X.509, varmennestandardi (2-A)

Julkisen avaimen infrastruktuureja kehitellään monissa paikoissa ja monenlaisiin tarkoituksiin. Keskeinen tausta näille hankkeille on X.500-hakemistostandardeihin kuuluva standardi X.509, joka määrittelee varmenteen ja varmenteita käyttäviä autentikointiprotokollia.

Nämä protokollat perustuvat allekirjoitukseen, jonka tunnistautuja laatii. Periaate muistuttaa hieman sellaista salasanan suojausmenettelyä, jossa salasanasta, satunnaisluvusta r ja aikaleimasta lähetetään tiiviste, jonka todentaja voi havaita tuoreeksi ja oikeaksi (kun saa myös r:n). Julkisen avaimen systeemissä ei ole salasanaa eli yhteistä salaisuutta, vaan "suojausfunktio" eli allekirjoitus lasketaan oleellisesti aikaleimasta ja todennus tapahtuu avaamalla allekirjoitus tunnistautujan julkisella avaimella, johon todentaja voi luottaa varmenteen ansiosta. Varmenteen hankkiminen ja toimittaminen todentajalle siis korvaavat salasanasta sopimisen.

Autentikointiprotokollan yhteydessä on sitten helppo sopia myös yhteisestä salaisuudesta, jota voi jatkossa käyttää symmetrisen salauksen avaimena. Tähän tunnistautuja tarvitsee kuitenkin vastaanottajan eli todentajan julkista salausavainta, joten varmenteen toimittamista tarvitaan toiseenkin suuntaan. Varmenteiden määrittelyssä ja jakelussa onkin X.509-standardin keskeinen merkitys (eikä em. protokollissa).

Seuraavassa on X.509-varmenteen rakenne version 3 mukaan. Sen käyttöä Internetissä täsmentää RFC2459.

  • versio (v3)
  • sarjanumero
  • allekirjoitusalgoritmin ja tiivistealgoritmin OID;
  • varmentaja: X.500:n mukainen DN (distinguished name): C=country O=organisation CN=common name;
  • varmenteen voimassaoloajan alku ja loppu: UTC-aika
  • haltijan ("subjektin") DN: voi olla tyhjäkin jos vaihtoehtoinen nimi on laajennuskentässä;
  • haltijan julkisen avaimen tiedot;
  • ja tieto algoritmista;
  • [ varmentajan tunniste, RFC2459 ei suosittele]
  • [ haltijan tunniste; --"-- ]
  • laajennuskenttiä;
  • kaikesta edellä olevasta laskettu allekirjoitus ja tieto algoritmista.

Laajennuskenttiä on noin viittä lajia. Luettelossa on kaksoispisteen jälkeen vain joitain mahdollisuuksia.

  • Varmenteen haltijan tyyppi; voi olla alivarmentaja tai loppukäyttäjä.
  • Vaihtoehtoiset nimet varmentajalle ja/tai haltijalle: haltijan s-postiosoite (S/MIME:n suositus);käyttäjätunnus (Windows 2000 -kirjautumisessa)
  • Avaimen attribuutteja: käyttötarkoitus
  • Varmennepolitiikan tiedot: OID.
  • Muuta: mistä CLR löytyy.

X.509-varmenteen sisältöä on nähtävissä HST-kortilla käytettävässä varmenteessa? . Muita X.509-varmenteita käyttäviä sovelluksia ovat mm. S/MIME? ja SSL ja PGP:kin? voi niitä käyttää.

-- JukkaKoskinen?

SivuTiedotLaajennettu edit

Vaativuus Perus
Valmius Valmisteilla
Tyyppi Ydin
Luokitus Uhkat
Mitä Luottamuksellisuus
Miltä Ihmisetön uhka
Missä Organisaatio
Kuka Tite-ammattilainen
Milloin Ennakolta
Miksi Hyvä tapa
Print version |  PDF  | History: r3 < r2 < r1 | 
Topic revision: r2 - 26 Sep 2010 - 11:10:40 - MarkoHelenius
 

TUTWiki

Copyright © by the contributing authors. All material on this collaboration platform is the property of the contributing authors.
Ideas, requests, problems regarding TUTWiki? Send feedback