét.
Ez a pár kulcsok lehetővé teszi két fő műveleteket. Először is, bárki használhatja a nyilvános kulcsa segítségével titkosítja amit csak visszafejteni a privát kulcs; Másodszor, akkor használja a nyilvános kulcs a titkosított privát kulcs. Ez azért fontos, ellenőrző személy aláírását, amely csak létre egy titkos kulcsot.
Kérelmet a hitelesítésszolgáltató részleteket tartalmaz, így azt, hogy milyen az a személy, vagy a számítógép a legfontosabb célja, jellege és megbízhatósága az algoritmus, valamint a nyilvános része a kulcspár. A hitelesítésszolgáltató (CA) veszi és értékeli az információkat a kérés, majd egy algoritmus, amely létrehoz egy egyedi azonosító információnak megfelelő.
Privát kulccsal, a CA titkosítja a hash információk és szerel be egy szabványos formátumban (például X.509), ami megfelelő igazolást az eredeti kérelemről. X.509 tanúsítvány tartalmazza alkalmazások listája, beleértve a személyazonosságát a bizonyítvány (az alany), érvényességi ideje, a nyilvános kulcsot és a műveleteket, amelyek a tanúsítvány alkalmazható. Ezt követően, a tanúsítvány vissza az igénylő; Ez a marker, amely lényegében azt mondja: „Én, a hitelesítésszolgáltató (CA), jótáll ezt a nyilvános kulcsot és egy titkos részét, amely megfelel neki, az összes itt leírt eljárások használata.”
A gyökér hitelesítésszolgáltató (ahol a legmagasabb szinten a bizalmi láncot) önaláírt tanúsítványok. Legelfogadhatóbb gyökér CA jön épített az alap operációs rendszer vagy alkalmazás, de lehet frissíteni, vagy megváltozott a csomagok vagy a vállalati környezetben. Között a gyökér CA és a végpont a fa (ami jellemzően leír egy adott személy vagy a rendszer), lehet egy vagy több gyökér CA.
A lánc magában foglalja az összes csomópontot, és minden megelőző bizonyítványok beléjük ágyazott aláírt tanúsítványt ezen a szinten. Harmadik fél valaki megpróbálja érvényesíteni a tanúsítvány ellenőrizheti a helyi számított hash a dekódolt a bizonyítványt, a kísérő nyilvános kulcs az adott CA vagy egyedi. Így jön létre, és teljes mértékben tesztelték lánc a tövétől a végpont a fa - feltéve persze, hogy a gyökér a bizalom.
Frissítése tanúsítvány állapotát
Minden jó tanúsító hatóság olyan módon terjeszteni tanúsítványok listája, hogy többé nem lehet bízni. Ez a tanúsítvány visszavonási lista (CRL) leírja, hogy milyen kiállított példány CA közvetlenül érvénytelenné. Kényelmesen, a helyét a CRL jellemzően egy ingatlan tanúsítványt hitelesítő hatóság.
Sok alkalmazás sokkal több időt töltenek betölteni egy igazolást, ha nem tudja ellenőrizni a lánc vagy a CRL minden csomópont az áramkörben. Attól függően, hogy milyen megvédte a tanúsítvány, a felhasználó dönthet, vagy nem kívánja bízni benne. Rendszeresen frissített, széles körben elérhető pont CRL elosztási elengedhetetlen az egyes minősítő hatóság és különösen az állami gyökereit.
Roots őrlik tanúsítvány láncot és a lánc összeköti alapú igazolás hierarchiában. A legtöbb ügyfél rendszerek és alkalmazások arra utalnak, hogy a végpont a fa bizonyítvány csak akkor érvényes, ha a lánc egy megbízható gyökér. Ez lehet egy vállalati hitelesítésszolgáltató található a birtokában és ellenőrzése alatt az adott cég, vagy állami gyökér CA (mint például a VeriSign).
Végül minden jó titkosítási rendszer tartalmaz életciklus menedzsment koncepció. A számítógépek gyorsabb, sokkal kisebb állvány algoritmusok. Minden jó titkosítórendszer szüksége képes megújulni és az olyan új algoritmusok és kulcs méretek idővel. CA frissíteni kell az előírásoknak megfelelően kriptográfiai meghatározott instabilitás és bizonyos funkciók kerülnek megbízásából vagy vonni a forgalomból.
Végrehajtása S / MIME
Feltételezzük, hogy már van a szükséges infrastruktúrát, amely lehetővé teszi a műveletek le fogjuk írni. A mi esetünkben az Active Directory-integrált vállalati tanúsítványkiszolgálót.
megszerzése bizonyítványok
Az első feladat - az, hogy a megfelelő igazolásokat. Ehhez nyissa meg a tanúsítványkezelőben MMC Management Console (certmgr.msc), a jobb gombbal a Személyes mappa ( "Private"), válassza az Összes feladat ( «Az összes feladat") pop-up, és válassza Request New ( «kér új") a listából.
Ez elindítja a tanúsítvány telepítővarázslóját, ábrán látható. 1. Az alapértelmezett lesz látható több lehetőség azoknak a cégeknek fontos ezeknek a felhasználói tanúsítvány ( «felhasználó tanúsítvány"). Később fogják használni, hogy lehetővé teszi a folyamatok aláírási és titkosítási. A tanúsítvány alkalmasnak kell lennie a következő.
Ábra. 1 tanúsítványkérés
- A digitális aláírás (ami egy üzenetet egy pecsét a hitelesség annak alkotója)
- Titkosított biztonsági kulcs (egy kulcs védelmének más technológiák, mint például a titkosított fájlrendszer)
- Biztonságos elektronikus levelezés (titkosított üzeneteket lehet olvasni csak a címzett birtokában a megfelelő privát kulcs)
Ahhoz, hogy egy aláírt S / MIME e-mail tulajdonságait kriptográfiai kulcs védelemre nincs szükség. Ahhoz azonban, hogy küldeni és fogadni titkosított levelezést, ez a tulajdonság szükséges, míg az ingatlan egy aláírás - nem. Alapértelmezésben a szolgáltatás Windows® tanúsítványsablonok ezeket három tulajdonság. Ha a felhasználó nem megengedett, ha új igazolásokat, akkor nem jelenik meg, ha a varázsló futtatása. Ha a vállalati hitelesítő hatóság nem áll rendelkezésre, akkor a felhasználó kerül bemutatásra „telepítési hiba”, jelezve, hogy a domain vagy a hitelesítő hatóság nem lehet felvenni a kapcsolatot. azt feltételezzük, hogy egy tanúsítvány lehetővé teszi az E kézikönyv és az aláírás és kriptográfiai védelmet.
Az Exchange tanúsítványok
A legegyszerűbb módja annak, hogy osszák meg a titkosított e-mail üzenetek két felhasználó között, hogy küldjön egymásnak üzeneteket alá. Miután megírta az üzenetet, a felhasználó rákattint a „Sign” gombra. (Előfordul, hogy a gomb alapértelmezés szerint rejtett Outlook, amíg el nem használt legalább egyszer. Megtalálható válassza az „Opciók az új üzeneteket”, majd kattintson a „Beállítások Biztonság” és válassza ki a „Hozzáadás a digitális aláírás az üzenetre” a tulajdonságok párbeszédablakban biztonságát.) aláírása gomb (egy kis sárga borítékot egy piros szalaggal rajta, hogy azt mondja: „jel”) egészíti ki a digitális aláírás az üzenet határozza meg a hitelességét annak forrását.
Ábra. 2 Amikor cseréje tanúsítványok nem a titkos kulcs exportálását
Minden vevő ezután kézzel hoz létre egy kapcsolatot bejegyzést Outlook, és hozzáadja a tanúsítványt a feladó bejegyzést. Miután két felhasználó kicserélték igazolásokat, akkor lehetősége van arra, hogy kicseréljék egymással titkosított e-mail üzeneteket.
hibaelhárítás
Előfordul, hogy a címzett nehezen megnyitása a titkosított üzenet. A legvalószínűbb forrása a probléma itt nem megbízhatók gyökér CA, közbenső CA hogy nem lehet ellenőrizni, és nem állnak rendelkezésre CRL.
Nem megbízható gyökér CA jellemzően megjelenik Outlook hibaüzenet kapcsolódó aláírás: „Vannak nehézségek az aláírással kapcsolatban. kattintson az aláírás gomb „további információkért. Hogy oldja meg a problémát az Outlook, megnyitni a tanúsítványt, majd kattintson a „Névjegy CA. „A pop-up párbeszéd. Nézd meg az üzenetet az „Általános” lapon vagy a tanúsítvány tulajdonságai párbeszédablak. Ha ez azt jelenti, hogy a gyökér CA tanúsítvány nem megbízható, és szeretné telepíteni, kattintson a Részletek fülre. Kattintson a „Másolás fájlba. „És kövesse az utasításokat a varázsló, elfogadva minden alapbeállítást és biztosítja a fájl nevét és a mappa kérésre.
A második probléma a fentiekben említettük, nem ellenőrizték köztes CA, általában akkor fordul elő két esetben: ha az ügyfél megpróbálja ellenőrizni a tanúsítvány nem jut be a helyére vonatkozó információk a hitelesítésszolgáltató (AIA), az igazolásban meghatározott, vagy az ügyfélnek egy változata a tanúsítvány a közbenső központ tanúsítás, amely nem esik egybe azzal, amit termel a CA (ügyfél gyakran elmarad az egy változata, vagy kettő). Ezek a feltételek úgy tűnik, hogy nagyon hasonlít az Outlook felhasználói felület. Láttuk ezt csak igen speciális körülmények között, amikor a tanúsítvány érvényességét a köztes CA a láncban lejárt, és a bizonyítvány kiadásának előtt ismét lejáró kibocsátott alárendelt CA tanúsítványokat.
Tény, hogy ez a probléma akkor jelentkezik, ha vannak hiányosságok a láncban. Néhány szülő igazolások nem lehet túl részletes vagy nincs beágyazva a végpont a fa rendesen, ami tovább bonyolítja a helyzetet.
Ábra. 3 hézagok megszüntetésére egy tanúsítványláncban
Miután megkapta a tanúsítványlánc exportált a címzettnek meg kell nyitni, és importálja a lánc ugyanúgy, mint mi importálta a gyökér. Az egyetlen különbség az, hogy a választott tároló mappa legyen a „közbenső hitelesítési hatóságok”. Ha az üzenet kinyílik, és a tanúsítványt érvényesnek Outlook, akkor minden megfelelően működik.
Ami a harmadik probléma, nem álltak rendelkezésre CRL, a fix viszonylag egyszerű. Az első válasz az Outlook meg nagyon hasonlít az előző problémát. Azonban a hiba jelenik meg, még akkor is, ha a gyökér vagy köztes aláírása CA megbízhatónak. Minden szinten a lánc tanúsítványok nyitott végén fenti tulajdonságokat tanúsítvány információt fülre, majd nézd meg a területen „című Distribution pont visszavonási listák (CRL)».
Megoszlása tanúsítványok
Distribution - ez a könnyebbik része. Tény, hogy az aláírt üzenetet küld az Ön e-mail szerver, amely majd továbbítja azt az egyik helyről a másikra bizonyított módon - SMTP. Az egyetlen probléma láttunk az átviteli aláírt vagy titkosított mail, hogy néhány e-mail rendszerek elutasításához vagy szünet aláírt vagy titkosított üzenetek, amelyek áthaladnak őket. Elhárítás hogy működjön együtt a feje az informatikai rendszer a termelés érvényes üzenet típusok. Persze előfordulhat, hogy el kell fogadnunk azt a tényt, hogy bizonyos típusú üzenetek vannak tiltva. A címzett lehet egy jó ok, hogy nem teszi lehetővé a titkosított üzenetek adott munkakörnyezetben.
válaszok titkosítást.
Hogy létrejöjjön a titkosított választ (feltételezve, hogy a fenti betöltő folyamat már befejeződött), a feladó kell csak hozzon létre egy üzenetet, majd kattintson a „titkosítása” (egy kis sárga borítékot a kék zárat, hogy azt mondja: „titkosítása”) az ablakban levélíráshoz. Ha ez a gomb nem érhető el, az alábbi lépéseket küldött aláírt üzenetet, kivéve az utolsó, amely helyett jelölje be a „titkosítása üzenet tartalmának és mellékleteinek”.
S / MIME aláírás nem szükséges elküldeni a címzettnek titkosított üzenetet, de mindkettő jól működik együtt, mert az aláírás lehetővé teszi az olvasó, hogy ellenőrizze a szerver (titkosítás funkciót nem igazolja a feladó). A titkosítási folyamat megkísérli üzenet titkosítása az ismert nyilvános kulcsait az összes címzettnek. Ha a rendszer nem talál igazolások néhány címzetthez, akkor meg kell jelölni a pop-up ablak, amely kínál az üzenetet küldeni titkosított, ábrán látható. 4.
Ábra. 4 Eldöntheti, hogy küldjön egy titkosítatlan üzenetet, ha van probléma a tanúsítvánnyal
Alapértelmezésben aláírása és titkosítása kell működnie más hasonló beállított kliens rendszerek, de néha cserélni aláírt vagy titkosított üzenetek különböző verziói között problémákhoz vezethet, ha a hash vagy titkosítási algoritmus nem támogatott a korábbi szinten. Állunk szemben, egy ilyen probléma, ha küld aláírt e-mail (SHA-512, mint a hash algoritmus) felhasználó a Windows XP Service Pack 2, mert a fogadó rendszer nem támogatja a hash, a felhasználó nem tudja ellenőrizni, az aláírás, vagy olvasni az üzenetet. Azonban, ha az Outlook beállításai nem változtak az alapértelmezett, a felhasználók nem valószínű, hogy megfeleljen egy csomó probléma ebben a szakaszban.
Kézhezvételét követően az üzenet címzett képesnek kell lennie arra, hogy nyissa meg, ha a rendelkezésre álló nyilvános kulcsával nyilvános tanúsítvány. Ezen túlmenően, a felhasználónak kell, hogy egy további marker, megerősítve tulajdonjoga a titkos kulcsot, attól függően, hogyan alkalmazná. Más felhasználók, akik befejezték hasonló inicializálási eljárást vehetnek részt hasonló aláírt és titkosított kommunikációt a címzett. Ha a felhasználó megváltoztatta a titkos kulcs (pl elvesztése miatt a számítógép), meg kell újrakérelmezi bizonyítványok és újra osztja az aláírt üzenetet vagy tanúsítvány fájl közül azok, akikkel szeretne titkosított üzeneteket.
Következtetés.
Hallassuk aláírt és titkosított S / MIME dolgozó két felhasználó között legyen két különböző vagy szervezetek jellemzően nem sokkal bonyolultabb, mint elvégezni a fent leírt módon. Signature nagyon hasznos, ha helyesen használják, mivel igazolja a hitelességét az üzenetet. A kódolt üzeneteket egy extra szintű titoktartás adatátadási bizalmas kommunikáció. Így együtt visszaigazolást a küldő és a hitelességét és bizalmas adatok. A itt leírt folyamat lehetővé teszi, hogy a legtöbb felhasználó könnyen kihasználják ezeket a lehetőségeket.