הקדמה: השפע הגדל של צלב-אורגנל PKI

תשתיות מפתח ציבוריות (PKI) נשאר עמוד השדרה של אמון בתקשורת דיגיטלית, מתן מנגנונים קריפטוגרפיים לזהות אותנטית, להצפין נתונים, ולהבטיח אי-repudiation. as ארגונים משתפים יותר ויותר בשרשרת האספקה, מיזמים משותפים, מערכות זהות מוזנים, ותעשיות מוסדרות, הצורך להרחיב את האמון PKI על פני גבולות ארגוניים הפך קריטי, אך שילוב מערכות PKI אשר תוכננו באופן עצמאי מציג אתגרים מורכבים אפילו מורכבים שיכולים להיות קריטיים.

שילוב PKI חוצה הארגון אינו רק פעילות טכנית; הוא דורש התאמה של מסגרות משפטיות, מדיניות תפעולית, מודלים של ממשל ונוחות אבטחה על פני גופים שעשויים להיות בעלי אינטרסים מתחרים או סובלנות סיכון שונה.ההההה הם גבוהים: צעדים שגויים יכולים להוביל לכישלונות אימות, הפרות אבטחה, הפרות תאימות, או אובדן של זריזות עסקית.

אתגרים משותפים ב- Cross-Organizational PKIאינטגרציה

הקטעים הבאים חוקרים את האתגרים הנפוצים ביותר שנפגשו כאשר תפרים יחד מערכות PKI מארגונים מרובים.כל אתגר נבדק לעומק כדי לצייד קבוצות אינטגרציה עם המודעות הדרושה כדי לצפות ולצמצם את הכישלונות הפוטנציאליים.

ניהול אמון ומורכבות של אמון בין-דומיין

הקמת אמון בין תחומים PKI עצמאיים היא האתגר הבסיסי של כל ארגון בדרך כלל מפעיל את רשות האישור שלו (CA) ההיררכיה עם שורש משלו CA, ביניים CAs, וחנות אמון נפרדת.ללא מנגנון לגשר על איים אלה של אמון, תעודות שהוצאו על ידי ארגון אחד CA יידחו על ידי צדדים אחרים.

[ה]ההבא:0Cross-certification: [ה] יוצר הסכמי אמון דו-צדדיים שבהם כל CA נושא תעודה ל CA של האחר, ובכך למעשה הצבת שתי שורש ברשימות האמון של האחר.עם זאת, המודל הזה מקנה הרבה מעבר לשורה של שותפים.

ניהול האמון הופך אפילו מורכב יותר כאשר ארגונים פועלים תחת מדיניות תעודה שונה (CPs) והצהרות בפועל תעודה (CPS) לדוגמה, ארגון אחד עשוי להנפיק תעודות הסכמות לגיטימיות לחמש שנים, בעוד שתוקף אחר מאחסן תוקף מקסימלי של שנתיים.

אפשרויות לפרוטוקול ו-IP Divergence

אינטגרציה PKI לעיתים קרובות כרוכה במערכות heterogeneous: מורשת על-premises CAs, שירותי PKI מעוות ענן, כלי ניהול תעודה מותאם אישית, ומשתנים פורמטים סרטניים. בעוד X.509 הוא תקן אוניברסלי, יישום שונה הרחבות נתמך, דגלים קריטיים, ו- ⁇ quirks. A תעודה שהועברה על ידי ארגון A עשויה להשתמש בשם אלטרנטיבי ספציפי (AN) אשר אינו תקף כראוי את התוכנה.

בדיקת אישור היא עוד שדה תעופה.ארגונים עשויים לתמוך רק CRLs, רק OCSP, או לדרוש OCSP עוקץ. תדירות ייעוד, נקודות הפצה, וחתומה תגובה משתנה. כאשר צד מסתמך אינו יכול לאמת את מעמד הביטול בשל פורמט במיומנות, זה יכול כברירת מחדל לדחות את האישור - שימוש בשיבוש שירות.

LDAP שילוב של אישור פרסום מציג גם hurdles. Schema גרסאות, בקרת גישה ומיפוי תכונות חייב להיות מתואם.גם כאשר סטנדרטים כגון LDAPv3 משמשים, הבדלים בטופולוגיה ועיכובים שכפול יכול להוביל נתונים stale או בלתי נגיש.

מדיניות אלורמנט וגיוון

כל PKI פועל תחת מערכת מדיניות המגדירה מי יכול לבקש אישורים, כיצד זהויות מאומתות, אילו הגבלות שימוש מפתח חלות, וכיצד מתפרסם תעודות ביטול.כאשר משלבות PKIs, יש לפגוע במדיניות זו כדי להבטיח תוצאות אבטחה עקביות על פני תחום האמון הממוזג.

נקודות נפוצות של חיכוך כוללות: זהות vetting rigor (כמה ארגונים משתמשים אימות אישי, אחרים מסתמכים על אימות דואר אלקטרוני); הגבלות פרופיל תעודה (אפשרות או אוסרות על כרטיסי פרא, התחדשות מפתח לעומת חתימה דיגיטלית); דרישות ביקורת (internal vs. צד שלישי, ביקורת על תדירות ודיווח סטנדרטים).

ממשל גם מרחיב את אירועי מחזור החיים המרכזיים.כאשר ארגון צריך לסובב את מפתח שורש CA או לשנות את מזהה המדיניות שלו, כל הצדדים המסתמךים חייבים להיות מיודעים ומעודכןים את מאגרי האמון שלהם - אתגר תיאום בין גופים עצמאיים עם תהליכים ניהוליים שונים.

ניהול מחזור חיים ב Scale

לתעודות יש תקופות חיים סופיות, וניהול סיבולת, חידוש, התחדשות, וביטול על פני גבולות ארגוניים מכפיל מעל ראש מינהלי ללא תיאום אוטומטי, תעודות יכולות להפוג ללא כל הפרעה, גרימת כישלונות אימות והוצאות שירות גרוע יותר, תהליכים ידניים הם טעות-prone: תעודות שגויות עלולות להיות חסרות תוספות נדרשות, או בקשות תגמול עלולות להיות מתעכבות כי ההתפלגות של הצדדים אינה מעודכנת.

(FLT:0) ביטול ההצטרפות של הארגון 1:1 הוא במיוחד קוצ'י.כאשר תעודה בוטלה על ידי ארגון A, הצדדים המסתמך של הארגון B צריכים להיות מודעים לייעוד באופן זמני.אם הארגון של B's OCSP מגיב תשובות קלפיות במשך שעות, תעודה נפגעת עלולה להישאר אמינה במהלך חלון התוקפים.

חידוש האישורים על פני הגבולות דורש גם תכנון זהיר.מערכת יחסים בין-מחושת תלויה בתקפויות של הקרוס-קריטיסטים עצמם; אם אלה יפוג לפני חידוש, האמון נשבר.

סיכוני אבטחה מורחבים והתקפות על פני השטח

אינטגרציה של מערכות PKI מגבירה את מספר העוגנים, CAs ביניים, ומסתמך על צדדים שיש להבטיח.כל משתתף נוסף מרחיב את פני השטח של ההתקפה: פשרה של אפילו CA של ארגון אחד יכול לאפשר תוקף להנפיק תעודות הונאה אשר כל השותפים.

(FLT:0Misconfiguration Risk) , למשל, מגבלות שם בקנה מידה נמוך ב-certificate יכולות לאפשר CA של בן זוג להנפיק תעודות עבור שמות דומיין השייכים לארגון אחר.

איומים מבפנים הם מוגברים כי יותר מנהלי ארגונים רבים יש זכויות להנפיק או לאשר תעודות.מנהל טורג בכל ארגון משתתף יכול לפגוע בכל בד האמון.ללא ניטור חזק ותגובה של אירוע משותף בין ארגונים, גילוי שימוש לרעה כזה הופך כמעט בלתי אפשרי.

אסטרטגיות לOvercome Cross-Organizational PKI אינטגרציה אתגרים

בעוד האתגרים הם אסטרטגיות חד משמעיות, מוכחות קיימות כדי לאפשר שילוב מוצלח.הגישות הבאות מטפלות בכל מכשול עם פעולות קונקרטיות ושיטות יעילות בתעשייה.

עיצוב מסגרת נאמנות של Robust עם Clear Governance

הצעד הראשון הוא להקים מסגרת אמון פורמלית שכל הארגונים המשתתפים מסכימים לאמץ.מסגרת זו צריכה להגדיר את מודל האמון - בין אם מדובר בתיקון צלב דו-צדדי, גשר CA, או הסתמכות היררכית על שורש משותף - ולעד את תנאי האמון, כולל פרופילים מקובלים, כללי מיפוי מדיניות ורמת ביטחון.

(ה) [ה]ההעברה:0] גופים ממשלתיים (FLT:1) יש ליצור עם נציגי כל ארגון.האחריות שלהם כוללת שינויים במדיניות אישור, פיקוח על ביקורת, ופתרון סכסוכים.מסגרת האמון צריכה גם לציין את ה-FLT:2Certificate Policy ו- CPS היישוריזציה של תהליך ה-FLT:3: עבור כל מדיניות אוID בשימוש, ארגונים חייבים להסכים על ה-Silmantics ולהבטיח אישורים למיפוי גבוה לכל דבר ה-CFOS.

מינוף סטנדרטים ומסגרות קיימים כדי להאיץ את העיצוב.TheFLT:0 (RFC 5280)03FLT:1 מספק מפרט יסוד עבור תעודות ופרופילי CRL. TheFLT:2CA / Browser פורום Baseline דרישות בסיס קלאבילימב 3 מציע בסיס של Facto עבור תעודות מהימן בפומבי שניתן להתאים עבור פריסות צלב פרטיות עבור מסגרות מוסדרות מאוד של USO (PKI) כמו ענפים פדרליים).

פתרונות PKI Solutions

Choose PKI products and services that strictly conform to international standards: X.509v3 certificates, CRLv2, OCSP (RFC 6960), and certificate management protocols such as CMP (RFC 4210) or EST (RFC 7030). Avoid proprietary extensions or custom certificate formats whenever possible. If customization is unavoidable, document the extensions rigorously and ensure all partners’ validation software supports them.

עבור ייעוד, יישום:0 (OCSP aplingpherph 1:1 שבו ניתן, כפי שהוא מסיר את הנטל על הצדדים להסתמך על מנת להביא מעמד ייעוד ולהימנע מעכבי הגילוח הטבסיים הטבסוטסים ב CRLs. כאשר CRLs הם הכרחיים, להסכים על מרווח פרסום משותף ולהבטיח את נקודות ההפצה של CRL של המשתתפים הם נגישים ויש להם אחסון אדום.

§ (סעיף 1:0) אישור אישור אישור אישור אישור אישור שירות סימולציות (R) 1:1 שפועל כנקודת מגע אחת למילוי וקביעת סטטוס בכל הארגונים המשתתפים.שירות זה יכול לאסוף CRLs ו- OCSP תגובות מכל CA ולהציג ממשק מאוחד כדי להסתמך על צדדים, צמצום המורכבות של שילוב.

יישום אוטומטי, מדיניות-Driven Certificate Lifecycle Management

ניהול תעודה ידני הוא בלתי ניתן להשגה על פני גבולות ארגוניים. השתמש ב-FLT מרכזי:0Certificate Lifecycle Management (CLM) פלטפורמה של CLM) ,FLT:1 שיכולה לתקשר עם כל ארגון PKI באמצעות פרוטוקולים סטנדרטיים (EST, ACME, CMP) מערכת CLM צריכה לאכוף מדיניות עבור פרופילים, תקופות תוקף והתחדשות חלונות, באופן אוטומטי מעורר התחדשות לפני התחדשות.

עבור תיאום ייעודי, מערכת CLM צריכה להירשם להזנת מזון מכל CA ולקדם אירועים לייעוד לכל ההסתמכות על מצבות אימות של הצדדים במשרה חלקית.שימוש ב-FLT:0 תעודה קצרה-מועדית (FLT:1) (שעות או ימים אחרונים) כגישה משלימה לצמצום ההסתמכות על תגמול לחלוטין.

⁇ (FLT:0)Certificate TransparencyFLT:1 (CT) ליברט PKI הפרטי לספק מסלול ביקורת לזהות תעודות שגויות. בעוד CT משמש בעיקר עבור הציבור TLS, אותה טכניקת ניטור ניתן להתאים עבור חוצה ארגון PKI כדי לתת את כל המשתתפים להצגת תעודה על פני השטח.

סטנדרטיזציה ופעולות אבטחה של כוחות ברחבי הארגונים

כל ארגון חייב לעמוד במערך בסיסי של בקרת אבטחה המוגדרים במסגרת האמון.אלה צריכים לכלול: בקרת גישה פיזית ולוגית עבור מערכות CA, אישור רב-מפלגתי לדור מפתח ומבצעי CA, ביקורת פנימית וחיצונית תכופים (התמסרו ל-FLT:0NIST SP 800-53FLT:1 או ISO 27001), ותהליכי תגובה מקרי פשרה במיוחד עבור תרחישים לפשרה.

המנדט של השימוש במודולים אבטחת המידע (HSMs)FLT:1 כדי להגן על מפתחות CA פרטיים בכל הארגונים המשתתפים. HSMs לספק אחסון מפתח tamper-הוכחה ועומדים 140 2 רמה 3 או יותר הסמכה. הליכי ניהול מסמכים כולל גיבוי, escrow (אם נדרש), ומפתח על CA decommissioning.

הקמת מערכת ניטור אבטחה:0 (FLT:0) ואזהרה של מערכת 1FLT) אשר מזין למרכז פעולות אבטחה משותף (SOC) או מדד משותף של SIEM. Monitor עבור בקשות תעודה חריגה (למשל, כמויות גבוהות של תעודות ברירות), ניסיונות רישום תעודה בלתי מורשים, וביטול בקשות שמקורן במקורות בלתי צפויים.

ביצוע בדיקות תורו ושלב רולט

לפני הולך לחיות, ליצור סביבת מבחן מציאותית המשקפת את הייצור PKI להתנצלות של כל הארגונים המשתתפים.בדוק כל מקרה שימוש: תעודה קידוד מכל CA, אימות בכל הצדדים הנתמכים, הטמעת תגמול ותרחישים התחדשות תעודה.מנע בדיקות שליליות (התעודות המופצות, ביטול תעודות, תעודה מופרעת) כדי להבטיח כי לוגיקה אימות דוחה כראוי את האישורים.

§ § התחל עם קבוצת פיילוט של יישומים או שירותים שיש להם ביקורת אבטחה נמוכה ואפקט משתמש מוגבל. השתמש בטייס כדי לחדד הגדרות מסגרת אמון, לזהות בעיות בין-אופרציה, ולהגדיר חוברות הפעלה מבצעיות. Gradually להרחיב את התחום האמון לכלול יותר יישומים וארגונים, אימות מתמיד כי אבטחה ואפקטים ביצועים לעמוד בדרישות.

שיקולים אמיתיים ומקריות

אינטגרציה שרשרת האספקה

בייצור ולוגיסטיקה, חברות מרובות חייבות להחליף נתונים באופן מאובטח כדי לעקוב אחר סחורות, לחתום על הגשמתן של חיישנים IoT אותנטיים.יצרן רכב גדול שילב את PKI עם עשרות ספקים באמצעות מודל CA גשר, האתגר המרכזי היה לפגוע במדיניות האישורים - ספקים מסוימים השתמשו ברזולוציה נמוכה מבוסס דואר אלקטרוני, בעוד שהפרויקט דרש אישורים גבוהים להנפקת אישורים קריטיים, אשר קיבלו רק 6 חודשים של אבטחה, אשר קיבלו אישורים, אשר קיבלו אישורים לתקנות אבטחה.

פדרציית בריאות וזיהוי מטופלים

חילופי מידע בריאות (HIEs) צריכים מערכת בין ארגון PKI כדי להבטיח גישה לרישום המטופל. A אזורי HIE מתמודדת עם חוסר יכולת בין Microsoft PKI של בית החולים לבין מערכת מבוססת EJBCA של מרפאה.הנושא התמקד במדיניות החתימה הדיגיטלית - CAS של בית החולים לא כלל את השימוש "לא הוכחה" אשר קוד האימות של המרפאה צפוי להגיב על מסגרת תמיכה מרכזית, לאחר ביצוע של ה-HSPIE מיפוי של הצדדים.

מגמות עתידיות ב-Cros-Organizational PKI

(כארגונים ממשיכים לאמץ ארכיטקטורות אפס אמון, התפקיד של שילוב PKI ירחיב.התקנים מתפתחים כמו FLT:0ACME (סביבה ניהול תעודה) (Automated ניהול תעודה) 1 עבור ⁇ ו-FLT:2Certificate Management על CMS (CMC) 3 עבור סביבות ארגוניות יפחיתו את המדריך על פני ניהול מחזור חיים.

עם זאת, הם עדיין לא מבוגרים מספיק לייצור PKI חוצה ארגון.בינתיים, ארגונים צריכים להשקיע באסטרטגיות היסוד המפורטות לעיל כדי לבנות אמון PKI יציב, מדרגי על פני גבולות.

מסקנה

שילוב PKI ארגון הצלב מורכב מטבעו, הדורש ניווט קפדני של ניהול אמון, בין-אופרציה, היערכות מדיניות, אוטומציה מחזור חיים והסיכונים אבטחה. על ידי הקמת מסגרת אמון ברורה, אימוץ פתרונות מבוססי סטנדרטים, תהליכי מחזור חיים של תעודות, ואכיפת בקרה ביטחונית חזקה, ארגונים יכולים להתגבר על המכשולים הללו ולאפשר שיתוף פעולה מאובטח ויעיל.