klucz publiczny

Klucz publiczny to jawna część pary kluczy kryptograficznych, służąca do szyfrowania lub weryfikacji podpisu.

Jak działa klucz publiczny w kryptografii asymetrycznej

Klucz publiczny jest jawnym elementem pary kluczy kryptograficznych. Drugi element stanowi klucz prywatny, który powinien pozostać dostępny wyłącznie dla właściciela. Oba klucze są matematycznie ze sobą powiązane, ale znajomość klucza publicznego nie pozwala praktycznie odtworzyć klucza prywatnego przy prawidłowo zastosowanym algorytmie i odpowiednio dobranych parametrach. Klucz publiczny można przekazywać innym osobom, umieszczać w certyfikacie, publikować na stronie internetowej albo przechowywać w bazie kluczy.

W zależności od zastosowania klucz publiczny może służyć do szyfrowania danych albo do sprawdzania podpisu cyfrowego. Jeżeli nadawca zaszyfruje wiadomość kluczem publicznym odbiorcy, jej odszyfrowanie wymaga odpowiadającego mu klucza prywatnego. W przypadku podpisu cyfrowego właściciel używa klucza prywatnego do utworzenia podpisu, a odbiorca wykorzystuje klucz publiczny do sprawdzenia, czy podpis pasuje do danych i czy treść nie została zmieniona. Nie jest to jednak zwykłe szyfrowanie pliku hasłem. Kryptografia asymetryczna opiera się na operacjach matematycznych, których odwrócenie bez klucza prywatnego powinno być obliczeniowo niepraktyczne.

Klucz publiczny a podpis cyfrowy i uwierzytelnianie

Podpis cyfrowy zapewnia dwie istotne właściwości: integralność danych oraz możliwość powiązania podpisu z posiadaczem klucza prywatnego. Program zazwyczaj nie podpisuje całego dużego pliku bezpośrednio operacją asymetryczną. Najpierw obliczany jest skrót kryptograficzny pliku, czyli krótka wartość wyliczona z jego zawartości, a następnie podpisywany jest ten skrót. Odbiorca oblicza skrót otrzymanego pliku i porównuje wynik z wartością wynikającą z weryfikacji podpisu przy użyciu klucza publicznego. Zmiana choćby jednego elementu danych powinna spowodować niezgodność.

Sam klucz publiczny nie odpowiada jeszcze na pytanie, do kogo należy. Jeżeli użytkownik pobierze nieprawdziwy klucz podstawiony przez osobę trzecią, poprawna technicznie weryfikacja może potwierdzić podpis wykonany przez niewłaściwego właściciela. Dlatego stosuje się odciski kluczy, nazywane fingerprintami, oraz certyfikaty cyfrowe. Odcisk jest skróconym identyfikatorem klucza, który można porównać z wartością przekazaną z wiarygodnego źródła. W infrastrukturze klucza publicznego certyfikat wiąże klucz publiczny z nazwą podmiotu, a urząd certyfikacji potwierdza tę relację zgodnie z przyjętą procedurą.

Gdzie klucz publiczny występuje na komputerze

Klucze publiczne są używane w wielu mechanizmach spotykanych na laptopach i komputerach PC. W protokole TLS certyfikat serwera zawiera klucz publiczny, dzięki któremu przeglądarka może zweryfikować podpis certyfikatu i rozpocząć bezpieczne uzgadnianie połączenia. W SSH klucz publiczny może służyć do logowania użytkownika bez przekazywania hasła przez mechanizm uwierzytelniania kluczem. W systemach OpenPGP klucze publiczne są wykorzystywane do szyfrowania wiadomości dla odbiorcy oraz sprawdzania podpisów dołączonych do wiadomości lub plików.

Na komputerze klucz publiczny może być zapisany w pliku konfiguracyjnym, magazynie certyfikatów, profilu użytkownika albo katalogu aplikacji. W przypadku SSH administrator lub użytkownik umieszcza klucz publiczny w pliku autoryzowanych kluczy po stronie zdalnego systemu, natomiast klucz prywatny pozostaje na urządzeniu inicjującym połączenie. W przeglądarce certyfikaty i klucze są obsługiwane przez magazyny systemowe lub mechanizmy konkretnej aplikacji. Problemy mogą wynikać z uszkodzonego magazynu certyfikatów, nieprawidłowej daty systemowej, wygaśnięcia certyfikatu, zmiany klucza hosta SSH albo braku dostępu programu do właściwego pliku.

Bezpieczne używanie kluczy publicznych w praktyce

Klucz publiczny można ujawnić, ale klucz prywatny wymaga ochrony przed skopiowaniem, kradzieżą i nieuprawnionym użyciem. Dostęp do klucza prywatnego może być dodatkowo zabezpieczony hasłem, modułem sprzętowym lub mechanizmem systemowego magazynu poświadczeń. Nie należy zastępować klucza publicznego prywatnym ani przesyłać klucza prywatnego osobie, która ma jedynie zweryfikować podpis. W razie podejrzenia ujawnienia klucza prywatnego należy unieważnić lub usunąć zaufanie do odpowiadającego mu klucza publicznego i wygenerować nową parę zgodnie z procedurą używanego systemu.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów stacjonarnych PC i ich podzespołów. W ramach diagnostyki można sprawdzić między innymi działanie systemu operacyjnego, dostęp do plików konfiguracyjnych, magazyny certyfikatów oraz komunikaty aplikacji związane z weryfikacją klucza publicznego. Taka analiza pozwala odróżnić problem z kryptografią od awarii systemu, błędnej konfiguracji, nieprawidłowej daty i czasu, uszkodzonego profilu użytkownika albo braku wymaganych uprawnień. Naprawa powinna obejmować wyłącznie czynności konieczne do przywrócenia prawidłowego działania, bez ujawniania kluczy prywatnych i bez obchodzenia mechanizmów bezpieczeństwa.