Сертификат авторизации - Authorization certificate
В компьютерная безопасность, сертификат атрибута, или же свидетельство авторизации (AC) это цифровой документ содержащие атрибуты, связанные с держателем эмитентом. Когда связанные атрибуты в основном используются для авторизации, AC вызывается свидетельство авторизации. AC стандартизирован в X.509. RFC 5755 дополнительно определяет использование для авторизации в Интернете.
Сертификат авторизации работает вместе с сертификат открытого ключа (PKC). Хотя PKC выдается центр сертификации (CA) и используется как удостоверение личности его владельца, как заграничный пасспорт, сертификат авторизации выдается авторитет атрибута (AA) и используется, чтобы охарактеризовать или дать право своему владельцу как виза. Поскольку идентификационная информация редко меняется и имеет длительный срок действия, в то время как информация об атрибутах часто изменяется или имеет короткий срок действия, необходимы отдельные сертификаты с разными уровнями безопасности, сроками действия и эмитентами.[1]
Сравнение сертификатов атрибутов и открытых ключей
AC похож на PKC, но не содержит открытый ключ потому что верификатор AC находится под контролем эмитента AC и поэтому доверяет эмитенту напрямую, предварительно установив открытый ключ эмитента. Это означает, что как только эмитент АК закрытый ключ скомпрометирован, эмитент должен создать новый пара ключей и заменяет старый открытый ключ во всех верификаторах, находящихся под его контролем, новым.
Проверка AC требует наличия PKC, который называется держателем AC в AC.
Как и в случае с PKC, AC можно связать, чтобы делегировать атрибуцию. Например, сертификат авторизации, выданный Алисе, разрешает ей использовать определенную службу. Алиса может делегировать эту привилегию своему помощнику Бобу, выдав AC для PKC Боба. Когда Боб хочет использовать службу, он представляет свой PKC и цепочку AC, начиная с его собственного AC, выданного Алисой, а затем AC Алисы, выданного эмитентом, которому служба доверяет. Таким образом, служба может проверить, что Алиса делегировала свои привилегии Бобу и что Алиса была авторизована на использование службы эмитентом, который контролирует службу. RFC 3281 однако не рекомендует использовать цепочки AC из-за сложности администрирования и обработки цепочки, а также из-за небольшого использования AC в Интернете.
использование
Чтобы использовать службу или ресурс, которые контролирует издатель AC, пользователь представляет PKC и AC части службы или ресурса, которая функционирует как средство проверки AC. Верификатор сначала проверит личность пользователя с помощью PKC, например, попросив пользователя расшифровать сообщение, зашифрованное открытым ключом пользователя в PKC. Если аутентификация прошла успешно, верификатор будет использовать предварительно установленный открытый ключ эмитента AC для проверки действительности представленного AC. Если AC действителен, верификатор проверит, соответствует ли PKC, указанный в AC, представленному PKC. Если он совпадает, верификатор проверит срок действия AC. Если AC все еще действителен, верификатор может выполнить дополнительные проверки, прежде чем предлагать пользователю определенный уровень обслуживания или использования ресурсов в соответствии с атрибутами, содержащимися в AC.
Например, разработчик программного обеспечения, у которого уже есть PKC хочет развернуть свое программное обеспечение на вычислительном устройстве, использующем DRM подобно iPad где программное обеспечение может быть запущено на устройстве только после того, как программное обеспечение было одобрено производителем устройства. Разработчик программного обеспечения подписывает программное обеспечение закрытый ключ PKC и отправляет подписанное программное обеспечение производителю устройства на утверждение. После аутентификации разработчика с помощью PKC и проверки программного обеспечения производитель может решить выпустить AC, предоставляющий программному обеспечению базовую возможность установки и запуска, а также дополнительную возможность использовать устройство Wi-Fi после принцип наименьших привилегий. В этом примере AC не ссылается на PKC разработчика в качестве держателя, а на программное обеспечение, например, путем сохранения подписи разработчика программного обеспечения в поле владельца AC. Когда программное обеспечение помещается в вычислительное устройство, устройство будет проверять целостность программного обеспечения с помощью PKC разработчика перед проверкой действительности AC и предоставлением программному обеспечению доступа к функциям устройства.
Пользователю также может потребоваться получить несколько AC от разных эмитентов, чтобы использовать конкретную услугу. Например, компания предоставляет одному из своих сотрудников общекорпоративный AC, в котором в качестве рабочей области указывается инженерный отдел. Однако, чтобы получить доступ к инженерным данным, сотруднику также требуется AC допуска от руководителя технического отдела. В этом примере ресурс инженерных данных должен быть предварительно установлен с открытыми ключами как для всей компании, так и для инженерного отдела эмитентов переменного тока.
Содержимое типичного сертификата атрибута
Версия: версия сертификата.
Держатель: владелец сертификата.
Эмитент: эмитент сертификата.
Алгоритм подписи: алгоритм подписания сертификата.
Серийный номер: уникальный номер выпуска, присвоенный эмитентом.
Срок годности: срок действия сертификата.
Атрибуты: атрибуты, связанные с держателем сертификата.
Значение подписи: подпись эмитента над всеми данными выше.
Преимущества
Использование сертификата атрибута, сервиса или ресурса хозяин не нужно поддерживать список контроля доступа которые потенциально могут быть большими или всегда быть подключенными к сети для доступа к центральному серверу, например, при использовании Kerberos. Это похоже на идею возможности в котором разрешение (или разрешения) на использование службы или ресурса хранится не в самой службе или ресурсе, а в пользователях, использующих сопротивление взлому механизм.