Maestría en Seguridad, Universidad Don Bosco, marzo de 2014 Francisco Rodríguez Henríquez...

Maestría en Seguridad, Universidad Don Bosco, marzo de 2014

Francisco Rodríguez Henríquez

Certificados e Infraestructura de Llave Pública

Francisco Rodríguez-HenríquezCINVESTAV-IPN

Depto. de Ingeniería Eléctrica Sección de Computación



Conceptos Básicos



Autenticación: Definición

La Autenticación es un proceso que tiene como

finalidad verificar la información referente a un

determinado objeto, por ejemplo:

• La identidad del remitente (ya sea un dispositivo

electrónico y/o un usuario).

• La integridad de la información enviada.

• El momento de envío de la información.

• La validez de la firma.

.



Autenticación: Mecanismos

La autenticación asegura que la identidad de los

participantes sea verdadera. Se pueden evaluar tres

aspectos para autenticar usuarios:

• verificar algo que el usuario tiene;

• poner a prueba al usuario sobre algo que sabe, esto

es, pedirle una contraseña y,

• verificar algo que el usuario es, por ejemplo,

analizar sus huellas dactilares o su retina.



Confidencialidad con llave pública



Funciones Hash– Producen huellas digitales de longitud fija para

documentos de longitud arbitraria. De esta manera

producen información útil para detectar modificaciones

maliciosas

– Traducen contraseñas a salidas de longitud fija.

– Pueden ser utilizadas para producir números aleatorios

– Proveen autenticación básica a través de la funcionalidad

MAC [Message Authentication Code]

– Utilizadas como bloques básicas para firmas digitales



Esquema básico de una función hash



Obtención de llave privada



Generación de números aleatorios con funciones hash



Función hash+Llave= MAC



Autenticación básica con firmas digitales



Infraestructura de Llave Pública (PKI)



Autenticación a través de una tercera entidad



¿Para qué y por qué utilizar PKI?



Los problemas que surgen del uso de algoritmos

asimétricos sin el respaldo de infraestructuras

adicionales pueden dividirse en cuatro áreas

[Schneier03]:

1. Autenticidad de llave.

2. Revocación de llaves.

3. No repudio

4. Aplicación de Políticas

Problemas con algoritmos asimétricos



1. Autenticidad de llave. El objetivo primario de la autenticación de la llave pública de una entidad es fundamentalmente evitar ataques como intruso de en medio y usurpación de identidad

Autenticidad de Llave



1. Revocación de llaves. C ha robado la llave privada de la computadora de A. Ergo,

• C es capaz de usarla para leer todos los mensajes que fueron cifrados con la llave pública de A;

• C puede generar firmas digitales a nombre de A.

La única forma que tiene A para protegerse es generar un nuevo par de llaves y no continuar utilizando las anteriores. Problema de diseño:

¿Cómo hacer saber a las personas que envían correo electrónico a A, que su par de llaves han sido revocado?

Revocación de Llaves



1. No Repudio. Uno de los propósitos de una firma digital

es asegurar el no-repudio. Si A mantiene su llave privada

en secreto, significa que nadie más puede generar una

firma digital de un documento más que A mismo. Sin

embargo, A puede no honrar su firma digital afirmando

simplemente que la llave con la cual se generó la firma no

es la suya.

Problema de diseño:

¿Cómo probar que la llave privada con la que se generó la

firma digital realmente pertenece a A?

No Repudio



1. Aplicación de Políticas. Suponga que una compañía desea asignar un par de llaves a cada empleado, de manera tal que cada uno de ellos pueda cifrar y firmar información, de acuerdo a la siguiente política:

• Cada empleado debe de tener únicamente un par de llaves.• Todas las llaves públicas deben de estar registradas de manera

centralizada.• Las llaves utilizadas deben de usar un tamaño de longitud de llave

adecuada.• Cada par de llave debe ser cambiado después de un determinado

período de validez.• Si un empleado deja de laborar en la compañía, su llave pública debe de

ser revocada automáticamente.Problema de diseño: ¿Cómo implementar tales políticas sin la ayuda de sistemas externos a la

Criptografía de llave pública?

Aplicación de Políticas



La Infraestructura de Llave Pública (PKI) es una

combinación de software, tecnologías de cifrado, y

servicios que permiten proteger la seguridad de las

transacciones de información en un sistema distribuido.

PKI integra [o al menos intenta ¡!] certificados digitales,

criptografía de llave pública y autoridades de

certificación en una arquitectura de seguridad unificada.

Infraestructura de Llave Pública (PKI)



Componentes PKI



Entidad final. Término genérico para denotar a los usuarios

finales o cualquier entidad que pueda ser identificada

(personas, servidores, compañías, etc.) mediante un

certificado digital expedido por una Autoridad

Certificadora.

Autoridad Certificadora (AC). La AC es la entidad que

expide los certificados digitales, así como la lista de

revocaci´on (CRL). Adicionalmente puede soportar

funciones administrativas, aunque generalmente éstas son

delegadas a una o varias Autoridades de Registro.

Infraestructura de Llave Pública (PKI) (1/2)



Autoridad de Registro (AR). Una AR es componente opcional que puede asumir funciones administrativas de la CA. Repositorio. El repositorio es el término genérico utilizado para denotar cualquier método para almacenamiento de certificados y listas de revocación (CRLs) que permita el acceso por parte de las entidades finales a dichos documentos.Emisor CRL. El emisor CRL es un componente opcional el cual puede ser utilizado por una AC para delegar las tareas de publicación de las listas de revocación.

Infraestructura de Llave Pública (PKI) (2/2)



Certificados y Autoridades certificadoras



Una Autoridad Certificadora, es el componente fundamental

de la infraestructura de llave pública. Es una combinación

de hardware, software, y personas que conforman una

arquitectura de seguridad. La AC es conocida por sus dos

atributos más importantes: su llave pública y su nombre o

identificador.

La AC expide certificados de llave pública para cada

entidad, confirmando plenamente la identidad del suscriptor

con sus respectivos documentos de identidad.

Autoridad Certificadora



Una Autoridad Certificadora desempeña cuatro funciones

básicas en PKI:

1. Expedición de certificados digitales.

2. Expedición de listas de revocación.

3. Publicación de sus certificados digitales y

correspondiente lista de revocación.

4. Almacenamiento del estado de los certificados expirados

que ha expedido.

Autoridad Certificadora



ACs

Usuarios finales

ACs de nivel alto

AC raíz

La arquitectura de PKI es jerárquica



• El verificador debe conocer la llave pública de la AC raíz.

• Cada llave pública es resuelta una a una

• Todas las ACs en la trayectoria deben ser de toda la confianza dle verificador

Trayectorias de Certificados



Arquitecturas PKI



ACs

Usuarios Finales

Certificados puente

Certificados Puente



Un Certificado Digital es un documento que vincula una llave pública con una entidad final y que es firmado por una autoridad certificadora para demostrar su validez e integridad.

Certificado Digital: Definición

firmaLlave Púb Datos usuario: atributos, privilegios, etc.

firma del digesto de los datos



Información de identificación del sujeto

Llave pública del sujeto

Nombre de la Autoridad Certificadora

Número de serie

Firma digital de la Autoridad Certificadora

GenerarFirma digital

Llave privada de la Autoridad de Certificación

Certificado

Certificados



Un certificado digital incluye la llave pública, información

acerca de la identidad del suscriptor que posee la llave

privada, un período de validez del certificado, y la firma

digital de la propia autoridad certificadora. El certificado

puede contener otros campos como por ejemplo:

información adicional sobre la autoridad certificadora o

información acerca de usos recomendados para la llave

pública.

Certificado Digital



Ciclo de vida un certificado digital

Generar llaves

Generar certificado

certificado válido y en uso Llave privada

comprometida

Certificado expirado

recertificar

Certificado revocado

Llaves expiradas



Certificados Comerciales

• Varias compañías comerciales producen AC: Nortel, GTE

y VeriSign entre otras. La más dominante en el mercado

es esta última.

• Más de 35K sitios comerciales WEB utilizaban

certificados Verisign en los noventas.

• Más de un millón de certificados han sido expedidos a

navegadores Netscape y de Microsoft.

• El certificado clase 1 De Verisign cuesta $14.95 USD al

año. Existe una edición de 60 días de prueba



Certificado X.509



Lista de Revocación de Certificados


Francisco Rodríguez HenríquezFig. 1. Entorno de una Autoridad Certificadora

Certificado TBS



Generación de certificado X.509



Separación de componentes de un certificado X.509



Firma de Certificado



Verificación de certificado digital

Maestría en Seguridad, Universidad Don Bosco, marzo de 2014 Francisco Rodríguez Henríquez...

Documents

Transcript of Maestría en Seguridad, Universidad Don Bosco, marzo de 2014 Francisco Rodríguez Henríquez...