infrastruktura klucza publicznego (PKI)

Infrastruktura klucza publicznego (PKI) to system zarządzania certyfikatami i kluczami kryptograficznymi wykorzystywanymi do uwierzytelniania i szyfrowania.

Czym jest infrastruktura klucza publicznego (PKI)

Infrastruktura klucza publicznego, określana skrótem PKI, to uporządkowany zestaw technologii, procedur i ról służących do potwierdzania tożsamości podmiotów w środowisku cyfrowym. Jej podstawą jest kryptografia asymetryczna, w której wykorzystywana jest para powiązanych ze sobą kluczy: prywatny oraz publiczny. Klucz prywatny powinien pozostawać pod wyłączną kontrolą właściciela, natomiast klucz publiczny może być udostępniany innym uczestnikom komunikacji.

PKI pozwala powiązać klucz publiczny z określoną osobą, urządzeniem, usługą albo domeną. Takie powiązanie jest potwierdzane za pomocą certyfikatu cyfrowego, czyli elektronicznego dokumentu zawierającego między innymi dane identyfikacyjne, klucz publiczny, okres ważności oraz informacje o podmiocie, który certyfikat wystawił. Dzięki temu przeglądarka, system operacyjny lub aplikacja może ocenić, czy połączenie odbywa się z właściwą usługą, a nie z zasobem podszywającym się pod zaufany adres.

W praktyce PKI obejmuje nie tylko same certyfikaty. Składają się na nią również urzędy certyfikacji, punkty rejestracji, mechanizmy wydawania i odnawiania dokumentów, listy unieważnionych certyfikatów oraz usługi sprawdzające ich aktualny status. Istotną rolę odgrywa także polityka określająca, komu wolno wystawić certyfikat, jakie dane powinny zostać zweryfikowane i jak należy postępować w razie utraty klucza prywatnego.

Certyfikat nie zastępuje hasła ani nie rozwiązuje każdego problemu z bezpieczeństwem. Potwierdza określone powiązanie między tożsamością a kluczem, lecz skuteczność całego rozwiązania zależy od prawidłowego przechowywania kluczy, konfiguracji usług, aktualności oprogramowania i przestrzegania procedur. Naruszenie klucza prywatnego może podważyć zaufanie do wszystkich operacji, które zostały nim podpisane lub zabezpieczone.

Kontekst techniczny i porównanie z innymi mechanizmami bezpieczeństwa - infrastruktura klucza publicznego (PKI)

Najczęściej spotykanym zastosowaniem PKI jest zabezpieczanie połączeń internetowych za pomocą protokołu TLS. Podczas nawiązywania połączenia przeglądarka otrzymuje certyfikat serwera i sprawdza jego podpis, nazwę domeny, okres ważności oraz ścieżkę zaufania prowadzącą do uznanego urzędu certyfikacji. Jeżeli warunki są spełnione, tworzony jest bezpieczny kanał, w którym dane są szyfrowane i chronione przed przypadkowym ujawnieniem.

PKI różni się od szyfrowania symetrycznego sposobem zarządzania kluczami. W szyfrowaniu symetrycznym ta sama tajna wartość służy do zabezpieczania i odczytywania danych, dlatego musi zostać wcześniej bezpiecznie przekazana wszystkim uprawnionym stronom. W modelu asymetrycznym klucz publiczny może być rozpowszechniany, a poufność zależy od ochrony klucza prywatnego. Ułatwia to rozpoczęcie bezpiecznej komunikacji z osobą lub usługą, z którą nie ustalono wcześniej wspólnego sekretu.

Certyfikaty mogą służyć zarówno do uwierzytelniania serwisów, jak i do identyfikowania użytkowników oraz urządzeń. W zależności od zastosowania używa się ich do podpisywania dokumentów, ochrony poczty elektronicznej, logowania bez hasła, zabezpieczania połączeń między aplikacjami oraz potwierdzania integralności plików. Podpis cyfrowy nie ukrywa treści dokumentu, lecz pozwala sprawdzić, czy pochodzi ona od wskazanego nadawcy i czy nie została zmieniona po podpisaniu.

Weryfikacja certyfikatu opiera się na łańcuchu zaufania. Certyfikat końcowy jest podpisany przez urząd pośredni, a ten z kolei przez urząd główny zapisany w magazynie zaufanych certyfikatów. Błąd na dowolnym poziomie może spowodować ostrzeżenie: nieprawidłową datę systemową, brak certyfikatu nadrzędnego, niezgodną nazwę domeny, unieważnienie dokumentu lub nieobsługiwany algorytm. Z tego powodu sama obecność certyfikatu w usłudze nie oznacza jeszcze prawidłowego działania PKI.

Typowe problemy i błędy związane z PKI

Jednym z częstych problemów jest wygaśnięcie certyfikatu. W takim przypadku przeglądarka lub aplikacja może odmówić połączenia, wyświetlić ostrzeżenie albo uznać usługę za niezaufaną. Podobny skutek występuje po zmianie nazwy domeny, gdy certyfikat został wystawiony dla innego adresu. Błąd może pojawić się także wtedy, gdy system rozpoznaje certyfikat, lecz nie potrafi zweryfikować któregoś z elementów łańcucha zaufania.

Problemy bywają powodowane przez nieprawidłową datę i godzinę ustawioną w urządzeniu. Certyfikaty mają określony okres obowiązywania, dlatego zegar wskazujący przeszłość lub przyszłość może doprowadzić do odrzucenia poprawnego dokumentu. W środowisku lokalnym znaczenie ma również stan magazynu certyfikatów, aktualność systemu oraz to, czy wymagane certyfikaty urzędów zostały prawidłowo zainstalowane.

Ryzyko stanowi utrata kontroli nad kluczem prywatnym. Może do niej dojść w wyniku awarii nośnika, usunięcia profilu użytkownika, błędnego importu certyfikatu, nieprawidłowego wykonania kopii zapasowej albo ujawnienia hasła chroniącego klucz. W takiej sytuacji konieczne jest unieważnienie certyfikatu i wystawienie nowego, ponieważ dalsze używanie starego klucza może prowadzić do podszywania się pod właściciela.

Na działanie PKI wpływają też konflikty między aplikacjami, programami ochronnymi i ustawieniami przeglądarki. Oprogramowanie filtrujące ruch szyfrowany może instalować własne certyfikaty kontrolne, a błędna konfiguracja może powodować komunikaty o braku zaufania. Kłopotliwe bywają również certyfikaty zapisane w niewłaściwym magazynie, niezgodne formaty plików, brak uprawnień do klucza prywatnego oraz nieudane próby odnowienia dokumentu.

Diagnoza powinna obejmować ustalenie momentu wystąpienia błędu, sprawdzenie komunikatu, daty systemowej, adresu usługi, magazynu certyfikatów i stanu połączenia sieciowego. Nie powinno się wyłączać ostrzeżeń bezpieczeństwa bez poznania przyczyny, ponieważ takie działanie może ukryć rzeczywiste podszywanie się pod usługę. Szczególnej ostrożności wymaga import certyfikatów otrzymanych z nieznanego źródła.

Kiedy trzeba oddać urządzenie do diagnozy - infrastruktura klucza publicznego (PKI)

Wsparcie serwisowe bywa uzasadnione, gdy po aktualizacji systemu przestają działać połączenia zabezpieczone, certyfikat użytkownika nie jest wykrywany, podpis cyfrowy nie przechodzi weryfikacji albo aplikacja cyklicznie zgłasza problem z zaufaniem. Pomoc może być potrzebna również po wymianie dysku, przywróceniu systemu z kopii, zmianie profilu użytkownika lub awarii urządzenia, na którym przechowywany był klucz prywatny.

W Warszawskim Pogotowiu Komputerowym 24/7 analizowany jest stan systemu, konfiguracja certyfikatów oraz zależności między aplikacją, przeglądarką i systemem operacyjnym. W przypadku laptopa dostępna jest darmowa diagnoza LAPTOPA, dzięki której można ustalić, czy źródłem problemu jest sam certyfikat, uszkodzenie profilu, błędne ustawienia czasu, magazyn zaufania, sieć lub inne elementy środowiska.

Przed przekazaniem urządzenia warto przygotować opis sytuacji: nazwę programu, treść komunikatu, adres usługi, przybliżony czas pojawienia się usterki oraz informację o ostatnich zmianach w systemie. Nie należy przekazywać osobom postronnym haseł do kluczy prywatnych ani eksportować certyfikatów wraz z kluczem bez wyraźnej potrzeby. Jeżeli certyfikat służy do podpisywania dokumentów lub logowania, powinno zostać również sprawdzone, czy nie wystąpiło podejrzenie jego skopiowania.

Po zakończeniu diagnostyki wskazywane jest, czy wystarczy korekta ustawień, odtworzenie magazynu certyfikatów, ponowna instalacja dokumentu, naprawa profilu użytkownika lub kontakt z wystawcą certyfikatu. W przypadkach związanych z utratą klucza prywatnego niezbędne może być unieważnienie starego certyfikatu i przeprowadzenie procedury wydania nowego. Takie postępowanie ogranicza ryzyko dalszych błędów oraz pomaga zachować ciągłość bezpiecznej komunikacji.