Titkosítás, elektronikus és digitális aláírás. Fontos mindig észben tartanunk, hogy ha titkosítatlan csatornán kommunikálunk az Interneten, akkor bármely.

Az előadások a következő témára: "Titkosítás, elektronikus és digitális aláírás. Fontos mindig észben tartanunk, hogy ha titkosítatlan csatornán kommunikálunk az Interneten, akkor bármely."— Előadás másolata:

1 Titkosítás, elektronikus és digitális aláírás

2 Fontos mindig észben tartanunk, hogy ha titkosítatlan csatornán kommunikálunk az Interneten, akkor bármely küldött vagy fogadott információ (személyes adatok, jelszavak, bankkártya-információk, stb.)  elfogható,  lehallgatható, és egy  esetleges rosszindulatú harmadik fél által tudtunk nélkül felhasználható  és/vagy módosítható.

3 Titkosítás A titkosítás olyan matematikai eljárás, melynek során egy üzenetet aképpen változtatunk meg felismerhetetlenül, hogy abból az eredeti üzenet csak valamilyen, kizárólag a küldő és a címzett által ismert eljárás segítségével fejthető vissza.

4 A titkosítás és visszafejtés során használt eljárás két részből áll: az egyik a titkostó/visszafejtő algoritmus (cipher), a másik pedig ennek az algoritmusnak egy vagy több paramétere, a kulcs (key).

5 Az algoritmus/kulcs jellege alapján két, alapvetően eltérő titkosító megoldást különböztetünk meg, ezek:  a szimmetrikus kulcsú, illetve  az aszimmetrikus, vagy másnéven nyilvános kulcsú (public key) eljárások.

6 Szimmetrikus titkosítás Ennél az eljárásnál a titkosításhoz és a visszafejtéshez használt kulcs megegyezik, vagy egyik könnyen kiszámolható a másikból.

7 Szimmetrikus titkosítás a szimmetrikus eljárás gyenge pontja a titkosítás kulcsa, amit valamilyen megbízható módon kell a címzettel tudatnunk

8 Aszimmetrikus titkosítás összetartozó kulcspárt használnak Az egyik neve privát, vagy más néven titkos kulcs (private key), ezt - mint a neve is mutatja - titokban tartjuk A másik, nyilvános kulcsot (public key) pedig szabadon elérhetővé tesszük bárki számára.

9 Aszimmetrikus titkosítás

10 Fontos, hogy a privát kulcsból könnyen elő lehet állítani a nyilvános kulcsot, azonban ez fordítva már nem, vagy nagyon nehezen lehetséges A felhasználó szempontjából legfontosabb tulajdonság, hogy az egyik kulccsal kódolt információt kizárólag a másik kulccsal lehet visszafejteni.

11 Aszimmetrikus titkosítás 1. Egy nyilvánosan elérhető, megbízható forrásból, pl. magától a címzettől, vagy kulcsszerverről megszerezzük a címzett nyilvános kulcsát. 2. Az üzenetet kódoljuk ezzel a kulccsal, majd elküldjük. A kódolt üzenet csakis a címzett privát kulcsával nyitható, tehát ha az eredeti üzenetet elvesztettük, vagy töröltük, a titkosított üzenetből még mi sem tudjuk visszafejteni. 3. A megkapott üzenetet a címzett saját privát kulcsával visszafejti, a végeremény az eredeti, titkosítatlan szöveg lesz.

12 Titkosítás … A digitális tartalmak védelmének egyik kulcseleme tehát a titkosítás, mellyel biztosíthatjuk, hogy illetéktelenek ne férhessenek hozzá a bizalmas információkhoz.

13 Az (elektronikus) tanúsítvány az (elektronikus) tanúsítvány információk meghatározott körének halmaza, amely információk valódiságát, helyességét, eredetiségét, sértetlenségét egy hozzá csatolt (elektronikus) aláírással igazolja egy szervezet, melyben a tanúsítványt felhasználók közössége megbízik.

14 ezt a szervezet szokták nevezni Hitelesítési Szolgáltatónak vagy Megbízható Harmadik Félnek is. (Egyéb szinonimák: Hitelesítő Hatóság, Hitelesítő Szervezet, Certification Authority, CA )

15 A nyilvános kulcsú aláírást alkalmazók esetében az információk titkosításához és a digitális aláírások ellenőrzéséhez szükség van a partner nyilvános kulcsára, méghozzá oly módon, hogy biztosak lehessünk abban, hogy az az ő, és csakis az ő nyilvános kulcsa. Ezeket a garanciákat nyújtja a tanúsítvány.

16 A publikus kulcs tanúsítvány tartalma: a nyilvános kulcs tulajdonosának azonosítására szolgáló adatokból (név, országkód, város, stb.), a Hitelesítő Hatóság azonosítására szolgáló adatokból, és magából a nyilvános kulcsból áll. Biztonságát, hitelességét az adja, hogy a kibocsátó Hitelesítő Hatóság titkos kulcsával digitálisan alá van írva, s így ezek az adatok megbonthatatlanok és megváltoztathatatlanok.

17

18 Mi az X.509?  az ITU (International Telecommunication Union) szabványaITU (International Telecommunication Union) az X.509-es a tanúsítvány szerkezetére, felépítésére, tartalmára ad előírásokat.

19 Tartalmazza: a tanúsítvány verziószámát, egyedi sorozatszámát, a Hitelesítő Hatóság által az aláíráshoz használt algoritmus azonosítóját, a kibocsátó Hitelesítő Hatóság azonosítóját, a tanúsítvány érvényességi idejét, a tulajdonos egyedi azonosítóját, a tanúsítványhoz tartozó nyilvános kulcsot és annak algoritmusát, és toldalékokat.

20 Elektronikus aláírás A nyilvános kulcsú titkosítás lehetővé teszi, hogy az információk titkosítása mellett elektronikus aláírásokat is használjunk. Az elektronikus aláírás az üzeneteket nem rejtjelezi, célja a titkosítással szemben mindössze az, hogy a címzett meggyőződhessen arról, hogy a neki küldött információ valóban a feladótól származik, és azt más nem módosíthatta.

21 Az elektronikus aláírás létrehozásához a küldő a saját privát kulcsát használja, hitelességét pedig a címzett ellenőrzi le a küldő nyilvános kulcsával

22

23 Hitelesítések: A személyes hitelesítés azt szavatolja, hogy azok vagyunk, akiknek mondjuk magunkat.

24

25 Hitelesítések: A helyhitelesítés, szervertanúsítvány azt igazolja, hogy az adott Web-hely biztonságos és valódi. Garantálja, hogy más webhely nem élhet vissza az eredeti webhely azonosítóival. A helyhitelesítéseket kiállításukkor dátummal is ellátják.

26

27 Hitelesítések: A programkészítői hitelesítés, szoftvertanúsítvány pedig azt igazolja, hogy egy az éppen gépünkre telepítendő programhoz gyártója a nevét adja, és az ő személyazonosságát, a program eredetiségét és sértetlenségét egy megbízható harmadik fél tanusítja.

28

29 Tanúsítvány osztályok (class) a Netlock magyar hitelesítő szolgáltató például (a bizonytalanságot elkerülendő) néven nevezi az Expressz (C, leggyengébb), Üzleti (B), illetve Közjegyzői (A) tanúsítványait.

30 Visszavonási lista (CRL)CRL szükség lehet arra, hogy a lejárat előtt visszavonásra, felfüggesztésre kerüljenek a kibocsátó által A visszavont tanúsítványok egy ún. tanúsítvány-visszavonási listára kerülnek, melyet a kibocsátó nyilvánosan elérhetővé tesz. (Példa: GlobalSign visszavonási lista.)GlobalSign visszavonási lista

31 Valósidejű tanúsítványállapot- közzététel (OCSP)OCSP Az Online Certificate Status Protocol (OCSP) a visszavonási listák alternatívája, egy olyan, HTTP-n alapuló protokoll (RFC 2560), amivel egy tanúsítvány státusza (érvényes, érvénytelen vagy ismeretlen) ellenőrizhető.RFC 2560