Lectures for 2008 - KTH

KURSKOMPENDIUM NÄTVERKSSÄKERHETSKURS
___________________________________________________________________________
som baserar sig på antalet utställda certifikat, antal installerade PKI-program och liknande.
Vid stora installationer kan det bli kostsamt att nyttja detta alternativ, speciellt om man har
behov av flera certifikat per användare.
Microsoft har med Windows 2000 lite grann i smyg introducerat en PKI-teknologi på
Windowsplattformen. Denna PKI har haft ett antal svagheter i jämförelse med flera
kommersiella varianter som har haft flera års försprång att bygga upp sina tekniska
plattformar och kunnande. I samband med Windows 2003 Server och XP har Microsoft
vidareutvecklat sin PKI-lösning och har numera en plattform som är ett attraktivt alterativ till
att såväl bygga en egen PKI som att välja en tredjepartsprodukt. En fördel som många företag
har vad det gäller Microsoft är att de redan har koncernlicenser och att Microsoft inte har
extra licenskostnader per utställda certifikat eller för PKI-moduler. Har man behov av mycket
extern kommunikation så är det viktigt att de externa parterna lätt kan komma åt kataloger,
har rätt programvara samt möjlighet att verifiera våra certifikat. I detta fall kan det vara vettigt
att nyttja någon stor extern aktör, den vanligaste aktören är VeriSign, att ställa ut certifikat,
och sedan nyttja program som kan importera och bruka dessa certifikat, exempelvis Netscapes
eller Mozillas webb- och mailläsare.
Det är viktigt att täcka in alla bitar när man inför en PKI. Det är ofta lättare att ställa ut
certifikat än att kontrollera riktighet och giltighet. Det finns flera exempel i Microsofts
programvara som Internet Explorer och andra program, att man glömt eller ignorerat de
viktiga stegen att kontrollera certifikatens egenskaper. Windows update struntade i att den
nedladdade programvaran blev signerad med ett utgånget certifikat. När någon okänd person
lyckades lura VeriSign att ställa ut och leverera ett programutgivarcertifikat utställt i
Microsoft namn så blev det stora problem. Det fanns ingen funktionalitet på plats iWindows
eller dess appliationer att spärra det falska certifikatet. Detta är misstag man kan lära från
andra och sedan inte falla i själv när man skall införa en PKI-lösning.
Att bygga en helt egen PKI-lösning kräver utvecklarkompetens men kan leda till
kostnadseffektiva och skräddarsydda lösningar. Det finns idag öppenkällkodslösningar med
OpenSSL, OpenCA, OpenLDAP och andra kom- ponenter vilka kan användas för att bygga
en fullvärdig PKI-lösning.
6.8 PKCS
En annan viktig samling av PKI-relaterade standarder kallas PKCS, Public Key Crypto
Standard. PKCS är en samling företagsstandarder utgivna av RSA Data Security. PKCS har
dock blivit accepterade som allmänna branschstandarder för olika bitar inom PKI. PKCS
består av standarder för format på nycklar, filer och liknande samt för gränssnitt mot
exempelvis smartkortsläsare.
Copyright (c) 2003-2008 Robert Malmgren AB. All rights reserved Sid 101 (139)