Sesión 4 Conceptos claves en la seguridad electrónica

Sesión 4
Conceptos claves en la seguridad electrónica:
Autenticación, integridad, confidencialidad y no- repudiación
Robert English
Esta sesión permitió introducir las tecnologías criptológicas que sirven de base para la infraestructura de
clave pública (PKI), para investigar la racionalidad de establecer una PKI, analizar la estructura de un PKI y
analizar los requerimientos de políticas necesarios para implementar una PKI.
La digitalización de procesos genera una necesidad de replicar, en un mundo virtual, las características de
seguridad que se dan en el mundo real. Estas son, garantizar la identificación, autenticación, confidencialidad,
control de acceso, integridad, autorización y la no- repudiación. Con esta finalidad es que se crean la
criptografía y las firmas digitales.
Existen dos técnicas o algoritmos de criptografía fundamentales: simétricos y asimétricos. Ambos tienen
características diferentes, pero pueden trabajar conjuntamente para resolver diversos temas de seguridad.
En la criptografía simétrica, las funciones de cifrado y descifrado son hechas usando una misma clave. Las
partes que interoperan deben usar los mismos algoritmos de encriptación, la misma implementación y la
misma clave, la cual debe ser mantenida en secreto por ambas partes.
Entre los pros de la criptografía simétrica tenemos la velocidad de los algoritmos y su fácil implementación.
Sin embargo, los contra son la difícil distribución de claves y su difícil escalabilidad (para n usuarios se
requieren n*(n-1)/2 claves), y éstas no permiten firmar digitalmente.
En la criptografía asimétrica, las funciones de cifrado son hechas usando un par de claves (una pública y
otra privada). Las partes que interoperan deben usar los mismos algoritmos de encriptación, la misma
implementación, y la clave apropiada para realizar el cifrado o descifrado. En la criptografía asimétrica, solo la
clave privada debe ser mantenida en reserva. Asimismo, con el objeto de permitir escalabilidad, las claves
públicas deben ser de fácil acceso, teniendo en cuenta la necesidad de protegerlas de modificación.
Entre los pros de la criptografía asimétrica tenemos su fácil escalabilidad, su resistencia al criptoanálisis y
la posibilidad de firmar digitalmente. Sin embargo, como contra tiene la lentitud de los algoritmos.
Otro problema fundamental de la criptografía asimétrica es la del manejo de las claves privadas, la forma
en que se actualizan, y la forma en que se genera confianza en las claves públicas. Para solucionar este
problema es que se crean los certificados y la infraestructura de clave pública.
El motivo para crear toda una infraestructura de clave pública radica en la necesidad de generar confianza
en usuarios que requieren trabajar en entornos electrónicos seguros. Así pues, entre los elementos que forman
parte de una PKI tenemos a la Autoridad Competente (PMA en el caso canadiense), una certificadora raíz (root
111
CA), autoridades de certificación, autoridades de registro, políticas de certificación, declaraciones de prácticas
de certificación (CPS), directorios o repositorios, usuarios de certificados, entre otros.
Dados los elementos de la PKI, existen diferentes formas en las cuales ésta se puede formar. Pueden existir
PKI's con una PMA, con varias PMA, con una política de certificación o varias políticas de certificación, con
niveles de certificadoras, con entidades de verificación integradas a las certificadoras, entre muchas de las
opciones. Cada una tiene sus beneficios y sus desventajas. Es función de quien constituye el PKI de analizar la
opción que mejor convenga para sus necesidades, así como para establecer acuerdos de certificación cruzada
con otros PKI que le permitirán interoperar a mayor escala.
Por su parte, el papel de la PMA consiste en desarrollar, implementar y administrar las políticas y
procedimientos que permitirán implementar y funcionar la PKI. Además, tiene las funciones de autoridad
acreditadora de sistemas, y las de establecer acuerdos de interoperabilidad con otras PKI. Para cumplir
adecuadamente sus funciones, la PMA debe estructurarse multidisciplinariamente, siendo necesaria la
participación de personal técnico, legal y político entre otros.
Una parte fundamental dentro de una PKI son las políticas de certificación (CP) y la declaración de prácticas
de certificación (CPS). Ambas sirven de base para sostener a la infraestructura PKI. En ellas se definen los
estándares a usarse, los procesos a seguir, el uso que se les puede dar a los certificados y la validez legal de
éstos, definiendo el marco legal y de seguridad con el que va a contar la PKI. Son ellas las que le dan la validez
y la confianza necesarias para que la PKI pueda operar, y para poder interoperar con otras PKI.
Así, tenemos que las políticas de certificación definen las características de los certificados, para que
pueden ser usados, así como las condiciones y límites para ser usados. Por su parte, las declaraciones de
prácticas de certificación definen los procedimientos y las políticas que afectan la emisión y el uso de los
certificados.
112
Cinnabar Net works Inc.
Sessions 4 & 5
Public Key Cryptography and Public
Key Infrastructure (PKI)
Robert English
Managing Principal, IT Security &
Privacy
Cinnabar Net works Inc.
Sesiones 4 & 5
Criptografía de Clave Pública e
Infraestructura de Clave Pública
(PKI)
Robert English
Director Administrativo, Seguridad &
Privacidad IT
Attribution
Reconocimiento
This Presentation Is Courtesy Of
Mr. Hugh Ellis
Partner, Cinnabar Networks Inc.
Esta Presentación es Cortesía del
Sr. Hugh Ellis
Socio, Cinnabar Networks Inc.
Presentation Outline
Resumen de la Presentación
• Component 1: Security Services and
Cryptography Fundamentals
• Component 2: PKI Architectures and
Selection Criteria
• Component 3: PKI Policy
• Component 4: Implementation and
Management Requirements
• Componente 1: Servicios de Seguridad y
Fundamentos de Criptografía
• Componente 2: Arquitecturas PKI y
Criterios de Selección
• Componente 3: Política PKI
• Componente 4: Requerimientos de
Administración e Implementación
113
Course Objectives
Objetivos del Curso
• Provide a Rationale for Establishing a PKI
• Introduction to PKI-related Cryptographic
Technologies
• Overview of PKI Architectural Decisions
• Overview of PKI Policy Requirements
• Identify Implementation Issues
• Dar una razón para establecer una PKI
• Introducción a las Tecnologías
Criptográficas relacionadas a PKI
• Breve Descripción de las Decisiones de
Arquitectura PKI
• Breve Descripción de los Requerimientos
de Política PKI Identificar problemas de
Implementación
Component 1
Componente 1
• Security Services and Cryptography
Fundamentals
• Servicios de Seguridad y Fundamentos de
Criptografía
Š Security Services
Š Cryptography Fundamentals
Š Symmetric vs. Asymmetric Cryptography
Š Certificates
Security Services
Servicios de Seguridad
• Security Services used in “Paper World”
• Servicios de Seguridad utilizados en el “Mundo
de Papel”
Š Identification: Face-to-face meetings,
credentials
Š Authentication: Introductions through mutual
acquaintances
Š Confidentiality: Sealed envelopes, locked boxes
Š Access Control: Locks, Keys, Combinations,
and Security Guards
114
Š Servicios de Seguridad
Š Fundamentos de Criptografía
Š Criptografía simétrica vs. asimétrica
Š Certificados
Š Identificación: reuniones cara a cara, credenciales
Š Autenticación: Presentaciones mediante mutuos
conocidos
Š Confidencialidad: Sobres sellados, cajas con seguro
Š Control de Acceso: Candados, llaves, combinaciones y
guardias de seguridad
Security Services
Servicios de Seguridad
• “Paper World,” (continued)
• “Mundo de Papel,” (continuación)
Š Integrity: Handwriting, Signature, Hand
Delivery, Notaries
Š Authorization: Signatures
Š Non-repudiation: Signatures on Contracts,
Witnesses, Purchase Orders, and Receipts
Š Integridad: escritura a mano, firma, entrega
manual, Notarios
Š Autorización: Firmas
Š No-repudio: Firmas en Contratos, Testigos,
Solicitudes de Compra y Recibos
Security Services
Servicios de Seguridad
• Need to duplicate “Paper World” services
• Services Required by e-Commerce Users
• Services Also Used by Security
Infrastructure
• Se necesita duplicar los servicios del
“Mundo de Papel”
• Servicios requeridos por los usuarios de
comercio electrónico
• Servicios también utilizados por la
Infraestructura de Seguridad
Security Services
• Digital Signature
Š Identification and
Authentication
Š Access Control
Š Non-Repudiation
Š Authorization
Š Integrity
Servicios de Seguridad
• Encryption
(Encipherment)
Š Confidentiality/Privacy
Š Integrity
Š Continuity of
Authentication
• Firma Digital
Š Identificación y
Autenticación
Š Control de Acceso
Š No-Repudio
Š Autorización
Š Integridad
• Encripción
(Enciframiento)
Š Confidencialidad/Privacidad
Š Integridad
Š Continuidad de la
Autenticación
115
Uses of Digital Signature
Service
Identification and
Authentication
Access Control
Method
Challenge: "Who are you?
Prove it … Sign this."
Signed Access Control
Lists
Non-Repudiation, Sign a Transaction or a
Authorization
Receipt
Integrity /
Sign a Message, or Sign
Authenticity
Packets in a Communications Channel.
Security Services
• “Pervasive Security Services”
Š Trusted Third Party
Š Audit
Š Key Management
•
•
•
•
•
•
Generation, Registration
Distribution
Storage, Archiving
Update
Revocation, Expiry, Suspension
Destruction
Cryptography Fundamentals
• All Data (Voice, Fax, Video, Images,
Messages, Files) are Digitized -- Converted
to Binary Numbers
• Cryptographic Algorithms Perform
Mathematical Calculations: (Permutations,
Combinations, or Transformations) on the
Data
• Cryptographic keys are also just numbers
116
Usos de las Firmas Digitales
Servicios
Identificación y
Autenticación
Control de Acceso
No-Repudio,
Autorización
Integridad /
Autenticidad
Método
Desafio: "¿Quién es usted?
Pruébelo … Firme esto”.
Listas de Control de
Acceso Firmadas
Firmar una Transacción o
un Recibo
Firmar un M ensaje, o
Firmar Paquetes en un
Canal de Comunicación .
Servicios de Seguridad
• “Servicios de Seguridad Penetrantes”
Š Tercera Parte Confiable
Š Auditoria
Š Administración de Claves
•
•
•
•
•
•
Generación, Registro
Distribución
Almacenamiento, Archivo
Actualización
Revocación, Expiración, Sustitución
Destrucción
Fundamentos de Criptografía
• Todos los Datos (Voz, Fax, Video, Imagenes,
Mensajes, Archivos) reciben un valor númerico –
Son convertidos a números binarios
• Los Algoritmos Criptográficos realizan Cálculos
Matemáticos : (Permutaciones, Combinaciones, o
Transformaciones) en los Datos
• Las Claves Criptográficas también son sólo
números
Families of Cryptographic
Techniques
Familias de Técnicas
Criptográficas
• There are two fundamental cryptographic techniques or
algorithms:
• Hay dos técnicas criptográficas o algoritmos fundamentales :
Š Symmetric Cryptography
Š Asymmetric Cryptography
• Both types of algorithms have important characteristics, but
they are completely different
• The two types of algorithms work together very well to
solve numerous problems
Common Question #1
Š Criptografía Simétrica
Š Criptografía Asimétrica
• Ambos tipos de algoritmos tienen características importantes,
pero son completamente diferentes
• Los dos tipos de algoritmos trabajan muy bien juntos para
resolver distitos problemas
Pregunta Común #1
“The algorithms are secret, aren’t they?”
“Los algoritmos son secretos, no es así?”
No. Secrecy is in the keys,
not the algorithms.
No. El Secreto está en las Claves, no en los
algoritmos
.
The algorithms are well-known by thousands of
people around the world. Good algorithms are
subjected to public scrutiny by cryptographers.
Los algorimos son muy bien conocidos por miles de
personas en el mundo. Los buenos algoritmos son
sujetos a escrutinio público por criptografos
Cryptography Fundamentals:
Fundamentos de Criptografía:
Symmetric Cryptography
Criptografía Simétrica
• Both encryption and decryption are
performed using the same secret key
• Interoperating Parties must:
Š use the same encryption algorithm
Š use similar implementations
Š use the same key
• Shared key must be kept secret
• Tanto la encripción como la desencripción
se realizan utilizando la misma clave secreta
• La partes interoperantes deben:
Š Utilizar el mismo algoritmo de encripción
Š Utilizar implementaciones similares
Š Utilizar la misma clave
• La clave compartida debe mantenerse en
sectreto
117
0110110111011101
1011101000110000
1100011011010101
0011011011011101
Keys
Claves
• Above is a 64-bit key
• Chances of guessing a 64-bit key are
1:10,000,000,000,000,000,000 for each try
• Chances of getting hit by lightening
1:9,000,000,000
• Following examples use
to represent
a key however, no physical key is involved
• La anterior es una clave de 64-bits
• Las opciones de adivinar una clave de 64-bits son
1:10,000,000,000,000,000,000 para cada intento
• Las opciones de iluminarse y dar con la clave son
1:9,000,000,000
• Los siguientes ejemplos usan
para
representar una clave, sin embargo, ninguna clave
física está involucrada
Symmetric Algorithms
Algoritmos Simétricos
• Typical algorithms and key lengths:
• Algoritmos típicos y longitud de clave:
Š
Š
Š
Š
Š
DES
Triple-DES
CAST
RC2
IDEA
56-bit
~120-bit
40-, 64-, 80-, 128-bit
40-, 128-bit
128-bit
• Bit lengths for symmetric keys are difficult to
compare with bit lengths for “public-key” key
pairs
Common Question #2
• “As computers get faster and faster, won’t
hackers be able to crack systems more
quickly?”
• No: as computers get faster, the
advantage goes to cryptography because it
is easy to extend key lengths.
118
0110110111011101
1011101000110000
1100011011010101
0011011011011101
Š
Š
Š
Š
Š
DES
Triple-DES
CAST
RC2
IDEA
56-bits
~120-bits
40-, 64-, 80-, 128-bits
40-, 128-bits
128-bits
• Las longitudes en bits de las claves simétricas son
dificiles de comparar con las longitudes en bits de
los pares de “claves públicas”
Pregunta Común #2
• “Conforme las computadoras se hacen
más rápidas, podrán los hackers ser
capaces de entrar a los sistemas más
rápidamente?”
• No: conforme las computadoras se hagan
más rápidas, la ventaja va para la
criptografía porque será más fácil extender
las longitudes de claves.
Symmetric Cryptography
ORIGINATOR
RECIPIENT
Original
Plaintext
Original
Plaintext
Encryption
Function
Encrypted
Ciphertext
Secret Key
Decryption
Function
FUNCTION
Secret Key
Symmetric Cryptography
Key Management
1 key set 4 copies
Criptografía Simétrica
ORIGINADOR
RECEPTOR
Texto no cifrado
original
Función de
Encripción
Texto no cifrado
original
Cifratexto
Encriptado
Clave Secreta
Función de
Desencripción
FUNCTION
Clave Secreta
Administración de Clave de
Criptografía Simétrica
1 clave crea 4 copias
One-to-Many
Symmetric Cryptography
Key Management
6 unique private key pairs
Many to Many
Una – a- muchas
Administración de Claves de
Criptografía Simétrica
6 pares de claves privadas únicas
Muchas a Muchas
119
Symmetric Key Management
•
•
•
•
Scalability is a problem
For N users, N*(N-1)/2 keys required
10,000 users would need ~ 50 Million keys
Secure Distribution is the Major Challenge
• La escalabilidad es un problema
• Para N usuarios, N*(N-1)/2 claves requeridas
• 10,000 usuarios necesitarían ~ 50 millones
de claves
• La Distribución Segura es el Principal
Desafío
Symmetric Cryptography
Pros and Cons
Pros y Contras de la
Criptografía Simétrica
• Pros
• Pros
Š Algorithms can be very fast and secure
Š Many are easy to implement in hardware
Š There are excellent symmetric algorithms available for
free
• Cons
Š Los algoritmos pueden ser muy rápidos y seguros
Š Muchos son fáciles de implementar en el hardware
Š Hay excelentes algoritmos simétricos disponibles
gratuitamente
• Contras
Š Key management does not scale well
Š Secure key distribution is difficult
Š Some security services are difficult to implement using
symmetric cryptography
Š Cannot be used for digital signatures
Asymmetric Cryptography
• Encryption and decryption are performed using a
key pair: (Public + Private Key)
+
• Parties must:
Š Implement the same algorithms
Š Use compatible implementations
Š Have access to the proper keys
• Private key must still be kept secret
120
Administración de Clave
Simétrica
Š La administración de claves no escala bien
Š La distribución segura de claves es difícil
Š Algunos servicios de seguridad son difíciles de
implementar utilizando criptiografía simétrica
Š No se puede utilizar para firmas digitales
Criptografía Asimétrica
• La encripción y desencripción se realizan utilizando un par
de claves: (Clave Pública + Clave Privada)
+
• La partes tienen que :
Š Implementar los mismos algoritmos
Š Utilizar implementaciones compatibles
Š Tener acceso a las claves apropiadas
• La clave privada tiene que seguir manteniéndose en secreto
Public-key Cryptography
Criptografía de Clave Pública
• Operation “done” with one key is “undone”
with the other key
• Una clave “hace” la operación y la otra
clave la “deshace”
Š encrypt with public key; decrypt with private
key
Š digitally sign with private key; verify signature
with public key
• Knowing the public key provides no
advantage to determine the private key
Asymmetric Cryptography
(Encryption)
ORIGINATOR
RECIPIENT
Original
Plaintext
ENCRYPTION
FUNCTION
Recipient’s Public Key
Original
Plaintext
Encrypted
Ciphertext
DECRYPTION
FUNCTION
Recipient’s Private Key
Asymmetric Cryptography
Key Management
• Public keys need to be published and protected
from modification
• Key pairs can be generated centrally or locally by
individual users
• May have separate encryption and signature key
pairs
• Revocation is important: there may be millions of
potential users
• Scales well: 10,000 users = 10,000 key pairs
Š Se encripta con clave pública; se desencripta
con clave privada
Š Se firma digitalmente con la clave privada; la
firma se verifica con la clave pública
• El conocer la clave pública no da ninguna
ventaja para determinar la clave privada
Criptografía Asimétrica
(Encripción)
ORIGINADOR
RECEPTOR
Texto no cifrado
original
FUNCION DE
ENCRIPCION
Clave Pública del Receptor
Texto no cifrado
original
Cifratexto
Encriptado
FUNCION DE
DESENCRIPCION
Clave Privada del Receptor
Administración de Clave de
Criptografía Asimétrica
• Las claves públicas tiene que ser publicadas y
protegidas de modificación
• Usuarios individuales pueden generar pares de
claves central o localmente
• Se puede tener pares de claves separados para
encripción y firma
• La Revocación es importante: podría haber
millones de usuarios potenciales
• Escala bien: 10,000 usuarios = 10,000 pares de
claves
121
Asymmetric Cryptography
Pros and Cons
• Pros:
Pros y Contras de la Criptografía
Asimétrica
• Pros:
Š Key management scales well
Š Can be very resistant to cryptanalysis
• Cons:
Š La administración de claves escala bien
Š Puede ser muy resistente al criptoanálisis
• Contras:
Š Algorithms are generally slower
Š Vulnerable to chosen plaintext attacks if
number of possible plaintexts are small
Digital Signature
Š Los algoritmos generalmente son más lentos
Š Es vulnerable a ataques a textos no cifrados
escogidos si el número de posibles textos no
cifrados es pequeño
Firma Digital
• Cryptographic transformation
• Attached to a message
• Allows a person who is not the signer to
authenticate and establish the integrity of
the message
• Normally uses asymmetric cryptography
• Single most important technology the PKI
delivers
• Trasformación criptográfica
• Anexada a un Mesaje
• Permite que una persona que no es el
firmante autentique y establezca la
integridad del mensaje
• Normalmente utiliza criptografía asimétrica
• Es la tecnología particular más importante
que da la PKI
Digital Signature
ORIGINATOR
Original
Plaintext
Firma Digital
RECIPIENT
Original
Plaintext
(May Not Be
Encrypted)
Original
Plaintext
Decrypted
Original
Plaintext
ORIGINADOR
Texto no cifrado
original
Compares
ENCRYPTION
FUNCTION
Originator’s Private Key
122
Digital
Signature of
Original
Plaintext
DECRYPTION
FUNCTION
Originator’s Public Key
FUNCION DE
ENCRIPTACION
RECEPTOR
Texto
original
(puede no
estar
encriptado)
Firma digital
del Texto
no cifrado
Original
Clave Privada del Originador
Texto no cifrado
Originall
Texto original
desencriptado
Compara
FUNCION DE
DESENCRIPTACION
Clave Pública del Originador
Digital Signature
Firma Digital
• Originator digitally signs with private key
• Verifier uses originator’s public key to
verifies signature
• El Originador firma digitalmente con la clave privada
• El Verificador utiliza la clave pública del originador
para verificar la firma
• authentication
• autenticación
• integrity
• integridad
• non-repudiation
Originator
• no-repudio
Originador
Verifier
Verificador
How Digital Signature Works
Signing Process
calculate hash
sign hash
with private key
Verification Process
calculate fresh
hash
verify original hash
with public key
Cómo funciona la Firma Digital
Proceso de Firma
Calcular el hash
Un solo hash
con clave privada
compare verified hash
with fresh hash
Problem: Digital Signature
Doubles File Size
• Solution: Create a Small “Message Digest” Using
a Hash Function
• Hash function:
Š Fixed size output (relatively small)
Š Any change in the message causes significant changes
in the result of the hash
Š Cryptographic, one way function:
• easy to create a hash from a message
• difficult to create a new message which will match a desired
hash output
Calcular el
nuevo hash
Verificar el hash original
con la clave pública
=
=
signed plaintext
Proceso de Verificación
Texto sin cifrar
firmado
comparar el hash verificado
con el nuevo hash
Problema: La Firma Digital
Duplica el Tamaño del Archivo
• Solución: Crear un Pequeño “Digesto de Mensajes”
utilizando una Función Hash
• Función Hash:
Š Salida de información de tamaño fijo (relativamente
pequeño)
Š Cualquier cambio en el mensaje causa cambios
significantes en el resultado del hash
Š Función criptográfica de una sola via :
• es fácil crear un hash a partir de un mensaje
• Es difícil crear un nuevo mensaje que corresponda a la salida
de información deseada de un hash
123
Fundamental Problems with
Public-key cryptography
Problemas Fundamentales con la
Criptografía de Clave Pública
•
•
•
•
•
• ¿Cómo sabe de quién es la clave pública que usted
tiene?
• ¿Dónde se puede obtener claves públicas ?
• ¿Cómo se hace para confiar en las claves
públicas?
• ¿Cómo se actualizan las claves públicas a lo largo
del tiempo?
• ¿Cuánto podemos razonablemente esperar que los
usuarios entiendad?
How do you know whose public key you have?
Where do you get public keys?
How do you trust public keys?
How do keys get updated over time?
How much can we reasonably expect users to
understand?
Solution: certificates and PKI
Solución: Certificados y PKI
Public-key Algorithms
• Typical algorithms and uses:
ŠRSA
Digital Signature; Key
Exchange
ŠDSA
Digital Signature
ŠDiffie-Hellman
Key Establishment
• Typical key pair lengths: 512 bits, 1024 bits,
2048 bits
• As key pairs get longer, there is a significant
negative effect on performance
Certificates
• Method for assuring the integrity of public
(asymmetric) keys.
• Keys are signed by Trusted Third Party: the
Certification Authority (CA)
• Expiry date
• Revocation information
• May also contain information about how
keys are to be used.
124
Algoritmos de Clave Pública
• Algoritmos típicos y sus usos:
ŠRSA
Firma Digital;
Intercambio de Claves
ŠDSA
Firma Digital
ŠDiffie-Hellman
Establecimiento de
Claves
• Longitud típica de un par de claves: 512 bits,
1024 bits, 2048 bits
• Conforme la longitud de los pares de claves
aumenta, se da un efecto negativo en el
desempeño
Certificados
• Método para asegurar la integridad de las claves
públicas (asimétricas).
• Las claves son firmadas por una Tercera Parte
Confiable: la Autoridad de Certificación (CA)
• Fecha de Expiración
• Información sobre Revocación
• También pueden contener información sobre como
se debe utilizar las claves.
What is in a certificate?
DN: cn=Bob Smith,
o=ACME, c=US
Serial #: 8391037
Start: 1/5/97 1:02
End: 7/5/98 1:02
CRL: cn=CRL2,
o=ACME, c=US
Key:
Unique name of owner
Unique serial number
Period of validity
Revocation information
Public key
Name of issuing CA
CA’s digital
signature on the
certificate
CA DN: o=ACME, c=US
¿Qué se incluye en un
Certificado?
DN: cn=Bob Smith,
o=ACME, c=US
Serial #: 8391037
Start: 1/5/97 1:02
End: 7/5/98 1:02
CRL: cn=CRL2,
o=ACME, c=US
Key:
CA DN: o=ACME, c=US
Nombre de propietario único
Número de serie único
Periodo de validez
Información sobre revocación
Clave Pública
Nombre de la CA emisora
Firma digital de la
CA en el certificado
Certification Authority (CA)
Autoridad de Certificación (CA)
• CA comprised of two
major elements:
• La CA esta compuesta
de dos elementos
principales :
• CA Server
Š Signs certificates
• Certificate Repository
(X.500 Directory)
CA Server
X.500
Directory
Š Holds certificates
Purpose of a PKI
• Provides Policy Framework Within Which CAs
Operate
• Signs (Certifies) Public-Key Certificates
• May Provide a Key Management System for
Privacy Applications
• Key Recovery
• May Provide a Non-Repudiation and/or
Timestamp Service
• Can Provide Interoperability with Other PKIs
“Cross-Certification”
• Servidor CA
Š Firma Certificados
• Repositorio de
Certificados (Directorio
X.500)
Š Guarda Certificados
CA Server
Directorio
X.500
Objetivo de una PKI
• Proporciona un Marco de Políticas dentro del cual
operan las CA
• Firma (Certifica) los Certificados de Clave
Pública
• Puede proporcionar un Sistema de Administración
de Claves para aplicaciones de Privacidad
• Recuperación de Claves
• Puede proporcionar un Servicio de No-Repudio
y/o Marca de Tiempo
• Puede proporcionar interoperabilidad con la
“Certificación Cruzada” de otras PKI
125
PKI Components and Relationships
Autoridad de Administración de Políticas
Policy Management Authority
Root CA
Certification
Authority (CA)
Registration
Authority
Certificates, CRLs ,
CA Raiz
Certificates, CRLs
Autoridad de
Initialization, Key Recovery
X.500
Directory
Certificación (CA)
Autoridad de
Credentials
Users
Encryption
Digital
Signature
PKI Cryptography
Implementation Options
126
Componentes y Relaciones PKI
Certificados, CRLs ,
Certificados, CRLs
Inicialización, Recuperación
Directorio
de Claves
X.500
Credenciales
Usuarios
Registro
Encripción
Firma
Digital
Opciones de Implementación de
Criptografía PKI
Š Confidentiality and/or Digital Signature Services
Š Confidentiality service would use high-speed
symmetric algorithms
Š PKI could be used to establish Key Encryption Keys for
Confidentiality Service
Š Confidentiality Service not necessarily implemented in
initial PKI design
Š Digital Signature implemented using asymmetric
algorithms
Š Servicio de Confidencialidad y/o Firma Digital
Š El servicio de confidencialidad podría usar
algoritmos simétricos de alta velocidad
Š La PKI puede utilizarse para establecer Claves
de Encriptación claves para el Servicio de
Confidencialidad
Š El Servicio de confidencialidad no tiene que
estar necesariamente implementado en el
diseño PKI inicial
Š La Firma Digital se implementa utilizando
algoritmos simétricos
Component 1 Summary
Componente 1 Resumen
• To replicate some “Paper World” security
services, we need asymmetric cryptography
• Public keys from asymmetric cryptography
need to be signed, published.
• PKI does this using one or more CAs
• PKI can provide confidentiality / digital
signature services
• Para replicar algunos servicios de seguridad del
“Mundo de Papel”, necesitamos criptografía
asimétrica
• Las Claves Públicas de la Criptografía Asimétrica
tienen que ser firmadas, publicadas.
• La PKI lo hace utilizando una o más de una CA
• La PKI puede proporcionar servicios de
confidencialidad/firma digital
Component 2
• PKI Architectures
and Selection Criteria
Š Key Generation (Centralized or Distributed)
Š CA Architecture Options
Š Policy Authority Options
Š Cross Certification Options
Š Directory Options
Componente 2
• Arquitecturas PKI
y Criterios de Selección
Š Generación de Claves (Centralizada o
Distribuida)
Š Opciones de Arquitectura CA
Š Opciones de Autoridad de Políticas
Š Opciones de Certificación Cruzada
Š Opciones de Directorio
Key Generation
Generación de Claves
• Centralized:
• Centralizada:
Š Stronger, More Consistent Key Generation Process
Š Key Recovery is Easier
• Distributed
Š Proceso de generación más consistente y sólido
Š La recuperación de claves es más fácil
• Distribuida
Š Local Control of Generation Process
Š Keys Must Be Securely Transmitted to CA to Be
Signed
Š Standardization Becomes Very Important
Š Control local del proceso de generación
Š Las claves deben ser transmitidas con seguridad
a la CA para ser firmadas
Š La estandarización se vuelve muy importante
CA Architecture Options
Opciones de Arquitectura CA
• Different CAs per Application or Single CA
• Trade-off of Flexibility vs. Administrative
Effort
• Ensuring Global Consistency of CAs Will Be
a Challenge
• Diferentes CA por Aplicación o una única
CA
• Trueque entre flexibilidad y esfuerzo
administrativo
• Asegurar la Consistencia Global de las CA
será un desafío
127
CA Architecture Options
Opciones de Arquitectura CA
Policy
Management
Authority
Autoridad de
Administración
de Políticas
Messaging
Admin
Procurement
… etc.
Comunic.
Admin.
Compras
… etc.
CA
CA
CA
CA
CA
CA
CA
CA
Dedicated CAs for Individual Applications
CA Architecture Options
Una CA dedicada para cada aplicación individual
Opciones de Arquitectura CA
Policy
Management
Authority
Messaging
Admin
Procurement
Autoridad de
Administración
de Políticas
… etc.
CA
Multi-Purpose CA(s)
Policy Management Authority
Role (1)
• “Development, implementation, and
management of a cohesive and coherent
policy and procedures to plan, develop, and
implement the PKI.”
Š technical, physical, personnel, communications
and computer security
128
Comunic.
Admin
Compras
… etc.
CA
Cas multi-propósito
Rol de la Autoridad de
Administración de Políticas (1)
• “El desarrollo, implementación y
administración de una política coherente y
cohesiva y procedimientos para planificar,
desarrollar e implementar la PKI.”
Š Seguridad técnica, física, personal, de
comunicaciones y de computadoras
Policy Management Authority
Role (2)
Rol de la Autoridad de
Administración de Políticas (2)
• Accreditation authority for PKI systems,
including establishing interoperability
agreements with other PKIs (crosscertification), etc.
• Autoridad de Acreditación para los sistemas
PKI, incluyendo el establecimiento de
acuerdos de interoperabilidad con otras PKI
(certificación cruzada), etc.
Policy Management Authority
Options
Opciones de Autoridad de
Administración de Políticas
• Single PKI Policy Management Authority
• PKI Policy Management Authorities for
Each Application (Role Based Attribute
Authority)
• Una única Autoridad de Administración de
Políticas PKI
• Autoridades de Administración de Políticas
PKI para cada aplicación (Autoridad de
Atributos basada en el rol)
Policy Management Authority
Architecture Options
Opciones de Arquitectura de Autoridad
de Administración de Políticas
Autoridad de
Administración
de Políticas
Policy
Management
Authority
Messaging
Admin
Procurement
… etc.
Comun.
Admin
Compras
… etc.
CA
CA
CA
CA
CA
CA
CA
CA
Single Over-arching Policy Authority
Una única Autoridad para todas las
aplicaciones
129
Policy Management Authority
(PMA) Architecture Options
Policy
Management
Authority
Policy
Management
Authority
Policy
Management
Authority
Policy
Management
Authority
Messaging
Admin
Procurement
… etc.
Comunic.
Admin
Compras
… etc.
CA
CA
CA
CA
CA
CA
CA
CA
Per-Application Policy Management Authorities
PMA Architecture Options
• Single PMA
Š Centralized control, standards improve likelihood of
interoperability
Š Broad scope
Š Requires comprehensive representation from all
applications, all nations
• Per-Application PMAs
Š More flexible, focused PMAs
Š Likely to result in a large number of incompatible PKIs
130
Opciones de Arquitectura de Autoridad
de Administración de Políticas (PMA)
Autoridad de
Autoridad de
Administración Administración
de Políticas
de Políticas
Autoridad de
Administración
de Políticas
Autoridad de
Administración
de Políticas
Autoridades de Administración de Políticas por
Aplicación
Opciones de Arquitectura PMA
• Una única PMA
Š Control y estándares centralizados que mejoran la
probabilidad de interoperabilidad
Š Amplio alcance
Š Requiere representación comprehensiva por parte de
todas las aplicaciones, todas las naciones
• PMA por Aplicación
Š PMAs más flexibles y enfocadas
Š Es probable que resulte un un gran número de PKIs
incompatibles
Cross-Certification
Certificación Cruzada
• Basis of all secure PKI interoperability
• Usually, Certificate Policies and
Certification Practice Statements are
compared and mapped
• Need to decide whether to allow many-tomany (CA Level) or only one-to-many
(Root CA Level) cross-certification
• Es la base de toda interoperabilidad segura
de PKIs
• Usualmente se compara y mapea las
Políticas de Certificación y la Relación de
Prácticas de Certificación
• Se tiene que decidir si permitir certificación
cruzada de muchas a muchas (Nivel CA) o
sólo de una a muchas (Nivel CA Raíz)
Root-Level Cross-Certification
Certificación Cruzada a Nivel de
CA Raíz
Root
CA (OAS)
National CA
X Country
X Subord.
CA
USER A
CA Raíz
(OEA)
National CA
Y Country
Y Subord.
CA
X Subord.
CA
USER B
CA Nacional
País X
USER C
CA Subord
X
CA Subord
X
CA Subord
Y
USUARIO C
USUARIO
USER D
USUARIO A
CA-Level Cross-Certification
OAS CA
X Country
OAS CA
Y Country
National CA
X Country
USUARIO B
Certificación Cruzada a Nivel
CA
CA OEA
País X
CA OEA
País Y
CA Nacional
País X
National CA
Y Country
X Subord.
CA
CA Nacional
País Y
CA Nacional
País Y
X Subord.
CA
Ca Subord.
X
CA Subord.
Y
Y Subord.
CA
USER A
USER B
Ca Subord.
Y
USER C
USUARIO AUSUARIO B USUARIO C
USER D
USUARIO D
Cross-Certification
Certificación Cruzada
• Root Level or CA Level Pros and Cons:
• Root
• Pros y Contras de la Certificación a nivel de
CA o de CA Raíz :
• Nivel de CA Raíz
Š Wide Access - Everyone Interoperates With
Everyone
Š Central Management
• CA
Š Local Control Over Interoperability
Š May Not Interoperate with All Other Users
Š Amplio acceso – Todos interoperan con todos
Š Administración central
• Nivel de CA
Š Control local sobre la Interoperabilidad
Š Podría no interoperar con todos los usuarios
131
No or Partial Cross-Certification
• Individual Certificates Issued to Users
• Users May Require Several Certificates
• Certificados Individuales emitidos para los
Usuarios
• Los Usuarios podrían requerir varios
Certificados
Directory Requirements
Requerimientos de Directorio
• Directories must be compatible and interconnected to allow seamless access to users
• Cross-certification requires reading other
party’s Directory. This can be performed
by:
• Los Directorios deben ser compatibles e
interconectados para permitir un acceso directo a
los usuarios
• La Certificación Cruzada requiere la capacidad de
leer el Directorio de la otra parte. Esto puede
hacerse :
Š referring to other party’s Directory directly
(referral)
Š referring to a copy of the other party’s
Directory (shadowing or mirroring)
Directory Requirements (cont’d)
• Directory must be highly available
• Directory must be distributed to provide adequate
performance and survivability
• Integrity of certificates ensured by CA signature
• Availability of certificates primary security
concern
• Confidentiality of certificates should not be a
primary security concern
132
No Certificación Cruzada o
Certificación Cruzada Parcial
Š dirigiéndose directamente al Directorio de la otra parte
(referencia)
Š dirigiéndose a una copia del Directorio de la otra parte
(shadowing or mirroring)
Requerimientos de Directorio
(continuación)
• El Directorio debe estar altamente disponible
• El Directorio debe estar distribuido para
proporcionar desempeño y supervivencia
adecuadas
• Debe asegurarse la Integridad del certificado con
la firma de la CA
• La Disponibilidad de certificados es una
preocupación primordial de seguridad
• La Confidencialidad de los certificados no debe
ser una preocupación primordial de seguridad
Directory Options
• PKI-specific or Shared With Other
Applications
Š Shared Directories can reduce duplicate data
entry, and ease synchronization problems
Š However, sharing the directory may require
lengthy negotiations with application owners
Š Initially, PKI-specific Directories are
recommended with migration to shared
directories if/when possible
Directory Options (cont’d)
• Cross-certification can refer directly to
other party’s Directory or to a copy
Š Copied directory may not be as current as
actual directory
Š Using a copy of the directory allows other party
to better control access to their primary
directory
Opciones de Directorio
• Específico para una PKI or Compartido con otras
aplicaciones
Š Los Directorios compartidos pueden reducir el ingreso
de datos duplicados y reducen los problemas de
sincronización.
Š Sin embargo, compartir el Directorio podría requerir de
largas negociaciones con los dueños de las aplicaciones
Š Inicialmente, se recomienda los Directorios específicos
para una PKI con migración a directorios compartidos
si es/cuando sea posible
Opciones de Directorio
(continuación)
• La Certificación Cruzada puede referirse
directamente al Directorio de la otra parte o
a una copia del mismo
Š La copia del Directorio podría no estar tan
actualizada como el Directorio real
Š El utilizar una copia del Directorio permite a la
otra parte controlar mejor el acceso a su
directorio original
Component 3
Componente 3
• PKI Policy
• Pólitica PKI
Š Description of Policy Issues
Š PKI Policy Vehicles (CP and CPS)
Š Security Certification and Accreditation
Š Policy Management Authority Structure and
Accountability
Š Descripción de los Temas de Política
Š Vehículos de las Políticas PKI (CP y CPS)
Š Certificación y Acreditación de Seguridad
Š Estructura y Responsabilidad de la Autoridad de
Administración de Políticas
133
PKI Policy
• Scope Includes:
Š
Š
Š
Š
Security Policy
Cryptographic Algorithms / Standards
Operational Standards / Practices / Procedures
Enrolment Practices (User Credentials, Identification
and Authentication Practices, etc.)
Š Community and Usage Restrictions: Acceptable Uses
for Different Types of Certificates
Š Legal / Liability Issues
134
Política PKI
• Su alcance incluye:
Š
Š
Š
Š
Política de Seguridad
Algoritmos/Estándares Criptográficos
Estándares/Prácticas/Procedimientos Operacionales
Prácticas de Suscribción (Credenciales de Uuario,
Prácticas de Autenticación e Identificación, etc.)
Š Restricciones de comunidad y uso: for Usos aceptables
para diferentes tipos de Certificados
Š Temas legales / de responsabilidad
PKI Policy Vehicles
Vehículos de Política PKI
• Certificate Policy (CP)
• Certification Practice Statement (CPS)
• Política de Certificación (CP)
• Relaciones de Prácticas de Certificación
(CPS)
Certificate Policy
Política de Certificación
• A CP tells you what the certificate is
supposed to be used for and any conditions
or limits on such usage
• Una CP le dice para que se supone se debe
usar el certificado y todas las condiciones o
límites de dicho uso
Formal Definition:
Certificate Policy
Definición Formal de Política de
Certificación
• ITU X.509 Recommendations define a CP:
• Las Recomendaciones ITU X.509 definen a una
CP como:
Š A named set of certificate policy rules relating to the
use of a certificate and the certified public key,
recognized by both the issuer and user of the certificate.
Š A certificate policy relates to a class of activity across a
community of distributed systems which has a common
security requirement, e.g., electronic data interchange
(EDI) for trading of goods within a given price range.
Š Un conjunto designado de reglas de políticas de
certificación que se relaciona al uso de un certificado y
la clave pública certificada reconocida tanto por el
emisor como por el usuario del certificado.
Š Una política de certificación se relaciona a una clase de
actividad que se da a lo largo de una comunidad de
sistemas distribuidos que tiene un requerimiento común
de seguridad, por ejemplo, el intercambio electrónico
de datos (EDI) para la comercialización de bienes
dentro de un rango de precios dado.
Certificate Policy (cont’d)
Política de Certificación
(continuación)
• Certificate Policies are assigned globally
unique numbers
• Certificate Policies supported by a
particular certificate may appear in the
Certificate Extensions
• Less mature implementations do not support
Policy IDs in the extensions - certificates
support a single implicit certificate policy
• Las Pólizas de Certificación reciben números
únicos globalmente
• Las Políticas de Certificación soportadas por un
certificado particular pueden aparecer en las
Extensiones del Certificado
• Las implementaciones menos maduras no
soportan ID de políticas en las extensiones – los
certificados soportan una única política implícita
Certificate Policy Assurance
• CPs can be generic, or can be assigned an
assurance level (High, Medium, Low)
• Assurance levels may be used to limit
application functionality (e.g. the size of
purchase an e-commerce user can authorize)
Seguridad de la Política de
Certificación
• Las CP pueden ser genéricas o se les puede
asignar un nivel de seguridad (Alto, Medio,
Bajo)
• Se puede usar los niveles de seguridad para
limitar la funcionalidad de la aplicación
(por ejemplo, el nivel de compra que un
usuario de comercio electrónico puede
autorizar)
135
CP/CPS Issues
Temas CP/CPS
• CPs and CPSs Are Compared / Mapped
During Cross-Certification
• Frameworks Act as Templates Which
Promote Consistent, Comparable Policies to
Assist in Cross-Certification and Policy
Mapping Decisions
• Durante la Certificación Cruzada se
compara/mapea las CP y CPS
• Los marcos actúan como plantillas que
promueven políticas consistentes y
comparables para asistir en la Certificación
Cruzada y Decisiones de Mapeo de Pólizas
Certification Practice Statement
Relación de Prácticas de
Certificación
• Describes the Practices and Policies
Affecting the Issuance and Expected
Use of the Subject Certificate
• Defined in the American Bar
Association (ABA) Digital Signature
Guidelines
• Describe las prácticas y políticas que
afectan la emisión y uso esperado del
Certificado en cuestión
• Se le define en las Principios de Firmas
Digitales del Colegio Americano de
Abogados (ABA)
“A Statement of the Practices Which a CA
Employs in Issuing Certificates”
Security Certification and
Accreditation
• CAs Are Accredited Against Their
Certificate Policies and Certification
Practice Statements
• Certification and Accreditation is the
Primary Basis by Which a PKI
Demonstrates Its Trustworthiness to
Another PKI.
136
• “Una Relación de las Prácticas que una CA
puede emplear para la emisión de Certificados”
Seguridad de la Certificación y
Acreditación
• Las CA se acreditan con sus Políticas de
Certificación y las Relaciones de Prácticas
de Certificación
• La Certificación y Acreditación es la base
primaria por medio de la cual una PKI
demuestra a otra PKI su confiabilidad.
Policy Management Authority
Structure
• Senior level members
• Multi-disciplinary
Š Policy
Š Technical
Š Legal
Š Application experts
Š International representatives
• Requires a technical support element
Component 4:
• Implementation and Management
Requirements
Š Root CAs
Š CAs
Š Local Registration Authorities
Š Directories
Root CA Implementation and
Management Requirements
• Root CAs have relatively few users
• In purely hierarchical models, all crosscertification occurs through the root CA
• Root CAs bear the majority of the interoperability
burden
• Must be able to converse with other CAs
cryptographically
• Must be also able to share directory information
Estructura de la Autoridad de
Administración de Políticas
• Miembros del más alto nivel
• Multidisciplinaria
Š Política
Š Técnica
Š Legal
Š Expertos en aplicaciones
Š Representantes internacionales
• Requiere un elemento de soporte técnico
Componente 4:
• Requerimientos de Implementación y
Administración
Š CA Raíz
Š CA
Š Autoridades de Registro Locales
Š Directorios
Requerimientos de Implementación
y Administración de una CA Raíz
• Las CA Raíz tiene relativamente pocos usuarios
• En los modelos puramente jerárquicos, todas las
certificaciones cruzadas se dan a través de la CA
Raíz
• La CA Raíz soporta la mayoría de la carga de
interoperabilidad
• Tiene que poder comunicarse con otras CA
criptograficamente
• También tiene que poder intercambiar
información de directorio
137
CA Implementation and
Management Requirements
Requerimientos de Implementación
y Administración de una CA
• Private signing keys of CAs are the most
valuable asset in the PKI
• Compromise of CA signing key would be
extremely disruptive to thousands of users
• CAs may be application-specific, or
common purpose
• Las claves de firma privadas de las CA son
el activo más valioso en la PKI
• El compromiso de la clave de firma de CA
sería extremadamente incómodo para miles
de usuarios
• Las CA pueden ser específicas para una
aplicación o de propósito común
CA Implementation and
Management Requirements
Requerimientos de Implementación
y Administración de una CA
• Three modes of operation:
• Tres modos de operación:
Š Fully cross-certified
Š “OAS Support,” where OAS certificates issued
to national users on national systems
Š “Non-certified Interoperability,” where crosscertification occurs without policy mapping
138
Š Totalmente Certificación Cruzada
Š “Respaldo de la OEA,” donde la OEA emite
certificados a usuarios nacionales en sistemas
nacionales
Š “Interoperabilidad no-certificada,” donde la
certificación cruzada ocurre sin mapeo de
póliza
Directory Management and
Implementation Requirements
Requerimientos de Implementación
y Administración de Directorio
• Ordinarily, each CA is paired with a
directory
• PKI should operate its own directory
• Directory information can be shadowed or
chained to avoid duplicate manual entry of
data
• Comunmente, cada CA está vinculada a un
directorio
• La PKI debe operar su propio directorio
• Se puede hacer un shadowing de la
información de directorio o encadenarla
para evitar el ingreso manual duplicado de
datos
Directory Management and
Implementation Requirements
Requerimientos de Implementación
y Administración de Directorio
• Access to Directory is required for crosscertification
• Directory is the most performance-sensitive
portion of the PKI
• Sovereignty/security issues surrounding
updates to directories.
• El Acceso al Directorio se requiere para la
Certificación Cruzada
• El Directorio es la parte de desempeño más
sensible de la PKI
• Los temas de soberanía/seguridad rodean
las actualizaciones de los Directorios.
LRA Management and
Implementation Requirements
Requerimientos de Implementación
y Administración de LRA
• Local Registration Authorities are the “eyes
of the PKI”
• LRAs perform initial physical identification
and authentication of user at time of
registration (credential checking)
• If CPs are to be successfully mapped, LRA
practices must be very similar across all
national PKIs wanting to use those CPs
• Las Autoridades de Registro Local son los “ojos
de la PKI”
• Las LRA realizan una identificación y
autenticación física inicial del usuario al momento
del registro (verificación de credencial )
• Si se quiere hacer un mapeo exitoso de las CP, las
prácticas de las LRA deben ser muy similares
entre todas las PKIs nacionales que quieran usar
dichas CP.
LRA Management and
Implementation Requirements
Requerimientos de Implementación
y Administración de LRA
• Applications may build Registration
Authority functionality into their
applications
• Access control issue: if permitted by policy,
Remote Registration Authorities may be
able to create users on NATO CAs from
national locations
• Las aplicaciones pueden incorporar
funcionalidades en las aplicaciones de las
Autoridades de Registro
• El tema del control de acceso: si la política
lo permite, las Autoridades de Registro
Remoto deben ser capaces de crear usuarios
en la CA de la OTAN a partir de
ubicaciones nacionales
139
What is a PKI? Certification
¿ Qué es una PKI?
Autoridad de
Authority
Cross-certification
Key Histories
Support for
non-repudiation
Key Backup
& Recovery
Certificación Cruzada
certificación
Historia de Claves
Soporte para
no-repudio
Backup
& Recuperación
de Claves
Marca de tiempo
Timestamping
Revocación de
Certificados
Certificate
Revocation
Certificate
Repository
140
Client-side
software
Automatic
Key Update
Repositorio de
Certificados Software del
cliente
Actualización
Automática de clave
Summary
Resumen
• Asymmetric and Symmetric Cryptographic
Techniques Were Discussed
• Some Benefits of Asymmetric Techniques
Were Described. In Particular, Digital
Signature is Well-supported.
• Asymmetric Cryptography Uses Public
Keys, Which Need to be Protected from
Modification.
• Se discutió las Técnicas de Criptografía
Simétrica y Asimétrica
• Se describió algunos beneficios de las
Técnicas Asimétricas. En particular, la
firma digital que tiene un buen respaldo.
• La criptografía asimétrica utiliza claves
públicas, que tiene que ser protegidas contra
su modificación.
Summary (cont’d)
Resumen (continuación)
• Public Keys Are Protected from
Modification by a Certification Authority’s
Signature
• Certificates are Published on an X.500
Directory
• A PKI Includes Technical Components and
Policy Components
• Las Claves Públicas están protegidas contra
su modificación por la Firma de una
Autoridad de Certificación
• Los Certificados son publicados en un
Directorio X.500
• Un PKI incluye Componentes Técnicos y
Componentes de Política
Summary (cont’d)
Resumen (continuación)
• PKI Policy is Managed by a Policy
Management Authority
• PKIs Can Interoperate Through CrossCertification
• Full Cross-certification will be a Challenge
• Other Cross-certification Options were
Identified
• La política PKI es manejada por una
Autoridad de Administración de Políticas
• Las PKI pueden interoperar mediante la
Certificación Cruzada
• El uso total de la Certificación Cruzada será
un desafío
• Se identificó otras opciones de Certificación
Cruzada
Question Period
Periodo de Preguntas
Was it death
…….. by a thousand slides???
Mil diapositivas
…….. pudieron matarlo???
141