ГлавнаяПродуктыРешенияОтчетность через интернетУчебный центрЭлектронные торгиСкачатьО компании

Подсистема симметричного распределения ключей.


 

1. Введение

2. Системы с открытым (PKI) и симметричным распределением ключей

2.1. Преимущества симметричного распределения ключей перед системами с открытым распределением ключей

2.2. Преимущества открытого распределения ключей перед симметричным распределением

2.3. Какой же выбор?

3. Ключевая структура и система управления ключами технологии ViPNet

3.1. Общее описание структуры виртуальной сети ViPNet, определяющей ее ключевую структуру

3.2. Подсистема симметричного распределения ключей

3.3. Подсистема открытого распределения ключей

3.4. Общая технология функционирования подсистем распределения ключей в системе ViPNet

 

3.2.1. Задача этой системы сформировать симметричный ключ обмена для каждой связанной пары коллективов на сетевых узлах. Информация о связях передается из ЦУСа в ключевой центр в соответствующих справочниках. Естественно ключевой центр не сохраняет все созданные ключи, а формирует их набор для каждого объекта своей сети по мере потребности. Формирование этих ключей для заданной пары коллективов осуществляется на основе шифрования на некотором мастер - ключе соответствующей пары идентификаторов.

Мастер-ключ (32 байта) хранится в Ключевом центре в полной секретности, поскольку компрометация мастер - ключа приводит к компрометации всех ключей, которые из него порождены. Криптографически обосновано, что получить мастер-ключ из ключей, которые рождены из него, а также другие рожденные из него ключи невозможно, поскольку для их формирования используются те же симметричные алгоритмы шифрования.

На каждый узел (коллективы узла) передаются требуемые им ключи обмена с другими узлами (коллективами) в зашифрованном на ключе защиты виде. Ключи защиты - это по существу ключи обмена между ключевым центром и коллективом данного узла, с использованием которых осуществляется обновление ключей обмена на узле.

Ключи защиты в свою очередь зашифрованы на персональных ключах абонентов. Персональные ключи - это по существу ключи обмена между ключевым центром и конкретным пользователем данного узла, с использованием которых осуществляется разграничение доступа к соответствующим коллективам узлов, на которых зарегистрирован абонент, а также обновление ключей защиты, каждому пользователю.

3.2.2. Мастер - ключ формируется с помощью датчика случайных чисел (аппаратного или программного) и имеет эшелонированную систему криптографической защиты для безопасного хранения и использования. Для данной виртуальной сети на самом деле формируется три мастер - ключа длиной 32 байта каждый для формирования ключей следующего уровня:

- указанных выше ключей обмена коллективов,
- ключей защиты ключей обмена, на которых осуществляется шифрование ключей обмена при их передаче на соответствующие узлы,
- персональных ключей абонентов, используемые для шифрования ключей защиты ключей обмена и другой персональной ключевой информации, в частности секретных ключей ЭЦП.

При установлении взаимодействия с другой виртуальной сетью в качестве мастер - ключа для генерации межсетевых ключей обмена используются так называемый межсетевой мастер - ключ, имеющийся в той и другой сети. Для каждой другой сети имеется свой мастер - ключ. Использование раздельных мастер - ключей для своей сети и для взаимодействия с другими сетями направлено на локализацию последствий и минимизацию объема необходимых мероприятий при компрометациях мастер - ключей.

Формирование межсетевых мастер - ключей возможно несколькими способами. На первоначальном этапе организации взаимодействия между сетями администраторам двух сетей необходимо надежным способом обменяться этими ключами.

3.2.3. Набор ключей обмена для каждого коллектива узла зашифрован на ключах защиты ключей обмена, уникальных для каждого коллектива, и поэтому может свободно передаваться по каналам связи и сохраняться на жестком диске соответствующего узла. Поскольку длина симметричного ключа невелика, то передача и хранение массива ключей обмена для данного узла не составляет каких - либо проблем. Скажем, массив из 1000 ключей занимает всего около 40-50 Кбайт с учетом служебной информации.

3.2.4. Ключи защиты ключей обмена хранятся на жестком диске в персональном каталоге абонента. Число этих ключей равно числу коллективов, в которых зарегистрирован данный абонент. Обычно это один ключ длиной 32 байта. В этом же каталоге хранятся справочники корневых сертификатов своей сети, ключи для инициализации датчика случайных чисел, а также некоторые другая персональная ключевая информация, защищенная персональным ключом абонента. Ключи защиты ключей обмена зашифрованы на персональных ключах каждого абонента и также могут передаваться по каналу связи при обновлениях ключевой информации.

3.2.5. Персональные ключи каждого абонента зашифрованы на парольном ключе и хранятся на его персональном ключевом носителе (дискете, смарт-карте, идентификаторе (таблетке) Touch Memory, жетоне USB и т. д., в определенных условиях могут сохраняться и на жестком диске).

3.2.6. Парольный ключ - последовательность байт длиной 32 байта, получаемая путем хэширования пароля.

3.2.7. Пароль - последовательность алфавитно-цифровых символов длиной от 9 до 32. Пароль может быть двух типов: собственный или случайный. Собственный пароль задается самим пользователем или администратором ключевого центра. Случайный пароль формируется из так называемой случайной легко запоминаемой парольной фразы, состоящей либо из 3 слов (подлежащее, сказуемое и дополнение), либо из 4 слов (определение, подлежащее, сказуемое и дополнение). При формировании случайного пароля также задается число начальных букв в каждом слове фразы (3 или 4), используемых для составления пароля

3.2.8. При необходимости для каждого абонента формируется некоторое количество резервных персональных ключей в зашифрованном на первоначальном парольном ключе виде. Эта информация заносится на отдельные от персонального ключевого носителя индивидуальные носители для каждого абонента. Данные ключи в дальнейшем при необходимости могут использоваться для дистанционного обновления также и действующих персональных ключей абонента в случае их компрометации.

3.2.9. Шифрование информации между двумя объектами производится с использованием ключей обмена, которые всегда готовы к применению. На самом деле, шифрование каждого блока информации производится на производных ключах:
- либо на случайном ключе, зашифрованном на ключе обмена,
- либо путем хэширования ключа обмена и синхропосылки.

Это предоставляет возможность достаточно редко производить плановую смену ключей обмена (не чаще, чем один раз в год).

3.2.10. Для обеспечения смены ключей по истечении срока их действия или при компрометации используется понятие номер ключа и вариант ключа.

Номер ключа изменяется при смене мастер - ключа, что используется при смене всех ключей в виртуальной сети, зависящих от данного мастер - ключа.

Вариант ключа используется для смены ключей у одного из объектов сети. В этом случае происходит смена всех ключей у данного объекта, а также соответствующих ключей на других объектах, связанных с ним.