PKI

תרשים המתאר את הליך הניפוק והאימות של תעודות דיגיטליות בתשתית PKI

תשתית מפתחות ציבוריים(או בקיצורPKI;מאנגלית: Public-key infrastructure) היא תשתית שלחומרה,תוכנה,אנשים,מדיניותותהליכים הנדרשים כדי להנפיק, לנהל, להעביר, להשתמש, לאחסן ולגנוזתעודות דיגיטליות.

בקריפטוגרפיה,PKI הוא הסכם המקשרמפתחות ציבורייםעם הגופים (למשל אדם או ארגון) שאליהם הם שייכים, באמצעותרשויות אמון(בקיצורCA,מאנגלית: Certificate Authority), אשר בסמכותן להנפיק תעודות דיגיטליות. הקשר מיוסד בתהליך של רישום וניפוק. הניפוק מתרחש אצל רשות האמון (באמצעות תוכנת מחשב או פיקוח אנושי), בהתבסס על רמה מסוימת של אמון בין הצדדים (למשל על ידי הצגת מסמכים משפטיים המאשרים זהות של חברה). הגוף האחראי על בדיקת האמון בין הצדדים הואמרכז רישום(אוRA,קיצור של Registration Authority). על ה-RA לוודא שהמפתח הציבורי אכן שייך לאותו גוף יחיד אשר נרשם, באופן שלא יאפשר לאותו גוף להתכחש לכך בעתיד. כדי לדעת אם תעודה כלשהי תקפה פונים לרשות תיקוף(VA,Validation Authority).

לעיתים, המונח PKI משמש לתיאורמימוששל רשות אמון.

סקירה

הצפנת מפתח ציבוריהיא שיטה בקריפטוגרפיההמאפשרת לגופים מרוחקים לתקשר באופן מאובטח בתוךרשתציבורית לא מאובטחת, ולהבטיח את הזהות אחד של השני באמצעותחתימות דיגיטליות.

תשתית PKI היא מערכת ליצירה, אחסון והפצה שלתעודות דיגיטליות,אשר מאפשרות לוודא שייכות של מפתח ציבורי לגוף מסוים. במסגרת תשתית זו מנפיקים תעודות דיגיטליות המקשרות שֵׁם עם מפתח ציבורי, מאחסנים את התעודות הללו במרכז שנועד לשם כך, וגונזים אותן אם נדרש (למשל, כשנחשף המפתח הפרטי).

תשתית PKI מורכבת אפוא מ:

• רשות אמון(CA) האחראית על ניפוק ועל אימות תעודות דיגיטליות.
• מרכז רישום(RA) המאמת את הזהות של גופים המבקשים מידע מרשות האמון.
• ספרייה מרכזית- מקום מאובטח שבו יאוחסנו מפתחות צופן.
• מדיניות לכתיבת תעודות

דרכים לקבלת תעודה

באופן כללי, ישנן שלוש דרכים להשגת אמון בגוף מסוים: רשות אמון (CA), רשת אמון (Web of Trust), ו-Simple PKI.

רשויות אמון

התפקיד המרכזי של רשות האמון הוא לחתום דיגיטלית ולהפיץ את המפתח הציבורי המקושר אל גוף נתון. פעולה זו מתבצעת על ידי המפתח הפרטי של רשות האמון, כך שהאמון במפתח הציבורי של המשתמש מבוסס על האמון במפתח הפרטי של רשות האמון. הקשר בין המשתמש למפתח שלו מיוסד בהסתמך על רמה מסוימת של אמון, באמצעות תוכנת מחשב או פיקוח אנושי.

תעודות זמניות ו-SSO

גישה זו מערבתשרתהפועל כרשות אמון מקוונת (online) במערכתSSO(שיטה להזדהות חד פעמית כלפי יותר מגוף אחד). שרת ה-SSO ינפיק תעודות דיגיטליות לשימוש הלקוח, אבל לא ישמור אותן.

רשת אמון (Web of Trust)

גישה חלופית לבעיית אימות השייכות של מפתח ציבורי לגוף מסוים היארשת אמון.הקמת רשת אמון נעשית באמצעותחתימההדדית של משתמשים זה על המפתח הציבורי של זה, כך שמושגת היררכיה של אמון אשר בראשה עומד בדרך כלל גוף בעל אמינות גבוהה.

לפי גישה זו, כל גוף יכול לפרסם את המפתח הציבורי שלו, אך המפתח ייחשבאמין(אומאומת) רק אם שני חברים שונים ברשת האמון הצהירו כי אכן המפתח שייך לאותו אדם (וגיבו הצהרה זו בחתימה דיגיטליתעל ההצהרה ועל המפתח). רשת אמון פועלת למעשה בשיטת חבר מביא חבר,שבה ניתן לתת אמון בכל משתמש אשר אושר על ידי מי מהחברים הקיימים.

הראשונה לנקוט דרך זו כדי להבטיח את זהות בעלי המפתחות הציבוריים היא התוכנהPGP,המנגישה את האפשרות ליצור רשת אמון אל המשתמש הביתי.

SPKI

גישה נוספת, אשר אינה מתעסקת בקישור בין זהות למפתח ציבורי היא Simple Public-key Infrastructure, או בקיצורSPKI.הגישה צמחה מתוך שלושה מאמצים עצמאיים להתגבר על המורכבות שלX.509ושל רשת האמון שלPGP.ב-SPKI אין קישור בין זהות למפתח, שכן לפיההמפתחהוא זה שיש להטיל עליו את האמון, במקום על הזהות (האדם או הארגון).