PKI

תרשים המתאר את הליך הניפוק והאימות של תעודות דיגיטליות בתשתית PKI

תשתית מפתחות ציבוריים (או בקיצור PKI; מאנגלית: Public-key infrastructure) היא תשתית של חומרה, תוכנה, אנשים, מדיניות ותהליכים הנדרשים כדי להנפיק, לנהל, להעביר, להשתמש, לאחסן ולגנוז תעודות דיגיטליות.

בקריפטוגרפיה, PKI הוא הסכם המקשר מפתחות ציבוריים עם הגופים (למשל אדם או ארגון) שאליהם הם שייכים, באמצעות רשויות אמון (בקיצור CA, מאנגלית: Certificate Authority), אשר בסמכותן להנפיק תעודות דיגיטליות. הקשר מיוסד בתהליך של רישום וניפוק. הניפוק מתרחש אצל רשות האמון (באמצעות תוכנת מחשב או פיקוח אנושי), בהתבסס על רמה מסוימת של אמון בין הצדדים (למשל על ידי הצגת מסמכים משפטיים המאשרים זהות של חברה). הגוף האחראי על בדיקת האמון בין הצדדים הוא מרכז רישום (או RA, קיצור של Registration Authority). על ה-RA לוודא שהמפתח הציבורי אכן שייך לאותו גוף יחיד אשר נרשם, באופן שלא יאפשר לאותו גוף להתכחש לכך בעתיד. כדי לדעת אם תעודה כלשהי תקפה פונים לרשות תיקוף (VA, Validation Authority).

לעיתים, המונח PKI משמש לתיאור מימוש של רשות אמון.

סקירה

הצפנת מפתח ציבורי היא שיטה בקריפטוגרפיה המאפשרת לגופים מרוחקים לתקשר באופן מאובטח בתוך רשת ציבורית לא מאובטחת, ולהבטיח את הזהות אחד של השני באמצעות חתימות דיגיטליות.

תשתית PKI היא מערכת ליצירה, אחסון והפצה של תעודות דיגיטליות, אשר מאפשרות לוודא שייכות של מפתח ציבורי לגוף מסוים. במסגרת תשתית זו מנפיקים תעודות דיגיטליות המקשרות שֵׁם עם מפתח ציבורי, מאחסנים את התעודות הללו במרכז שנועד לשם כך, וגונזים אותן אם נדרש (למשל, כשנחשף המפתח הפרטי).

תשתית PKI מורכבת אפוא מ:

• רשות אמון (CA) האחראית על ניפוק ועל אימות תעודות דיגיטליות.
• מרכז רישום (RA) המאמת את הזהות של גופים המבקשים מידע מרשות האמון.
• ספריה מרכזית - מקום מאובטח שבו יאוחסנו מפתחות צופן.
• מדיניות לכתיבת תעודות

דרכים לקבלת תעודה

באופן כללי, ישנן שלוש דרכים להשגת אמון בגוף מסוים: רשות אמון (CA), רשת אמון (Web of Trust), ו-Simple PKI.

רשויות אמון

התפקיד המרכזי של רשות האמון הוא לחתום דיגיטלית ולהפיץ את המפתח הציבורי המקושר אל גוף נתון. פעולה זו מתבצעת על ידי המפתח הפרטי של רשות האמון, כך שהאמון במפתח הציבורי של המשתמש מבוסס על האמון במפתח הפרטי של רשות האמון. הקשר בין המשתמש למפתח שלו מיוסד בהסתמך על רמה מסוימת של אמון, באמצעות תוכנת מחשב או פיקוח אנושי.

תעודות זמניות ו-SSO

גישה זו מערבת שרת הפועל כרשות אמון מקוונת (online) במערכת SSO (שיטה להזדהות חד פעמית כלפי יותר מגוף אחד). שרת ה-SSO ינפיק תעודות דיגיטליות לשימוש הלקוח, אבל לא ישמור אותן.

רשת אמון (Web of Trust)

גישה חלופית לבעיית אימות השייכות של מפתח ציבורי לגוף מסוים היא רשת אמון. הקמת רשת אמון נעשית באמצעות חתימה הדדית של משתמשים זה על המפתח הציבורי של זה, כך שמושגת היררכיה של אמון אשר בראשה עומד בדרך כלל גוף בעל אמינות גבוהה.

לפי גישה זו, כל גוף יכול לפרסם את המפתח הציבורי שלו, אך המפתח ייחשב אמין (או מאומת) רק אם שני חברים שונים ברשת האמון הצהירו כי אכן המפתח שייך לאותו אדם (וגיבו הצהרה זו בחתימה דיגיטלית על ההצהרה ועל המפתח). רשת אמון פועלת למעשה בשיטת "חבר מביא חבר", שבה ניתן לתת אמון בכל משתמש אשר אושר על ידי מי מהחברים הקיימים.

הראשונה לנקוט דרך זו כדי להבטיח את זהות בעלי המפתחות הציבוריים היא התוכנה PGP, המנגישה את האפשרות ליצור רשת אמון אל המשתמש הביתי.

SPKI

גישה נוספת, אשר אינה מתעסקת בקישור בין זהות למפתח ציבורי היא Simple Public-key Infrastructure, או בקיצור SPKI. הגישה צמחה מתוך שלושה מאמצים עצמאיים להתגבר על המורכבות של X.509 ושל רשת האמון של PGP. ב-SPKI אין קישור בין זהות למפתח, שכן לפיה המפתח הוא זה שיש להטיל עליו את האמון, במקום על הזהות (האדם או הארגון).