WikiSort.ru - Не сортированное

Кортеж SPKI из четырёх объектов

В SPKI для связывания локального имени и открытого ключа пользователя используется кортеж SPKI из четырёх объектов

  (Создатель, Имя, Объект, Период действия)

На практике же сертификат состоит из 5 объектов:

• открытый ключ создателя
• имя субъекта
• открытый ключ субъекта
• период действия
• подпись создателя сертификата на тройке (Имя, Объект, Период действия)

Любой пользователь может создать такой сертификат и, как следствие, стать ЦС.

Кортеж SPKI из пяти объектов

Кортеж SPKI из пяти объектов применяется для авторизации ключей и состоит из:

  (Создатель, Объект, Делегирование, Авторизация, Период действия)

В реальности сертификат насчитывает шесть полей:

• имя субъекта
• открытый ключ субъекта
• делегирование, то есть знак «Да» или «Нет», означающий, может ли субъект делегировать полномочия или нет
• авторизация: что, собственно, может делегировать субъект
• период действия авторизации
• подпись создателя сертификата на четвёрке (Объект, Делегирование,Авторизация, Период действия)

Комбинация сертификатов

Для получения контрольного следа можно комбинировать сертификаты аутентификации и авторизации. Сертификат авторизации даёт возможность совершать какие-либо действия с ключом, но ничего не сообщает о владельце ключа. Привязка же ключа происходит при помощи сертификата аутентификации. Поэтому возникает потребность в использовании их комбинации.

Комбинация сертификатов производится при помощи следующего правила редукции:

  ${\displaystyle (I_{1},S_{1},D_{1},A_{1},V_{1})+(I_{2},S_{2},D_{2},A_{2},V_{2})=(I_{1},S_{2},D_{2},A_{2}\cap A_{1},V_{2}\cap V_{1})}$

Где ${\displaystyle I_{i}}$  — создатель, ${\displaystyle S_{i}}$  — объект, ${\displaystyle D_{i}}$  — делегирование, ${\displaystyle A_{i}}$  — авторизация, ${\displaystyle V_{i}}$  — срок действия.

Равенство достигается тогда и только тогда, когда ${\displaystyle S_{1}=I_{2}}$ и ${\displaystyle D_{1}}$ = Да.

Делегирование полномочий при помощи комбинации двух кортежей

Реквизиты сертификата Алисы:

• ${\displaystyle I_{1}}$ = Алиса
• ${\displaystyle S_{1}}$ = Боб
• ${\displaystyle D_{1}}$ = Да
• ${\displaystyle A_{1}}$ = Снять со счёта Алисы 100 евро
• ${\displaystyle V_{1}}$ = Неограничено

Это означает, что Алиса разрешает Бобу снять со счёта 100 евро и позволяет делегировать это действие любому человеку, которого Боб сочтёт нужным.

Реквизиты сертификата Боба:

• ${\displaystyle I_{2}}$ = Боб
• ${\displaystyle S_{2}}$ = Чарли
• ${\displaystyle D_{2}}$ = Нет
• ${\displaystyle A_{2}}$ = Снять со счёта Алисы сумму от 50 евро до 100 евро.
• ${\displaystyle V_{2}}$ = До завтрашнего дня

Это значит Чарли позволено снять сумму в диапазоне от 50 евро до 100 евро со счёта Алисы в течение сегодняшнего дня.

Сцепка двух сертификатов при помощи правила редукции:

• ${\displaystyle I_{3}}$ = Алиса
• ${\displaystyle S_{3}}$ = Чарли
• ${\displaystyle D_{3}}$ = Нет
• ${\displaystyle A_{3}}$ = Снять со счёта Алисы сумму от 50 евро до 100 евро.
• ${\displaystyle V_{3}}$ = До завтрашнего дня

Таким образом Алиса разрешила Бобу делегировать полномочия и, как следствие, разрешила снять Чарли деньги с её счёта до завтрашнего утра.^[2]

Основные поля сертификата X.509

Для наглядности приведены основные поля сертификата X.509.

• серийный номер сертификата — уникальный серийный номер
• идентификатор алгоритма подписи — тип ЭЦП, который использовался создателем сертификата
• имя создателя — отличительное имя (формата X.500) третьей доверенной стороны
• период действия — указывание даты начала и окончания периода действия сертификата
• открытый ключ субъекта
• имя субъекта сертификата — отличительное имя субъекта

Различия SPKI и Х.509

Проблема X.509 в том, что имена глобальны (что не соответствует действительности) и используются для идентификации сертификатов. Поэтому для того, чтобы авторизировать владельца ключа, необходимо аутентифицировать его. Поэтому авторизация без аутентификации в стандарте X.509 невозможна, что, в частности, означает, что данный стандарт не поддерживает анонимную авторизацию. В SPKI данные проблемы решаются тем, что ключи, которые сами по себе уникальны, являются индентификаторами (что позволяет проводить анонимную авторизацию). Так как человеку трудно трактовать ключи, в SPKI предусмотрены локальные имена. Локальное имя — это имя в некотором пространстве имен. Из этого следует, что поле «Имя субъекта» имеют кардинально разные значения. Ещё одно отличие SPKI и X.509 — поле «Делегирование» отсутствующее в X.509. Схожими же между собой полями в обоих сертификатах являются поля «Открытый ключ», «Имя создателя» и «Период действия».

Также отличиями SPKI от X.509 является то, что в SPKI нет иерархии ЦС, и место языка ASN.1, используемого в написании сертификатов X.509, для написания SPKI сертификатов используются S-выражения, лёгкие и простые для понимания, в отличие от сертификатов X.509, предназначенных для компьютерного разбора. Также предусмотрен интерфейс для облегчённого восприятия S-выражений.^[3][2]