LugBE Linux User Group Bern PKI – Was soll das? Einleitung Symmetrisch vs. asymmetrisch Trusted Third Party Hierarchisches Modell Web of Trust Links LugBE 23. März 2006 Markus Wernig K     G  z  PKI  ?

LugBE Linux User Group Bern Einleitung PKI (Public Key Infrastructure) sind kryptografische Systeme, die die Ausstellung, Verteilung und Prüfung von digitalen Identitätsausweisen ermöglichen. CA (Certificate Authority) sind Hilfsdienste einer PKI, die die Authentizität von digitalen Identitätsausweisen bescheinigen. PKI sind Software, umgeben von einer strikten Regelkette von Prozessen.

LugBE Linux User Group Bern Symmetrisch vs. asymmetrisch „Symmetrische“ Verschlüsselungsverfahren verwenden auf beiden Seiten der Leitung den selben Schlüssel. Gesamtzahl der Schlüssel: 1 Problem: Schlüsselaustausch, Authentizität Beispiele: 3DES, AES, Blowfish clear text messag e ENCRYP T Shared *çsdfkj lk23j4“* DECRYP T Shared clear text messag e Transfer *çsdfkj lk23j4“* Verschlüsseln (mit Shared Secret) 2 nd Party 1 st Party

LugBE Linux User Group Bern Symmetrisch vs. asymmetrisch „Asymmetrische“ Verfahren verwenden auf jeder Seite je einen öffentlichen und einen geheimen Schlüssel. Gesamtzahl der Schlüssel: 4 Problem: Authentizität, Performance Beispiele: RSA clear text messag e ENCRYP T Public *çsdfkj lk23j4“* DECRYP T Private clear text messag e Transfer *çsdfkj lk23j4“* clear text messag e HASH c133e0 c ENCRYP T Private 3%14a clear tet messag e 3%&14 a clear text messag e Transfer DECRYP T Public HASH c133e0 c COMPAR E Verschlüsseln (mit Public Key des Partners) Signieren (= Verschlüsseln mit eigenem Private Key) 1 st Party 2 nd Party 1 st Party 2 nd Party

LugBE Linux User Group Bern Symmetrisch vs. asymmetrisch „Hybrides“ Verfahren: Schlüsselaustausch und -verhandlung asymmetrisch, Verschlüsselung selbst symmetrisch. Es bleibt das Problem: Authentizität. Wie stelle ich sicher, dass der öffentliche Schlüssel wirklich zu dem Partner gehört, mit dem ich kommunizieren will? ENCRYP T Shared *çsdfkj lk23j4“* Shared DECRYP T Private Transfer *çsdfkj lk23j4“* clear text messag e ENCRYP T Shared 02uujnf w092jj % Public DECRYP T Shared clear text messag e Transfer 02uujnf w092jj % „Key Exchange“, „Phase 1“ Asymmetrisch „Encryption“, „Phase 2“ Symmetrisch 1 st Party 2 nd Party

LugBE Linux User Group Bern Trusted Third Party Die Lösung: Beide Seiten vertrauen einer „Trusted Third Party“, die bestätigt, dass der Schlüssel wirklich demjenigen gehört, auf den er ausgestellt ist. Die wichtigste Eigenschaft einer solchen 3 rd Party ist, dass sie gewissenhaft die Identität des Schlüsseleigners überprüft.

LugBE Linux User Group Bern Trusted Third Party Die „Bestätigung“ erfolgt mittels einer digitalen Signatur, d.h. Verschlüsselung mit dem 3 rd Party Private Key. Dieser Key muss absolut sicher sein! Gesamtzahl der Schlüssel: 6 Die signierten Public Keys enthalten die Angaben, die von der 3 rd Party überprüft wurden ( -Adresse, Host-/Domainname...) Public Key CHECK Trusted 3 rd Party 1 st Party2 nd Party ENCRYP T CA Private *çsdfkj lk23j4“* Certificate Public Key Transfer *çsdfkj lk23j4“* Certificate DECRYP T CA Public Public Key COMPAR E Public Key PUBLISH

LugBE Linux User Group Bern Hierarchisches Modell Trusted 3 rd Parties nehmen also eine zentrale Rolle in PKIs ein. Wie aber wird ihre eigene Legitimität sichergestellt? Das Hierarchische Modell (z.B. x.509: Verisign etc.): Wird legitimiert per Dekret. Signiert eigenen Public Key. ENCRYP T CA Private CA Public *çsdfkj lk23j4“* Certificate CA Public Authority Die Mutter aller Zertifikate Trust! PUBLISH Public sdlfkj4 wrtqwt Trust? SIGN

LugBE Linux User Group Bern Hierarchisches Modell CAs können die Public Keys anderer CAs signieren. Die dabei entstehende Kette nennt man „Trust Chain“. Die Kette endet bei der obersten, der Root CA. ENCRYP T RootC A Private RootCA Public *çsdfkj lk23j4“* Certificate RootCA Public Authority Die Mutter aller Zertifikate Trust! PUBLISH Public sdlfkj4 Trust? DelegateCA Private DelegateCA Public Asdf8a sd asdfi38 3 Certificate DelegateCA Public SIGN Public wrtqwt SIGN

LugBE Linux User Group Bern Web of Trust Web of Trust (z.B. PGP) Im Web of Trust ist jeder Teilnehmer eine CA oder Trusted 3 rd Party. Wird legitimiert durch die Anzahl Signaturen. Public Key durch andere Teilnehmer signiert. PUBLISH Private Trust? PublicPrivatePublicPrivatePublicPrivatePublic SIGN asfasdf rwet asfasdf rwet43 5

LugBE Linux User Group Bern Links Lust auf mehr?