Lectures for 2008 - KTH

KURSKOMPENDIUM NÄTVERKSSÄKERHETSKURS
___________________________________________________________________________
har lyckats skaffa sig en särställning, närapå monopolställning, för vissa typer av certifikat.
Det gäller till exempel servercertifikat för SSL-baserad http- kommunikation.
RFC 2527 beskriver vilka viktiga beståndsdelar som skall ingå i en CPS. I standarden X.509
definieras närmare vad en CP är.
6.4 Certifikathantering och katalogtjänster
För att få en publik nyckelinfrastruktur att fungera i praktiken måste man lösa problemet att
distribuera certifikat mellan användare. En ofta använd metod är att inrätta centraliserade
lagringsarkiv med sökmöjligheter, så kallade katalogtjänster. Antingen kan katalogentjänsten
adminstreras av den egna organisationen eller i de fall då man exempelvis nyttjar en extern
utställare av certifikat så kan man kanske även nyttja en extern katalogtjänst.
Ett vanligt protokoll för att söka efter och hämta certifikat och certifikatinformation är
Lightweight Data Access Protocol, LDAP. Det används sällan eller aldrig direkt av
användaren utan är ett protokoll som används bakom kulisserna av tillämpningar som behöver
kontakta katalogservern. LDAP använder sig av TCP-port 389. LDAPS är en variant av
LDAP som körs över sessions-tunnlingsprotokollet TLS (IETF-världens motsvarighet till
Netscapes SSL) för att erbjuda en högre nivå av säkerhet. LDAPS använder sig normalt av
TCP-port 636.
En allt vanligare katalogtjänst är att använda Microsoft AD, bland annat via LDAPS. Om man
inte skall bygga en stor PKI-lösning kan man i vissa fall nyttja manuell certifikatdistribution.
Detta kan även vara nödvändigt när man skall utväxla certifikat med extern part som inte är
del i en specifik PKI-lösning men som ändå måste få tillgång till ett certifikat, exempelvis för
att kunna utbyta uppsäkrad e-post.
6.5 Certifikatkontroll och revokering
Ett certifikats giltighet måste kontrolleras. En kontroll är att se att certifikatet ej är ändrat eller
trasigt. När ett program kontrollerar ett certifikat så bedömmer man dessutom om det har en
korrekt utställare eller är underskriven av en CA som bedömmaren känner till och litar på. För
att göra detta så måste bedömmare kunna följa en fullständig förtroendekedja (eng. trust path)
mellan certifikatet och utgivaren.
Förutom den information som ingår i certifikatet om livslängd och liknande så kan ett
certifikat även bli spärrat, varpå en tjänst inte bör acceptera vidare användning av certifikatet.
Att spärra ett certifikat kallas för revokering. För att kontrollera om ett certifikat är spärrat
måste man jämföra det med en spärrlista, en så kallad certifikatrevokeringslista (eng
certificate revocation list, CRL). Det kan antingen ske genom att en spärrlista laddas ner till
datorn eller genom en så kallad online-verifiering. En CRL skapas av en CA och publiceras
regelbundet.
Hur ofta en spärrlista av det här slaget skapas, om det är var 15e minut, en gång per dygn eller
veckovis, har att göra med vilken policy certifikatutgivarenhar valt. När ett certifikat spärras
så adderas certifikatets serienummer till spärrlistan. En nackdel med CRLer är att det förflyter
tid mellan uppdateringarna. Om spärrlistorna skapas veckovis och ett certifikat spärras dagen
efter det att en spärrlista skapats, så kommer de som kontrollerar certifikat att behöva vänta
sex dagar innan de blir medvetna om att certifikatet är ogiltigt. CRLer finns att hämta från
Copyright (c) 2003-2008 Robert Malmgren AB. All rights reserved Sid 96 (139)