Co mohou nabídnout systémy pro správu klíčů?

Jak známo, každé přirovnání trochu kulhá a samozřejmě je tomu tak i v tomto případě. Zatímco při ztrátě klíčů od dveří může pomoci šikovný zámečník výměnou zámku, při ztrátě klíčů nám definitivně nepomůže nikdo. Přesněji řečeno, zachrání nás jedině systém pro správu kryptografických klíčů.

Co je přesněji správa klíčů?

Správě klíčů se věnuje rodina norem ČSN ISO/IEC 11770, která za správu klíčů považuje administraci a používání služeb generování, registrace, certifikace, distribuce, instalace, ukládání, odvození, archivace, zrušení registrace, revokace a zničení materiálu klíče.

Životní cyklus klíčů a služby správy klíčů

Správa klíčů je definována službami, které nabízí svým uživatelům. Postupy správy klíčů závisejí na kryptografických mechanizmech, zamýšleném používání klíče a na bezpečnostní politice. Nyní uvedeme příklad systému, který není obecným popisem systému správy klíčů, snaží se pouze přiblížit abstraktní systém čtenáři.

Generování a uložení klíče

Na počátku života každého klíče je jeho vznik v systému správy. Zrod klíče iniciuje jeho budoucí držitel, který jej potřebuje pro konkrétní použití v navazujícím systému nebo aplikaci. Uživatel musí vědět, kde chce klíč používat, neboť tím ovlivní, jaký klíč vznikne. S  požadavkem na nový klíč osloví uživatel systém správy klíčů, který mu jej vygeneruje a bezpečně uloží. Generování představuje citlivý proces, jenž musí probíhat v souladu s předepsanými pravidly, která zajišťují dostatečnou bezpečnost, kvalitu a sílu klíče.

Je také možné, že uživatel již klíč má a do systému ho chce pouze uložit, v tom případě systém správy nezajišťuje kvalitu klíče a přenechává odpovědnost za ni na žadateli, respektive na systému, ve kterém byl generován. Klíč se nachází po uložení v předaktivním stavu, zatím není uvolněn pro použití.

Registrace a tvorba certifikátu klíče

Při zavedení do systému je třeba klíče registrovat (v případě symetrických klíčů) nebo použít certifikát veřejného klíče (při asymetrickém klíčovém páru). Registr klíčů je nutné chránit, neboť jsou v něm obsaženy tajné klíče. Registrace a certifikace zajišťují možnost důvěryhodného dohledání držitele klíče.

Distribuce, instalace a aktivace klíče

Po vytvoření musí být klíč bezpečným způsobem distribuován autentizovaným entitám, které s ním budou pracovat. Před samotným použitím je často potřeba klíč nainstalovat do zařízení, která jej ochrání před zkompromitováním. Mezi taková řešení lze počítat například čipové karty, SIM karty nebo kryptografické adaptéry (HSM). Klíč je jednou z předchozích služeb převeden do aktivního stavu, poté může být již plně využíván ke kryptografickým operacím.

Deaktivace a reaktivace klíče

Každý klíč by měl mít stanovenu dobu, po kterou může být aktivně používán. Poté by měl být nahrazen novým klíčem. Obměna klíčů snižuje rizika plynoucí z vyzrazení. V době, kdy je klíč nahrazen novým, je ten původní převeden službou deaktivace do postaktivního stavu. V tomto stadiu již klíč není používán pro zašifrování nových dat, ale stále může být potřebný k odšifrování dat, která jím byla v jeho aktivním stavu zašifrována.

Deaktivace klíče by se měla rovněž provést ve chvíli, kdy existuje podezření, že byl kompromitován. V tom případě bychom měli provést rovněž revokaci (neboli odvolání) jeho certifikátu, které zajistí, že se o kompromitaci dozvědí ostatní uživatelé.

Klíč může být z postaktivního stavu převeden zpět do aktivního stavu, a tak umožnit, aby byl opět používán pro veškeré kryptografické účely.

Obnova klíče

Pro případ, kdy se klíč používaný držitelem ztratí a v organizaci vznikne potřeba získat zašifrovaná data, existuje proces obnovy klíče. Při tomto postupu je autorizovanému subjektu klíč obnoven. Obnova platí za jednu z nejdůležitějších služeb systému pro správu klíčů.

Zničení klíče

Pokud již klíč není potřebný, je podle bezpečnostních politik obvykle nutné jej zničit. Při jeho likvidaci jsou smazána veškerá data, tak aby informace, která po zničení zůstane, neposkytovala žádnou příležitost pro obnovu. Předtím si musíme být jisti, že nebudeme potřebovat žádná data chráněná tímto klíčem, protože po jeho destrukci již není možné tato data získat.

Ochrana klíčů v systému správy klíčů

Ochrana klíčů musí být na velmi vysoké úrovni, představují totiž velmi citlivý materiál. Prosté řízení přístupu k informačnímu systému nedostačuje, nechrání například před správci systému. Kryptografické klíče mohou být chráněny fyzickým umístěním off-line média v trezoru, zašifrováním nebo uložením v kryptografickém adaptéru. V rámci jednoho systému správy klíčů se uvedené způsoby ochrany mohou kombinovat například níže uvedeným způsobem.

Uživatelské klíče

Klíče, o něž si žádají uživatelé, mohou být ukládány do databáze v zašifrované podobě. Jejich bezpečnost se opírá o bezpečnost algoritmu, kterým jsou šifrovány. Klíčům, které šifrují uživatelské klíče, říkáme doménové klíče, neboť chrání určitou množinu/doménu uživatelských klíčů. Uživatelské klíče se seskupují do domén podle způsobu jejich použití. Například uživatelské klíče pro šifrování notebooků jsou chráněny jiným doménovým klíčem než ty, které jsou určené pro šifrování e-mailů. Toto rozdělení do domén zvyšuje bezpečnost systému – v případě kompromitace jednoho doménového klíče nejsou ohroženy všechny ostatní.

Doménové klíče

Doménové klíče musíme být schopni využívat on-line při ukládání nových uživatelských klíčů, ale současně je nutné zamezit jejich neoprávněnému použití pro odšifrování uložených klíčů. Pro naplnění těchto požadavků jsou vhodné asymetrické klíče. Veřejný klíč je v systému volně dostupný pro zašifrování nových uživatelských klíčů. Privátní klíč, který je potřebný pro odšifrování uživatelských klíčů, je uložen v zašifrované podobě. Šifrování doménových klíčů vynucuje při jejich obnově přítomnost dalšího klíče, jehož hodnotu uložíme mimo systém k nějakému důvěryhodnému subjektu. Takovým klíčům budeme říkat kořenové.

Kořenové klíče

Bez kořenového klíče nelze obnovit žádný klíč v systému. V systému správy může být jeden nebo i více kořenových klíčů. Jejich počet závisí na tom, komu chceme svěřit důvěru ochrany jednotlivých domén klíčů. Kořenové klíče jsou uloženy mimo systém například na čipových kartách, které chrání před zneužitím. Klíč může být navíc rozdělen pomocí schématu pro sdílená tajemství mezi více subjektů, čímž můžeme zajistit přítomnost více osob u obnovy.

Kořenové klíče by měly být navíc ve vhodné formě zálohovány a uloženy v trezorech tak, aby při ztrátě některé z komponent nebyla znemožněna obnova uživatelských klíčů.

Proč je vhodné v organizaci řešit správu klíčů?

Každá společnost pracuje s informacemi, které mají svoji cenu, a je třeba je odpovídajícím způsobem chránit. Šifrování dat představuje prakticky jediný efektivní a při správné implementaci i dostatečně bezpečný způsob ochrany dat při jejich uložení, přenosu a sdílení. Šifrovací klíče se v organizacích nejčastěji používají pro šifrování e-mailu, notebooků a přenosných médií, případně pro šifrování dat v aplikacích. Silná kryptografie má ale i svoji „odvrácenou stranu“, se kterou se lze setkat při ztrátě kryptografických klíčů nebo poškození jejich nosiče. Pokud se šifrovací klíče nespravují, pak je v případě ztráty šifrovacího klíče nebo při odchodu zaměstnance (držitele šifrovacího klíče) nemožné zašifrovaná data obnovit. Systém pro správu klíčů proto představuje nezbytnou součást kvalitní implementace informační bezpečnosti každé organizace.

Ivo Rosol působí jako ředitel vývojové divize ve společnosti OKsystem a Martin Primas jako manažer informační bezpečnosti ve společnosti OKsystem.