Was ist clientseitige Software?
Что такое клиентское программное обеспечение?
Bei der Diskussion von Anforderungen an PKIs vernachlässigen Unternehmen oft die Anforderungen an die clientseitige Software. (Zum Beispiel befassen sich viele in Diskussionen über PKIs nur mit der Zertifizierungsstellenkomponente.) Letztendlich ist der Nutzen einer PKI jedoch an die Fähigkeit der Benutzer gekoppelt, Verschlüsselung und digitale Signaturen zu verwenden. Aus diesem Grund muss die PKI clientseitige Software beinhalten, die konsistent und transparent über alle Anwendungen auf dem Desktop (E-Mail, Web-Browsing, E-Formulare, Datei-/Ordnerverschlüsselung usw.) funktioniert. Eine konsistente, einfach zu bedienende PKI-Implementierung innerhalb der clientseitigen Software senkt die PKI-Betriebskosten. Darüber hinaus muss die clientseitige Software technisch in der Lage sein, alle Elemente einer PKI zu unterstützen. Die folgende Liste fasst die Anforderungen zusammen, die clientseitige Software erfüllen muss, um sicherzustellen, dass die Benutzer in einem Unternehmen eine nutzbare, transparente (und damit akzeptable) PKI erhalten. Public-Key-Zertifikate Um das Vertrauen Dritter zu gewährleisten, müssen alle PKI-fähigen Anwendungen Zertifikate in einer konsistenten, vertrauenswürdigen Weise verwenden. Die clientseitige Software muss die Signatur der Zertifizierungsstelle auf den Zertifikaten validieren und sicherstellen, dass die Zertifikate innerhalb ihrer Gültigkeitsdauer liegen. Sicherung und Wiederherstellung von Schlüsseln Um sicherzustellen, dass Benutzer vor Datenverlust geschützt sind, muss die PKI ein System zur Sicherung und Wiederherstellung von Entschlüsselungsschlüsseln unterstützen. Im Hinblick auf die Verwaltungskosten ist es nicht akzeptabel, dass jede Anwendung ihre eigene Schlüsselsicherung und -wiederherstellung bereitstellt. Stattdessen sollten alle PKI-fähigen Client-Anwendungen mit einem einzigen Schlüsselsicherungs- und Wiederherstellungssystem interagieren. Die Interaktionen zwischen der clientseitigen Software und dem Schlüsselsicherungs- und Wiederherstellungssystem müssen sicher sein, und die Interaktionsmethode muss über alle PKI-fähigen Anwendungen hinweg konsistent sein. Unterstützung für Nichtabstreitbarkeit Für eine grundlegende Unterstützung von Nichtabstreitbarkeit muss die clientseitige Software die für die digitale Signatur verwendeten Schlüsselpaare erzeugen. Darüber hinaus muss die clientseitige Software sicherstellen, dass die Signierschlüssel niemals gesichert werden und jederzeit unter der Kontrolle der Benutzer bleiben. Diese Art der Unterstützung muss über alle PKI-fähigen Anwendungen hinweg konsistent sein. Automatische Aktualisierung von Schlüsselpaaren Zugunsten der Transparenz müssen clientseitige Anwendungen die Aktualisierung der Schlüsselpaare der Benutzer automatisch initiieren. Dies muss in Übereinstimmung mit den Sicherheitsrichtlinien des Unternehmens erfolgen. Dass Benutzer wissen müssen, dass ihre Schlüsselpaare aktualisiert werden müssen, ist nicht akzeptabel. Damit diese Anforderung über alle PKI-fähigen Anwendungen hinweg erfüllt werden, muss die clientseitige Software Schlüsselpaare transparent und konsistent aktualisieren. Verwaltung von Schlüsselhistorien Damit Benutzer einfach auf alle für sie verschlüsselten Daten zugreifen können (unabhängig davon, wann sie verschlüsselt wurden), müssen PKI-fähige Anwendungen Zugriff auf die Schlüsselhistorien der Benutzer haben. Außerdem muss die clientseitige Software in der Lage sein, die Schlüsselhistorie der Benutzer sicher wiederherzustellen. Skalierbares Zertifikat-Repository Um die Kosten für die Verteilung von Zertifikaten zu minimieren, müssen alle PKI-fähigen Anwendungen ein gemeinsames, skalierbares Zertifikat-Repository verwenden.
При обсуждении требований к инфраструктуре открытых ключей PKI предприятия часто игнорируют требования к клиентскому программному обеспечению. (Например, многие люди фокусируются только на компоненте CA при обсуждении PKI). Ценность инфраструктуры открытых ключей PKI связана со способностью пользователей использовать шифрование и цифровые подписи. По этой причине инфраструктура открытых ключей PKI должна включать клиентское программное обеспечение, которое работает последовательно и прозрачно между приложениями на рабочем столе (электронная почта, веб-просмотр, электронные формы, шифрование файлов/папок и т. д.). Последовательная, простая в использовании реализация инфраструктуры открытых ключей PKI в клиентском программном обеспечении снижает эксплуатационные расходы на инфраструктуру открытых ключей PKI. Кроме того, клиентское программное обеспечение должно быть технологически доступно для поддержки всех элементов инфраструктуры открытых ключей PKI. В следующем списке обобщены требования, которым должно соответствовать клиентское программное обеспечение, чтобы пользователи в бизнесе получали пригодную для использования, прозрачную (и, следовательно, надлежащую) PKI. Сертификаты открытых ключей Чтобы обеспечить доверие третьих сторон, все приложения с поддержкой PKI должны использовать сертификаты последовательным и надежным образом. Программное обеспечение клиентов должно подтвердить подпись CA на сертификатах и убедиться, что не истек срок действия сертификатов. Для обеспечения защиты пользователей от потери данных PKI должна поддерживать систему резервного копирования и восстановления ключей расшифровки. Что касается административных расходов, то неприемлемо, чтобы каждое приложение предоставляло свою собственную резервную копию и восстановление ключа. Вместо этого все клиентские приложения с поддержкой PKI должны взаимодействовать с единой системой резервного копирования и восстановления ключей. Взаимодействие между клиентским программным обеспечением и системой резервного копирования и восстановления ключей должно быть безопасным, а метод взаимодействия должен быть согласованным во всех приложениях с поддержкой PKI. Поддержка неотказуемости Для обеспечения базовой поддержки неотказуемости клиентское программное обеспечение должно генерировать пары ключей, используемые для цифровой подписи. Кроме того, клиентское программное обеспечение должно гарантировать, что ключи подписи никогда не будут дублироваться и будут под контролем пользователей в любое время. Этот тип поддержки должен быть последовательным во всех приложениях с поддержкой PKI. Автоматическое обновление пар ключей Для обеспечения прозрачности клиентские приложения должны автоматически инициировать обновление пар ключей пользователей. Это необходимо выполнить в соответствии с политикой безопасности организации. Недопустимо, чтобы пользователи знали, что их пары ключей требуют обновления. Для выполнения этого требования во всех приложениях с поддержкой PKI клиентское программное обеспечение должно обновлять пары ключей прозрачно и последовательно. Управление историями ключей Чтобы пользователи могли легко получить доступ ко всем зашифрованным для них данным (независимо от того, когда они были зашифрованы), приложения с поддержкой PKI должны иметь доступ к истории ключей пользователей. Клиентское программное обеспечение обязано иметь возможность надежно восстановить историю ключей пользователей. Масштабируемое хранилище сертификатов Чтобы свести к минимуму расходы на распространение сертификатов, все приложения с поддержкой PKI должны использовать общее масштабируемое хранилище сертификатов.