Открыть сервис
Главная → Блог → Инфраструктура открытых ключей

Инфраструктура открытых ключей

Инфраструктура открытых ключей (англ. Public Key Infrastructure, PKI) — это совокупность аппаратных и программных средств, а также организационных и правовых норм, обеспечивающих создание, управление, хранение, распространение и отзыв цифровых сертификатов, а также выполнение криптографических операций с использованием асимметричных ключей. PKI служит основой для обеспечения конфиденциальности, целостности, аутентичности и неотказуемости (невозможности отказа от авторства) в электронных коммуникациях и транзакциях.

История

Концепция асимметричного шифрования, лежащая в основе PKI, была впервые опубликована в 1976 году Уитфилдом Диффи и Мартином Хеллманом в работе «Новые направления в криптографии». В 1977 году Рон Ривест, Ади Шамир и Леонард Адлеман разработали алгоритм RSA, ставший одним из первых практических способов реализации асимметричного шифрования.

Практическая необходимость в инфраструктуре управления ключами возникла с распространением электронной почты и электронной коммерции. В 1988 году ITU-T (Международный союз электросвязи) опубликовал рекомендацию X.509, которая определила формат сертификатов открытых ключей. Этот стандарт стал основой для большинства современных PKI-систем.

В 1990-х годах, с развитием интернета, компании Netscape и Microsoft начали внедрять поддержку SSL/TLS, что потребовало создания централизованных удостоверяющих центров (ЦС). В 1995 году была основана компания VeriSign, ставшая одним из первых коммерческих удостоверяющих центров. В 1999 году IETF (Инженерный совет интернета) опубликовал стандарт PKIX (Public Key Infrastructure using X.509), который определил профиль сертификатов и протоколы управления ими.

В России развитие PKI связано с принятием Федерального закона № 63-ФЗ «Об электронной подписи» в 2011 году, который определил правовой статус электронной подписи и требования к удостоверяющим центрам. В 2019 году был запущен проект «Госключ» — мобильное приложение для получения сертификатов электронной подписи от аккредитованных удостоверяющих центров.

Основные компоненты

PKI включает несколько ключевых компонентов, взаимодействующих между собой:

Удостоверяющий центр (ЦС)

Удостоверяющий центр (англ. Certificate Authority, CA) — это доверенная организация, которая выпускает (подписывает) цифровые сертификаты, подтверждающие связь между открытым ключом и владельцем (субъектом). ЦС проверяет личность заявителя перед выдачей сертификата. В России удостоверяющие центры подлежат аккредитации Министерством цифрового развития, связи и массовых коммуникаций.

Регистрационный центр (РЦ)

Регистрационный центр (англ. Registration Authority, RA) — это подсистема, которая принимает запросы на выпуск сертификатов, проверяет личность заявителя и передаёт подтверждённые запросы в ЦС. РЦ может быть как отдельной организацией, так и функциональным модулем внутри ЦС.

Репозиторий сертификатов

Репозиторий — это хранилище выпущенных сертификатов, списков отзыва (CRL) и другой информации. Обычно доступ к репозиторию осуществляется через LDAP (Lightweight Directory Access Protocol) или HTTP. В России репозитории часто размещаются на порталах государственных услуг.

Список отзыва сертификатов (CRL)

Список отзыва сертификатов (англ. Certificate Revocation List, CRL) — это подписанный ЦС документ, содержащий перечень серийных номеров сертификатов, которые были отозваны до истечения срока их действия. CRL публикуется в репозитории и периодически обновляется.

Протокол OCSP

Протокол оперативного статуса сертификата (англ. Online Certificate Status Protocol, OCSP) позволяет в реальном времени проверить статус сертификата (действителен, отозван, неизвестен) без загрузки всего CRL. OCSP-ответчик (OCSP responder) — это сервер, который обрабатывает запросы и возвращает подписанный ответ.

Принципы работы

Работа PKI основана на асимметричной криптографии. Каждый участник системы генерирует пару ключей: закрытый (секретный) и открытый (публичный). Закрытый ключ хранится в тайне и используется для подписания данных и расшифровки. Открытый ключ распространяется свободно и используется для проверки подписи и шифрования.

Процесс получения сертификата включает следующие этапы:

  1. Заявитель генерирует пару ключей.
  2. Заявитель создаёт запрос на сертификат (CSR, Certificate Signing Request), содержащий открытый ключ и информацию о заявителе.
  3. Запрос отправляется в РЦ или ЦС.
  4. РЦ проверяет личность заявителя в соответствии с установленными процедурами (например, по паспорту, через портал госуслуг).
  5. ЦС подписывает сертификат своим закрытым ключом, связывая открытый ключ заявителя с его идентификационными данными.
  6. Сертификат публикуется в репозитории и передаётся заявителю.

При проверке подписи получатель использует открытый ключ ЦС, который известен и доверен. Если сертификат подписан доверенным ЦС, то подпись считается действительной.

Типы сертификатов

Сертификаты, используемые в PKI, классифицируются по нескольким признакам.

По уровню проверки личности

По назначению

Стандарты и протоколы

X.509

Стандарт X.509 определяет формат сертификата открытого ключа. Сертификат содержит:

PKCS (Public Key Cryptography Standards)

Набор стандартов, разработанных компаниями RSA Laboratories:

CMP (Certificate Management Protocol)

Протокол управления сертификатами, определённый в RFC 4210. Используется для автоматизации процессов запроса, обновления, отзыва и получения сертификатов.

SCEP (Simple Certificate Enrollment Protocol)

Упрощённый протокол для автоматического получения сертификатов, часто используемый в корпоративных сетях и для управления мобильными устройствами.

Применение

Защита веб-трафика

Наиболее массовое применение PKI — защита соединений по протоколу HTTPS. Сертификаты TLS/SSL устанавливаются на веб-серверах и позволяют браузерам устанавливать зашифрованное соединение. По данным на 2024 год, более 95% всех веб-сайтов используют HTTPS.

Электронная подпись

В России электронная подпись на основе PKI широко используется для взаимодействия с государственными органами (портал «Госуслуги», ФНС, Росреестр), для подписания договоров, банковских операций и сдачи отчётности. Сертификаты усиленной квалифицированной электронной подписи (КЭП) выдаются аккредитованными удостоверяющими центрами.

Корпоративная безопасность

Внутри организаций PKI используется для аутентификации пользователей в сети (сертификаты для входа в домен), для шифрования электронной почты (S/MIME), для подписания кода (Authenticode), для защиты VPN-соединений.

Интернет вещей (IoT)

В системах IoT PKI применяется для аутентификации устройств и защиты каналов связи. Каждое устройство получает уникальный сертификат, что позволяет предотвратить несанкционированный доступ.

Критика и проблемы

Сложность управления

PKI требует значительных организационных и технических усилий для поддержки: обновление списков отзыва, управление ключами, обучение персонала. В крупных организациях число сертификатов может достигать десятков тысяч, что создаёт нагрузку на администраторов.

Уязвимости удостоверяющих центров

Компрометация ЦС (например, взлом серверов или утечка закрытых ключей) может привести к выпуску поддельных сертификатов. Такие инциденты происходили: в 2011 году был взломан ЦС DigiNotar, что привело к выпуску поддельных сертификатов для Google, Facebook (продукт Meta, признанной экстремистской и запрещённой в РФ) и других сайтов. В 2015 году был скомпрометирован ЦС CNNIC.

Централизация доверия

Модель PKI основана на доверии к ограниченному числу корневых ЦС. Если один из них действует недобросовестно или под давлением государства, это может подорвать безопасность всей системы. В ответ на это были разработаны альтернативные модели, такие как Certificate Transparency (прозрачность сертификатов) и децентрализованные системы на основе блокчейна.

Срок действия и отзыв

Сертификаты имеют ограниченный срок действия (обычно 1–3 года). Отзыв сертификата может быть не мгновенным из-за задержек в обновлении CRL или OCSP. Это создаёт окно уязвимости, когда скомпрометированный сертификат всё ещё считается действительным.

Развитие в России

В России PKI регулируется Федеральным законом № 63-ФЗ «Об электронной подписи». Аккредитованные удостоверяющие центры проходят проверку на соответствие требованиям ФСБ России и ФСТЭК России. Крупнейшие аккредитованные ЦС: Минцифры России, ФНС России, Банк России, «Аккредитованный удостоверяющий центр» (АО «Аналитический центр»).

В 2023 году был запущен проект «Госключ» — мобильное приложение, позволяющее получить сертификат усиленной неквалифицированной электронной подписи (НЭП) через портал «Госуслуги». Сертификат используется для подписания документов в личном кабинете на портале.

Источники

BFOmetr — база данных и аналитика по компаниям России.

На главную BFOmetr →

Похожие материалы