Pki и блокчейн: исследование синергии для повышения безопасности

Усовершенствованная проверка личности

Кража и олицетворение личности остаются постоянными угрозами. В гибридной системе PKI-блокчейн цифровая идентичность пользователя может быть привязана к уникальному идентификатору блокчейна (например, децентрализованному идентификатору или DID). Открытый ключ в сертификате PKI связан с этим DID, и привязка записывается неизменно в цепочке. Любой запрос на проверку личности может затем перекрестно связать запись в цепочке с представленным сертификатом. Это делает практически невозможным для злоумышленника подделать сертификат, потому что общедоступная запись не может быть изменена без обнаружения. Кроме того, пользователи могут управлять своими собственными закрытыми ключами и DID, давая им самосуверенную идентичность — контроль над тем, кто получает доступ к их личной информации.

Улучшенная целостность данных и неотказ

PKI уже обеспечивает неотказ от подписи с помощью цифровых подписей — подписавший не может позже отрицать, что подписал документ. Однако, путь управления ключом и проверки сертификата должен быть доверенным. Храня хэш подписанного документа и серийный номер сертификата на блокчейне, целостность подписанных данных может быть независимо проверена долго после события подписания. Если сертификат был позже отозван или ключ CA скомпрометирован, хеш на цепочке служит доказательством того, что подпись существовала в определенный момент времени. Это особенно ценно для юридических документов, аудиторских следов и записей соответствия, где долгосрочная проверяемость имеет решающее значение. Внешнее чтение: Исследование NIST по блокчейну и интеграции PKI обеспечивает фундаментальную информацию об этих механизмах.

Децентрализованные якоря доверия

В традиционной PKI доверие вытекает из небольшого набора корневых CA — обычно около 100 во всем мире. Если любой из этих корней скомпрометирован, вся сеть доверия поколеблена. Блокчейн предлагает способ распределения доверия по широкой сети участников. Вместо одного CA может быть установлен основанный на консенсусе корень доверия. Например, сеть валидаторов на основе блокчейна может коллективно подтвердить обоснованность сертификата. Злоумышленнику придется скомпрометировать большую часть сети, что гораздо сложнее, чем компрометация одного CA. Эта распределенная модель доверия согласуется с принципами Web of Trust, используемыми в таких системах, как PGP, но с добавленной строгостью консенсуса блокчейна.

Практическое применение синергии PKI-блокчейна

Теоретические преимущества убедительны, но реальные реализации уже появляются в различных секторах. Ниже приведены подробные примеры того, как применяется комбинация.

Управление безопасной идентификацией для национальных систем идентификации

Несколько правительств и международных организаций изучают поддерживаемую блокчейном PKI для национальных программ цифровой идентификации. Европейская система самоуправленческой идентификации (ESSIF) и проекты из инициативы Всемирного банка ID4D используют блокчейн для хранения DID и хэш-памяти с открытым ключом. Граждане могут использовать цифровой кошелек, содержащий их личные ключи и сертификаты PKI. При взаимодействии с государственными службами они представляют проверяемую квалификацию, которая опирается на PKI для подписи эмитента. Блокчейн служит реестром доверенных эмитентов и статуса отзыва. Это уменьшает мошенничество с идентификацией и упрощает трансграничную проверку. Например, Государство Делавэрская инициатива блокчейна исследовало аналогичные концепции для корпоративных записей.

Безопасность цепочки поставок и подлинность продукта

Контрафактные товары обходятся мировой экономике в сотни миллиардов долларов ежегодно. Объединение PKI и блокчейна предлагает мощный инструмент борьбы с контрафактной продукцией. Каждому продукту может быть присвоен уникальный цифровой идентификатор, хранящийся на блокчейне, с соответствующим сертификатом PKI, выданным производителем. По мере того, как продукт перемещается по цепочке поставок, каждый обработчик в цифровом виде подписывает передачу опеки. Блокчейн записывает эти подписи, создавая неизменный след происхождения. В точке продажи потребитель или розничный торговец может проверить подлинность продукта, проверив сертификат PKI против реестра на цепочке. Если сертификат был аннулирован (например, из-за отзыва) или блокчейн показывает недействительную цепочку опеки, продукт помечается. IBM Food Trust и другие корпоративные решения включают аналогичные принципы.

Финансовые операции и банковская безопасность

Финансовый сектор, активный пользователь PKI для безопасных транзакций, все чаще принимает блокчейн для расчетов и ведения записей. Гибридный подход повышает безопасность для высокоценных банковских переводов, хранения цифровых активов и одноранговых платежей. Например, банк может выдать цифровой сертификат, разрешающий конкретную транзакцию. Отпечаток сертификата записывается на разрешенный блокчейн вместе с деталями транзакции. Когда транзакция проверяется, сетевые узлы проверяют подпись PKI и проверяют запись в цепочке для любых конфликтов или попыток двойного расходования. Это предотвращает не только мошенничество, но и ошибки, такие как дублирующие платежи. Кроме того, Знай своего клиента (KYC) процесс выгоды: проверенная личность клиента, связанная с сертификатом PKI и привязанная к блокчейну, может быть повторно использована в нескольких финансовых учреждениях без повторного обмена конфиденциальными документами.

Аутентификация устройств IoT

Интернет вещей (IoT) включает в себя миллиарды устройств, многие из которых ограничены ресурсами и имеют плохую безопасность. Традиционный PKI требует, чтобы каждое устройство IoT было снабжено сертификатом, а затем запросить статус отзыва CA - процесс, который может быть медленным и ненадежным по масштабу. Блокчейн может служить децентрализованным органом по сертификации и реестром устройств, защищенных от взлома. Когда устройство производится, его открытый ключ и метаданные записываются на легком блокчейне (например, IOTA или Hyperledger). Идентификацию устройства можно самостоятельно управлять: он может подтвердить свою идентичность, подписав вызов с его закрытым ключом. Отзыв происходит немедленно: запись устройства может быть обновлена для «отзыва» на блокчейне, и все будущие проверки будут потерпеть неудачу. Это устраняет необходимость в централизованных серверах отзыва и минимизирует задержку. Фонд [FLT: 0] IoTA активно продвигает такие архитектуры для связи между машинами.

Проблемы и ограничения

Несмотря на обещание, интеграция PKI и блокчейна не лишена существенных препятствий.Практикующие должны рассмотреть несколько технических и эксплуатационных проблем, прежде чем развертывать такие системы в производственных средах.

Масштабируемость и производительность

Блокчейны, особенно публичные, страдают от ограничений пропускной способности. Биткойн обрабатывает около 7 транзакций в секунду; Ethereum обрабатывает примерно 15-20. Национальный PKI, который требует миллионов верификаций сертификатов в час, будет подавлять текущие публичные блокчейн-сети. В то время как разрешенные блокчейны (например, Hyperledger Fabric, Quorum) предлагают более высокую пропускную способность и могут быть оптимизированы для конкретных случаев использования, они вновь вводят степень централизации, которая частично противоречит цели. Решения масштабирования уровня-2 и боковые цепи могут облегчить некоторые проблемы, но они добавляют сложность. Кроме того, хранение сертификатов или даже хэши в цепочке потребляет пространство для хранения во всех узлах, создавая нагрузку на ресурсы по мере роста системы.

Совместимость с существующей инфраструктурой PKI

Большинство предприятий уже имеют значительные инвестиции в традиционные PKI (например, службы сертификатов Active Directory, OpenSSL, коммерческие ЦА). Замена инфраструктуры на систему на основе блокчейна является дорогостоящей и разрушительной. Любая жизнеспособная интеграция должна обеспечивать бесшовную совместимость. Стандарты PKI на основе блокчейна все еще незрелые. Стандарт децентрализованных идентификаторов (DID) W3C является шагом вперед, но не все платформы блокчейна поддерживают его изначально. Организации часто нуждаются в специальном промежуточном программном обеспечении для соединения существующих PKI с сетями блокчейна, вводя дополнительные поверхности атак.

Регуляторные и правовые проблемы

PKI глубоко внедрен в правовые рамки по всему миру - от цифровых подписей для контрактов до сертификатов для электронных медицинских записей. Замена или дополнение модели доверия блокчейном может не автоматически удовлетворять юридическим требованиям. Например, регулирование eIDAS в Европейском союзе определяет строгие правила для квалифицированных сертификатов и надежных поставщиков услуг. CA на основе блокчейна может не признаваться в качестве действительной службы доверия в рамках eIDAS, если она не будет явно аккредитована. Кроме того, неизменность блокчейна противоречит правилам конфиденциальности данных, таким как GDPR, который включает в себя «право на забвение». Хранение личной информации - даже в хешированной форме - может быть проблематичным, потому что после того, как она будет удалена. Такие обходные пути, как хранение только хэша хэша (корень из не связанных с цепью данных) существуют, но добавляют сложность и могут быть оспорены в суде.

Ключевые управленческие риски

В то время как блокчейн снижает зависимость от централизованных ЦА, он перекладывает бремя управления ключами на отдельных лиц и организации. Если пользователь теряет свой закрытый ключ, он теряет доступ к своей цифровой идентичности и может быть навсегда заблокирован из услуг. Децентрализованный характер означает, что нет центрального органа для восстановления потерянных ключей. Модули безопасности оборудования, кошельки с несколькими подписями и механизмы социального восстановления могут смягчить это, но они увеличивают трение пользователей. В гибриде PKI-блокчейна частный ключ остается единственным наиболее важным активом; его компромисс катастрофический, потому что запись на цепочке может показать сертификат действительным даже после того, как ключ украден.

Будущий прогноз и новые исследования

Несмотря на проблемы, траектория исследований и разработок в этой области является оптимистичной. Несколько новых тенденций и текущих проектов указывают на зрелую экосистему, где PKI и блокчейн сосуществуют синергетически.

Квантово-резистентный PKI на блокчейне

Одной из наиболее актуальных долгосрочных угроз как для PKI, так и для блокчейна является появление квантовых вычислений. Квантовые алгоритмы, такие как алгоритм Шора, могут нарушить криптографию RSA и ECC, которые лежат в основе большинства систем PKI. Аналогичным образом, механизмы консенсуса блокчейна и цифровые подписи уязвимы. Исследования в постквантовой криптографии ускоряются. Процесс постквантовой криптографии NIST близится к завершению, и раннее внедрение видно в блокчейн-проектах, таких как IOTA и Cardano . Объединенная система PKI-блокчейн, которая использует квантово-устойчивые алгоритмы, может стать основой для безопасности следующего поколения — при условии, что миграция из текущих стандартов тщательно управляется.