Enigma 1

Information about Enigma 1

Published on January 4, 2008

Author: Ming

Source: authorstream.com

Content

Bezpieczeństwo podpisu elektronicznego:  Bezpieczeństwo podpisu elektronicznego dr inż. Jacek Pokraśniewicz ENIGMA Systemy Ochrony Informacji Sp. z o.o. Plan prezentacji:  Plan prezentacji Wstęp Bezpieczeństwo składania podpisu elektronicznego Weryfikacja podpisu elektronicznego, zależnie od rodzaju Podpis:  Podpis Podpis jest składany przy użyciu klucza prywatnego (karty elektronicznej zawierającej klucz prywatny) Podpis jest weryfikowany przy użyciu wskazanego w nim certyfikatu; certyfikat zawiera dane osoby, która złożyła podpis (np. imię, nazwisko, adres, PESEL) Dany podpis „pasuje” tylko do jednego, konkretnego dokumentu i do jednego klucza, którym został złożony podpis może być przesyłany i składowany niezależnie od dokumentu 89473CB91E79134E82743 Podpis Jana Kowalskiego 309488E2438700C41234D Podpis Stanisława Nowaka A2CB7939E9173BC80134 Podpis Jana Kowalskiego 7B02419348253948B8093 Podpis Stanisława Nowaka Składanie podpisu elektronicznego:  Składanie podpisu elektronicznego „Wejście” – czyli co trzeba mieć wiadomość w formacie zrozumiałym dla odbiorcy narzędzie do przygotowania podpisu klucz prywatny do złożenia podpisu certyfikat związany z tym kluczem, pozwalający na naszą identyfikację na podstawie klucza wystawiony przez Centrum Certyfikacji Kluczy akceptowane przez odbiorcę Składanie podpisu elektronicznego:  Składanie podpisu elektronicznego Co może pójść źle: Błędy ludzkie: podpisanie i wysłanie nie tego co trzeba Ataki: zmiana wiadomości przed przygotowaniem podpisu kradzież klucza służącego do składania podpisów kradzież PINu do urządzenia z kluczem (karty) złożenie podpisu nie tylko na jednym dokumencie, ale i na kilku innych (przygotowanych przez atakującego) Składanie podpisu elektronicznego:  Składanie podpisu elektronicznego Na ile te ataki są możliwe/prawdopodobne? Kradzież klucza do podpisywania jeśli używamy kart/urządzeń – atak prawdopodobnie niemożliwy jeśli używane karty/urządzenia mają odpowiednie certyfikaty – atak niemożliwy (wg akt. stanu wiedzy) Inne ataki kradzież PINu – bezp. komp. – możliwe dodatkowe podpisy - bezp. komp. – możliwe, wymaga wcześniejszego przygotowania Składanie podpisu elektronicznego:  Składanie podpisu elektronicznego Co z tym można zrobić ? bezpieczeństwo komputera firewall, antywirus, IDP/IPS, ... inne, dodatkowe metody Czy można zagwarantować bezwzględne bezpieczeństwo procesowi podpisywania ? ... Czy podpis odręczny jest bardziej bezpieczny ? ? Weryfikacja podpisu:  Weryfikacja podpisu Co trzeba mieć ? podpisaną wiadomość w zrozumiałym formacie (podpisu, a następnie wiadomości) certyfikat do weryfikacji (może być załączony do wiadomości) klucz publiczny Centrum Certyfikacji Kluczy, służący do zweryfikowania certyfikatu narzędzie do weryfikacji podpisów aktualną listę unieważnionych certyfikatów, wydaną przez Centrum Certyfikacji Kluczy Weryfikacja podpisu:  Weryfikacja podpisu Przebieg procesu Sprawdzenie integralności wiadomości matematyczna weryfikacja podpisu Identyfikacja podmiotu składającego podpis weryfikacja certyfikatu, wystawionego przez akceptowane Centrum Certyfikacji Kluczy klucz publiczny z certyfikatu służy do weryfikacji podpisu dane „osobowe” z certyfikatu identyfikują podmiot składający podpis Sprawdzenie „ważności” podpisu certyfikat nie może być przeterminowany certyfikat nie może być unieważniony przyjmuje się (za X.509) że lista CRL jest aktualna, jeśli nie nastąpiła jeszcze data planowego wystawienia następnej listy CRL Weryfikacja podpisu:  Weryfikacja podpisu W przypadku unieważnienia certyfikatu występuje określony czas propagacji informacji o tym unieważnieniu nie jest jasno określone czy podpis jest wtedy ważny ani kto odpowiada za działania wynikające z przyjęcia ważności potencjalnie nieważnego podpisu ze względu na zakres zastosowań (uwierzytelnienie) ta niepewność nie jest zazwyczaj szkodliwa Weryfikacja podpisu „kwalifikowanego”:  Weryfikacja podpisu „kwalifikowanego” Co się zmienia ? „grupa docelowa” i wartość dowodowa podpis „zwykły” służy do podniesienia bezpieczeństwa normalnej komunikacji między podmiotami „znającymi się”, mającymi relacje podpis kwalifikowany zastępuje „dowód osobisty” – może służyć jako identyfikacja osoby „obcej” podpis kwalifikowany ma moc dowodową podpisu własnoręcznego potrzeba dużo większej precyzji w weryfikacji „ważności” (mocy dowodowej) podpisu Weryfikacja podpisu kwalifikowanego:  Weryfikacja podpisu kwalifikowanego Przebieg procesu Sprawdzenie integralności wiadomości matematyczna weryfikacja podpisu Identyfikacja podmiotu składającego podpis weryfikacja certyfikatu, wystawionego przez kwalifikowane Centrum Certyfikacji Kluczy klucz publiczny z certyfikatu służy do weryfikacji podpisu dane osobowe z certyfikatu identyfikują podmiot składający podpis Sprawdzenie „ważności” podpisu certyfikat nie może być przeterminowany certyfikat nie może być unieważniony lub zawieszony na określony moment Odpowiedzialność za skutki prawne podpisu kwalifikowanego:  Odpowiedzialność za skutki prawne podpisu kwalifikowanego Podpis jest ważny jeśli został złożony przed momentem unieważnienia Unieważnienie certyfikatu wywołuje skutki prawne od momentu unieważnienia, które znajduje się w liście CRL/ARL Niezbędne jest określenie relacji między datą złożenia podpisu a datą unieważnienia (znakowanie czasem) Weryfikacja kwalifikowanego podpisu – co mówi prawo ?:  Weryfikacja kwalifikowanego podpisu – co mówi prawo ? Rozporządzenie i normy EU określają trzy możliwe wyniki weryfikacji podpisu: poprawnie zweryfikowany negatywnie zweryfikowany niekompletnie zweryfikowany - gdy bezpieczny podpis elektroniczny lub poświadczenie elektroniczne jest poprawne w rozumieniu specyfikacji zastosowanego algorytmu szyfrowego, ale podczas weryfikacji nie udało się potwierdzić, że kwalifikowany certyfikat lub zaświadczenie certyfikacyjne służące do jego weryfikacji oraz użyta ścieżka certyfikacji zawiera ważne w określonym czasie poświadczenia elektroniczne, w szczególności gdy kwalifikowany certyfikat służący do weryfikacji tego podpisu jest zawieszony Weryfikacja kwalifikowanego podpisu – jak to robić dobrze (1) ?:  Weryfikacja kwalifikowanego podpisu – jak to robić dobrze (1) ? Aby uzyskać jednoznaczny wynik weryfikacji podpisu należy: Oznakować podpis czasem Uzyskać listy CRL i ARL, które są nowsze niż znacznik czasu Tak uzyskany wynik weryfikacji nie może już ulec zmianie i ma wartość dowodową Weryfikacja podpisu kwalifikowanego (2):  Weryfikacja podpisu kwalifikowanego (2) Przebieg procesu Oznakowanie czasem podpisanej wiadomości kwalifikowany znacznik czasu lub inne metody (np. tzw. timemark, dopuszczony przez europejskie normy dot. podpisów kwalifikowanych) Sprawdzenie integralności wiadomości matematyczna weryfikacja podpisu Identyfikacja podmiotu składającego podpis weryfikacja certyfikatu, wystawionego przez kwalifikowane Centrum Certyfikacji Kluczy klucz publiczny z certyfikatu służy do weryfikacji podpisu dane osobowe z certyfikatu identyfikują podmiot składający podpis Sprawdzenie „ważności” podpisu – na moment oznaczenia czasem certyfikat (wtedy !) nie może być przeterminowany certyfikat (wtedy !) nie może być unieważniony lub zawieszony – na podstawie listy CRL wystawionej po momencie oznaczenia czasem Weryfikacja kwalifikowanego podpisu:  Weryfikacja kwalifikowanego podpisu Co może pójść nie tak ? bezpieczeństwo komputera narzędzia weryfikujące mogą być podmienione klucz publiczny min. wł. ds. gosp. może być podmieniony możemy użyć „zwykłego” narzędzia do kwalifikowanych podpisów pomimo informacji „podpis poprawny” może się okazać, że podpis nie ma mocy dowodowej (nie jest równoważny podp. odręcznemu) możemy użyć właściwego narzędzia, ale z komunikatami wprowadzającymi w błąd ENIGMA – produkcja i wdrażanie narzędzi:  ENIGMA – produkcja i wdrażanie narzędzi Narzędzia dla centrów certyfikacji Centaur CCK (Centrum certyfikacji Kluczy), Centaur PR - punkty rejestracji Centaur OCSP (OCSP) Centaur DAT - znakowanie czasem Centaur SCEP Centaur ETA (CCK dla certyfikowanych szyfratorów VPN) inne Certyfikat Agencji Bezpieczeństwa Wewnętrznego jedyne takie oprogramowanie w Polsce deklaracja zgodności z ustawa o podpisie elektronicznym ENIGMA – produkcja i wdrażanie narzędzi:  ENIGMA – produkcja i wdrażanie narzędzi Narzędzia serwerowe PKI dla klientów Centaur SU – serwer uwierzytelnienia Radius, SSL, inne – integracja z serwerami pocztowymi, bazami danych, aplikacjami do logowania itd. Centaur WER – elektroniczna skrzynka podawcza odbieranie dokumentow elektronicvznytch, weryfikacja podpisów elektroniczncyh we wszystkich obecnmych w Polsce formatach, wystawianie urzędowego poświadczenia odbioru deklaracja zgodności z ustawą o podpisie elektronicznym PEM-HEART Serwer – generowanie i weryfikacja podpisów elektronicznych, szyfrowanie i deszyfrowanie deklaracja zgodności z ustawą o podpisie elektronicznym ENIGMA – produkcja i wdrażanie narzędzi:  ENIGMA – produkcja i wdrażanie narzędzi Narzędzia PKI na stacje klienckie PEM-HEART – podpisy elektroniczne, szyfrowanie, SSL ... oprogramowanie interakcyjne biblioteka wysokiego poziomu PEM-HEART API dla programistów deklaracja zgodności z ustawa o podpisie elektronicznym ENCARD karta procesorowa, zgodna z ustawą o podpisie elektronicznym (na bazie karty SETEC) ENCARD Login – logowanie przy pomocy karty na stacji Windows bez środowiska domeny ENIGMA – produkcja i wdrażanie narzędzi:  ENIGMA – produkcja i wdrażanie narzędzi Inne narzędzia Kryptodysk 2.0.1 szyfrowanie dysków wirtualnych Kryptomail szyfrowanie poczty bez użycia infrastruktury PKI ENIGMA Systemy Ochrony Informacji Sp. z o.o.:  ENIGMA Systemy Ochrony Informacji Sp. z o.o. Zapraszamy do współpracy [email protected] www.enigma.com.pl

Related presentations


Other presentations created by Ming

Cigarette Ad Presentation
03. 10. 2007
0 views

Cigarette Ad Presentation

9 eEpoch Services
31. 10. 2007
0 views

9 eEpoch Services

poverty
29. 11. 2007
0 views

poverty

Ancient Rome
29. 10. 2007
0 views

Ancient Rome

Nature of the Mark Beast
31. 10. 2007
0 views

Nature of the Mark Beast

AIS pps
05. 11. 2007
0 views

AIS pps

BMI2 SS07 Class06 MRI
14. 11. 2007
0 views

BMI2 SS07 Class06 MRI

IR Sensor
15. 11. 2007
0 views

IR Sensor

TS16949
16. 11. 2007
0 views

TS16949

Urolithiasis
19. 11. 2007
0 views

Urolithiasis

ECCROct18 06
20. 11. 2007
0 views

ECCROct18 06

los angeles
02. 11. 2007
0 views

los angeles

7FocusOnFriendship
27. 12. 2007
0 views

7FocusOnFriendship

Valstyne c
06. 11. 2007
0 views

Valstyne c

arnold2
07. 01. 2008
0 views

arnold2

moni01
07. 01. 2008
0 views

moni01

Intertestamental Period
11. 12. 2007
0 views

Intertestamental Period

attwood
04. 01. 2008
0 views

attwood

20 Noordende
06. 11. 2007
0 views

20 Noordende

pmo satcom 0502
07. 11. 2007
0 views

pmo satcom 0502

grames ws2002
23. 11. 2007
0 views

grames ws2002

ferrous metallurgy
03. 01. 2008
0 views

ferrous metallurgy

Bb7 Student Orientation
17. 12. 2007
0 views

Bb7 Student Orientation

ISIBANG 2007 01 31 jk
30. 10. 2007
0 views

ISIBANG 2007 01 31 jk

nmrc
01. 11. 2007
0 views

nmrc

TH08282007bridgesFin al
01. 01. 2008
0 views

TH08282007bridgesFin al

ANanni ISPPD2006 02Apr06
20. 02. 2008
0 views

ANanni ISPPD2006 02Apr06

sb climate summit 2
24. 02. 2008
0 views

sb climate summit 2

AMIC UNESCO Session 1
27. 02. 2008
0 views

AMIC UNESCO Session 1

apt2003
04. 12. 2007
0 views

apt2003

Carlson
05. 03. 2008
0 views

Carlson

aca2002 future
19. 11. 2007
0 views

aca2002 future

2003 ECO 11
14. 03. 2008
0 views

2003 ECO 11

FulbrightWorkshop1
27. 03. 2008
0 views

FulbrightWorkshop1

20070201 nznog07 apnic update
30. 03. 2008
0 views

20070201 nznog07 apnic update

Hadiths
18. 12. 2007
0 views

Hadiths

Shu Li Cheng
13. 12. 2007
0 views

Shu Li Cheng

Debt and Health
13. 04. 2008
0 views

Debt and Health

Falcon Asilomar 3 28 06
04. 10. 2007
0 views

Falcon Asilomar 3 28 06

flex arm hang
28. 11. 2007
0 views

flex arm hang

04helsinki kidwai
23. 11. 2007
0 views

04helsinki kidwai

FocusShow
28. 09. 2007
0 views

FocusShow

R M SOC 15 3 06
21. 11. 2007
0 views

R M SOC 15 3 06

metodologiaOA
28. 12. 2007
0 views

metodologiaOA

validation
01. 11. 2007
0 views

validation

Intro to methodology12 July
30. 11. 2007
0 views

Intro to methodology12 July

Pamukkale 070423
21. 11. 2007
0 views

Pamukkale 070423

farm and ranch survival kit
30. 12. 2007
0 views

farm and ranch survival kit

Browne GisinTerminology
06. 11. 2007
0 views

Browne GisinTerminology

Arthropod part 2
16. 11. 2007
0 views

Arthropod part 2