Поиск на сайте: Расширенный поиск


Новые программы oszone.net Читать ленту новостей RSS
CheckBootSpeed - это диагностический пакет на основе скриптов PowerShell, создающий отчет о скорости загрузки Windows 7 ...
Вы когда-нибудь хотели создать установочный диск Windows, который бы автоматически установил систему, не задавая вопросо...
Если после установки Windows XP у вас перестала загружаться Windows Vista или Windows 7, вам необходимо восстановить заг...
Программа подготовки документов и ведения учетных и отчетных данных по командировкам. Используются формы, утвержденные п...
Red Button – это мощная утилита для оптимизации и очистки всех актуальных клиентских версий операционной системы Windows...
OSzone.net Microsoft Windows Server 2003 Другое Развертывание инфраструктуры открытого ключа с глобальным доверием RSS

Развертывание инфраструктуры открытого ключа с глобальным доверием

Текущий рейтинг: 3.4 (проголосовало 5)
 Посетителей: 4703 | Просмотров: 6233 (сегодня 0)  Шрифт: - +

Инфраструктура открытого ключа (PKI) является фундаментальным элементом при построении доверия между различными приложениями, операционными системами и идентификационными областями. PKI строится на основе иерархической модели доверия, где конечные субъекты доверяют общему ключу на высшем корневом уровне и, следовательно, все остальные ключи, подписанные этим корнем, становятся доверенными.

Благодаря этой структуре, правильно разработанную PKI можно легко расширить с помощью дополнительных центров сертификации (ЦС), не изменяя конечные субъекты.

PKI реализуются одним из следующих способов: самый распространенный подход — по мере необходимости приобретать сертификаты у одного из безоговорочно доверенных поставщиков, например Cybertrust или VeriSign. Такие сертификаты, как правило, используются для обеспечения безопасности потоков данных на веб-узлах. Тем не менее они также применяются для шифрования в виртуальных частных сетях, для подписи сообщений электронной почты и других подобных задач. Эта технология позволяет свободно вывести отношения доверия за пределы организации, поскольку такие глобальные корни встроены в каждый современный веб-обозреватель. Внедрение такого метода в большой организации, однако, может оказаться дорогостоящим, так как сертификаты приобретаются только по мере необходимости.

В последнее время большее распространение получает модель внутренней PKI. Как следует из названия, внутренняя PKI обеспечивает доверие только внутри корпоративной сети. Эта модель дает компании более экономичный способ поддержки работы каждого пользователя и вычислительного устройства в сети с помощью сертификатов. Такой метод зачастую применяется с целью упростить работу при использовании таких технологий, как вход со смарт-картой, шифрованная файловая система (EFS) и защищенная беспроводная сеть. Недостатком же этого метода является то, что такие сертификаты не самым лучшим образом подходят для приложений с доступом за пределы сети, поскольку не обладают глобальным доверием. Поэтому большинство организаций, внедривших внутреннюю PKI, применяют комбинированный подход, приобретая для открытых приложений сертификаты одного из корней с глобальным доверием.

Как воспользоваться преимуществами обоих методов? А если ваша организация будет использовать собственную PKI: экономить средства, раздавая внутренние сертификаты и обеспечивая сертификаты с общим доверием, — и все это из своей локальной системы? Такое решение дает преимущества внутренней PKI (как, например, интеграция службы каталогов Active Directory®, автоматическая подача заявок и локализованная IT-поддержка) и главное преимущество корневого сертификата с глобальным доверием. В университете штата Луизиана внедрена именно такая система. В этом выпуске будет подробно описана эта система, ее техническое решение и приведены практические рекомендации по развертыванию системы такого типа. Необходимо отметить, что данное решение было разработано, исходя из конкретных условий, продиктованных средой, ресурсами и бизнес-требованиями. Перед тем как определить оптимальный тип решения, необходимо учесть приведенные выше условия применительно к конкретной организации.


Реализация PKI в университете штата Луизиана

Университет штата Луизиана — ведущий научно-исследовательский центр, начитывающий более 40 тыс. студентов, преподавателей и обслуживающего персонала. Он поддерживает много открытых веб-узлов, многие из которых требуют обеспечения безопасности транспортного уровня, это самое подходящее место для применения SSL-сертификатов. Раньше университет ежегодно тратил тысячи долларов на приобретение корневых сертификатов с глобальным доверием.

Недавно перед университетом встали новые задачи по обеспечению ИТ-безопасности, которые прекрасно решаются благодаря правильно построенной внутренней PKI. Задачи и требования в данной ситуации обычно ведут к выбору комбинированной модели. Но вместо этого мы решили поступить более оригинально.

Мы договорились с поставщиком корневых сертификатов с глобальным доверием Cybertrust о развертывании на оборудовании университета центра сертификации, подчиненного корневому ЦС Cybertrust (см. рис. 1). Cybertrust предоставляет данную услугу в рамках программы OmniRoot. По этому сценарию университет создает и эксплуатирует ЦС на собственном оборудовании. Тем не менее, в отличие от внутренней модели, описанной выше, ЦС университета не создает собственной подписи, а его ключ (а также подписи) обладает безоговорочным доверием для практически всех современных операционных систем и обозревателей. Технически такое решение является логическим расширением открытости стандартов x.509. Поскольку PKI создана на основе этих стандартов, становится возможным подключение систем, созданных разными разработчиками, к общей иерархии. Что действительно интересно в решении OmniRoot, так это условия применения этой услуги.

Рис. 1 Глобальный корневой сертификат Cybertrust
Рис. 1 Глобальный корневой сертификат Cybertrust

Служба OmniRoot разработана специально для внедрения PKI с конфигурацией, которая использовалась в университете. В рамках программы OmniRoot организация платит Cybertrust фиксированный годовой взнос за участие в программе и за каждый открытый сертификат. Иными словами, университет может приобрести любое число внутренних сертификатов, не заботясь об их оплате. В последнее время открытые сертификаты стали значительно дешевле по сравнению с периодом, когда университет приобретал их по мере необходимости.

Итак, с технической точки зрения внутренние и открытые сертификаты идентичны. Они выдаются одной цепочкой ЦС, имеют одну стойкость шифрования и проходят через одну систему центров регистрации. Единственное различие — это условия лицензирования.

В результате нам удалось расширить и усовершенствовать платформу информационной безопасности при меньших затратах. Это достижение стало мощным аргументом в пользу решения с применением PKI такого типа в университете. Теперь рассмотрим более подробно техническую сторону решения.


Иерархия PKI

Данная иерархия PKI представляет собой двухуровневую схему, в которой корневой уровень обслуживается компанией Cybertrust, а ЦС реализован на оборудовании университета (см. рис. 2).

Рис. 2  Двухуровневая иерархия PKI

Корневой уровень (Cybertrust) Уровень выдачи (университет)
Управляется Cybertrust Управляется университетом
Находится в защищенном центре Cybertrust Находится на территории университета в Бэтон Руж
Имеется в стандартном корневом сертификате почти всех современных вычислительных систем Выдает сертификаты конечным объектам организаций университета
  Сертификаты, выданные университетом, находятся на корневом уровне Cybertrust и поэтому обладают глобальным доверием

На корневом уровне формируется якорь доверия иерархии. Другими словами, отношения доверия всех сертификатов, выданных любым ЦС в иерархии, применяются к корневому ЦС (см. рис. 3). Таким образом, корневой ЦС объединяет все ЦС, сертификаты и конечные объекты в иерархии. Поскольку глобальный корневой сертификат Cybertrust встроен в операционную систему Windows® и практически в любую современную компьютерную систему, эта общая структура распространяется за пределы сети университета.

Рис. 3 Сертификат, выданный центром сертификации университета
Рис. 3 Сертификат, выданный центром сертификации университета

Работа с корневым центром сертификации происходит на одном из защищенных узлов Cybertrust. На данных объектах используются мощные средства физической безопасности, включая шлюзовые кабины, биометрические замки и хранилища с особой степенью защиты, закрытые медными кожухами. Cybertrust выдает сертификаты только ЦС тех организаций, политики безопасности и сертификатов которых соответствуют установленным требованиям.

ЦС университета — это система, работающая с конечными объектами и выдающая сертификаты пользователям и компьютерам университета. Сертификат ЦС университета подписан ЦС Cybertrust на более высоком уровне иерархии; сертификаты, выданные ЦС университета, поступают по цепочке через сам центр в корневой ЦС Cybertrust (см. Рис. 3).


Оборудование и операционная система для сертификации

ЦС университета построен на основе Windows Server® 2003 Enterprise Edition с пакетом обновления 1 (SP1). ЦС Windows Server 2003 предоставляет массу возможностей, включая архивацию ключа, разностные списки отзыва сертификатов и шаблоны "версии 2". ЦС на основе Windows применяется в соответствии со стандартными требованиями политики использования сервера Windows в университете. В системе установлены все необходимые обновления безопасности. Система управляется с помощью стандартных методов управления изменениями, набора программного обеспечения и средств обновления. Одним словом, несмотря на то, что существуют особые аспекты работы с ЦС, основное серверное оборудование и операционная система легко интегрируются в привычную информационную среду организации.

Кроме стандартных методов установки сервера, применяемых в университете, мы воспользовались преимуществами мастера настройки безопасности, который входит в Windows Server 2003 с пакетом обновления 1 (SP1). Мастер использует базу данных, содержащую матрицы зависимостей задач при работе сервера Windows и настроек безопасности, необходимых для выполнения таких задач. В этой базе данных содержится информация по двум основным ролям ЦС: службы ЦС и службы IIS, обеспечивающей работу PKI веб-узла с самообслуживанием.

С помощью мастера настройки безопасности нам легко удалось создать шаблон безопасности, который отключил все службы кроме необходимых для данных заданий, а также усилил защиту сетевого стека сервера. Затем с помощью программы scwcmd.exe мы преобразовали этот шаблон в объект групповой политики, чтобы применить его к серверу на уровне подразделений. Такой подход упрощает расширение и восстановление после аварии, так как ролевые настройки безопасности ЦС университета теперь хранятся в службе каталогов Active Directory, а не на конкретных компьютерах.

Центр сертификации университета работает на сервере IBM xSeries 346 с двумя процессорами Intel Xeon с частотой 3,2 ГГц, 4 ГБ ОЗУ и пятью жесткими SCSI-дисками емкостью 146 ГБ. При данных требованиях к производительности ЦС и учитывая, что в университете используется модуль безопасности оборудования, такая платформа должна обеспечить значительную долговечность и запас для расширения.

Мы воспользовались стандартными методами размещения баз данных и файлов журнала на разных физических дисках, создав два массива RAID 1. Пятый жесткий диск используется для горячего резервирования и доступен каждому массиву. Первый массив является системным томом, на котором хранится база данных ЦС. Второй массив используется для хранения файлов журнала и других файлов данных, например списков отзыва сертификатов. База данных ЦС построена на технологии Microsoft Jet, применяемой и в других местах в Windows, например в Active Directory. Поэтому в данном случае используются методы обслуживания и конфигурации дисков, применяемые в других решениях для хранения данных на основе технологии Jet.

Аппаратный модуль безопасности (АМБ) — это специальное устройство, независимо управляемое из операционной системы. АМБ — это, как правило, PCI-адаптер, но существуют также и отдельные сетевые устройства. Такие модули являются безопасным хранилищем ключей ЦС, а также имеют специальный шифровальный процессор для ускорения формирования подписи и шифрования. Windows работает с АМБ посредством интерфейсов CryptoAPI. С точки зрения операционной системы АМБ представляет собой устройство поставщика шифрования. В соответствии с требованиями OmniRoot для создания и хранения ключей могут использоваться АМБ, сертифицированные на соответствие федеральному стандарту обработки данных FIPS 140-2, уровень 3 (устройства уровня 4 довольно редки). Как уникальные и высоко безопасные устройства, АМБ требуют значительных капиталовложений; розничные цены на АМБ на основе PCI-адаптеров составляют 10-15 тыс. долларов.

Мы используем модуль nCipher nShield 500 TPS (модель на 500 транзакций в секунду) как непосредственно подключаемый АМБ. ("Непосредственно подключаемый" означает, что он находится внутри сервера и используется только этим сервером в отличие от отдельных сетевых АМБ, доступных нескольким компьютерам.) Этот АМБ сертифицирован в соответствии с FIPS 140-2, уровень 3 и осуществляет защиту ключей методом разделения мастер-ключей (K of N). АМБ гарантирует мощную защиту от несанкционированного доступа к закрытым ключам: злоумышленнику придется пробраться в память АМБ и захватить определенное количество маркеров доступа и PIN-кодов к ним.

Важно отметить, что АМБ предназначены для предотвращения доступа злоумышленников к их содержимому. Таким образом, АМБ строго ограничивает максимальное количество неудачных попыток входа в систему. В нашей системе данные удаляются из хранилища без возможности восстановления после десяти последовательных неудачных попыток входа.

Поскольку в системе используется только один центр сертификации, дополнительные расходы на внешний сетевой АМБ не оправданы. Тем не менее, если планируется использование ЦС, приобретение внешнего АМБ, используемого разными центрами сертификации, существенно сократит расходы. Данный метод также упрощает управление маркерами, поскольку память ключей может защищаться одним и тем же набором маркеров.


Active Directory и регистрация

Одно из преимуществ решения PKI на основе Windows заключается в том, что процесс сертификации не требует установки дополнительного программного обеспечения на объекты, являющиеся частью PKI. Сочетание автоматической подачи заявок и групповой политики делает автономную, не видимую конечному пользователю сертификацию более предпочтительной. В университете эта технология используется для автоматической выдачи сертификатов компьютерам-членам данной службы Active Directory. Кроме того, для обеспечения возможностей самостоятельного запроса сертификатов для узлов, не использующих Windows, мы используем специально настроенный веб-узел.

Как упоминалось ранее, в программе OmniRoot различаются открытые и внутренние сертификаты. Сертификаты считаются открытыми, если они используются системами или пользователями, не относящимися к университету (например, абитуриент, подавший заявление через веб-узел, защищенный SSL-протоколом). Сертификаты, используемые внутри университета (например применяемые для шифрования данных на серверах университета), считаются внутренними.

Необходимо вести учет приобретаемых открытых сертификатов, поскольку от их количества зависит стоимость программы OmniRoot. Чтобы различать открытые и внутренние сертификаты, используется шаблон: имя каждого публичного сертификата начинается с "PublicCertificate", а отображаемое имя — с "Public Certificate". Например, TLS-шаблон сертификата нашего университета создан на основе стандартного шаблона Windows Web Server и называется Public Certificate LSU Web Server (открытый сертификат веб-сервера университета штата Луизиана). Для внутренних серверов имеется второй шаблон, Internal Certificate LSU Web Server (внутренний сертификат веб-сервера университета штата Луизиана). С технической точки зрения эти шаблоны одинаковы, различие в именах лишь упрощает учет.

При масштабной регистрации, например, регистрации целых отделов, когда используются сертификаты по протоколу IPSec, применяется автоматическая подача заявок. Это простое и чрезвычайно эффективное средство, встроенное в Windows. Администратору PKI достаточно изменить список управления доступом в шаблоне, давая право на автоматическую подачу заявок какой-либо нуждающейся в сертификатах группе пользователей или компьютеров. Затем эти объекты автоматически проверяют Active Directory, определяют шаблоны, к которым имеется автоматический доступ, находят ЦС, содержащие эти шаблоны, и автоматически подают заявку на сертификаты. Кроме того, функция автоматической подачи заявок обеспечивает замену сертификата в случае замены и автоматического обновления до истечения срока действия шаблона.

Для индивидуальных запросов, например сертификации веб-серверов, имеется веб-узел с самообслуживанием, где пользователи могут запросить сертификат через веб-обозреватель. Этот узел создан на основе страниц регистрации через Интернет, имеющихся в Windows Server 2003 (виртуальный каталог /certsrv): был создан стандартный для веб-узлов университета дизайн, а на странице запросов пользователю предлагаются стандартные варианты ввода. Кроме того, используется стандартный модуль выхода службы сертификации Windows, который автоматически отправляет сообщение по электронной почте группе администраторов PKI, если запрос, отправленный с этого узла, требует одобрения.


Отзыв сертификатов

Каждый сертификат имеет срок действия. Иногда возникает необходимость аннулировать тот или иной сертификат до окончания срока действия (например, сотруднику выдан сертификат, действительный до мая 2007 г., а он увольняется в январе). Такая операция реализуется посредством списков отзыва сертификатов (СОС), которые представляют собой список серийных номеров сертификатов, подписанных ЦС. Серийные номера в списках отзыва сертификатов указывают на сертификаты, срок действия которых не истек, но в доверии к которым отказано. Клиенты могут загружать эти списки и проверять действительность сертификатов.

Каждый сертификат x.509 v3 (кроме сертификата корневого ЦС) должен иметь указатель на действительный список отзыва сертификатов. Этот указатель называется точкой распространения СОС или ТРС. ТРС содержится в самом сертификате (см. рис. 4) и после выдачи сертификата изменению не подлежит. СОС являются главным средством для удостоверения действительности сертификатов, выданных ЦС. Поэтому мы обеспечиваем физическое резервирование СОС, их высокую доступность и простой доступ извне.

Рис. 4 Точка распространения СОС
Рис. 4 Точка распространения СОС

ЦС сервера Windows, интегрированный с Active Directory (как в нашем университете), автоматически публикует СОС в Active Directory, благодаря чему он становится доступен по протоколу LDAP. Стандартное место публикации — это контейнер ТРС (см. рис. 5), находящийся в контейнере службы открытых ключей леса. Это место публикации очень удобно, поскольку оно обеспечивает автоматическую репликацию, отказоустойчивость и локальность для поиска ТРС.

Рис. 5 Контейнер ТРС
Рис. 5 Контейнер ТРС

Однако в нашем университете много работающих с PKI компьютеров, на которых установлены программные продукты, отличные от Windows и Active Directory. Университет — крупная организация, большинство пользователей которой работают в университетской сети производительностью 10 Гбит/с, что сводит преимущества использования публикаций ТРС средствами Active Directory к минимуму.

Поэтому СОС публикуется только в HTTP, что позволяет упростить построение резервной платформы размещения (основной веб-узел уже имеет зеркало). Это также исключает возможные сложности, связанные с клиентским поиском по протоколу LDAP. СОС публикуется ежедневно, а разностные СОС публикуются каждый час.

Перспективы

Несмотря на то что настоящая PKI является надежным решением, обеспечивая безопасность университетского сообщества, мы планируем и дальше ее совершенствовать. Windows Vista™ и новая версия сервера Windows (кодовое название "Longhorn") предоставляют множество новых возможностей управления ключами, которые мы намерены исследовать. Нас особенно заинтересовали возможности клиента и респондента интерактивного протокола состояния сертификата (OCSP), поддержка эллиптической криптографии и алгоритмов SHA-256, а также значительно улучшенный интерфейс автоматической подачи заявок. Кроме того, в пакете обновления 3 (SP3) для Windows XP заявлена функция роуминга учетных данных, которая обеспечит безопасное перемещение пар ключей без затрат ресурсов, связанных с перемещением профилей. Наконец, с целью улучшения управления и отчетности мы исследуем применение диспетчера жизненного цикла сертификатов (на данный момент доступна бета-версия).

Таким образом, университетская PKI является мощной службой безопасности, необходимой для осуществления множества важнейших информационных функций. Программа Cybertrust OmniRoot позволяет использовать инфраструктуру открытого ключа, которая хорошо интегрируется с другими информационными системами университета, расширяя их глобальное доверие. Реализация решения на основе службы ЦС Windows обеспечивает эффективную сертификацию, управление, отличную интеграцию с существующим каталогом и систему управления идентификаторами. Словом, в университете штата Луизиана мечта о мощной защите и полном доверии средствами PKI уже становится реальностью.

Автор: Джон Морелло (John Morello)  •  Иcточник: TechNet Magazine  •  Опубликована: 07.02.2007
Нашли ошибку в тексте? Сообщите о ней автору: выделите мышкой и нажмите CTRL + ENTER
Теги:  


Оценить статью:
Вверх
Комментарии посетителей
Комментарии отключены. С вопросами по статьям обращайтесь в форум.