Enigma 1

40 %
60 %
Information about Enigma 1
Education

Published on January 4, 2008

Author: Ming

Source: authorstream.com

Bezpieczeństwo podpisu elektronicznego:  Bezpieczeństwo podpisu elektronicznego dr inż. Jacek Pokraśniewicz ENIGMA Systemy Ochrony Informacji Sp. z o.o. Plan prezentacji:  Plan prezentacji Wstęp Bezpieczeństwo składania podpisu elektronicznego Weryfikacja podpisu elektronicznego, zależnie od rodzaju Podpis:  Podpis Podpis jest składany przy użyciu klucza prywatnego (karty elektronicznej zawierającej klucz prywatny) Podpis jest weryfikowany przy użyciu wskazanego w nim certyfikatu; certyfikat zawiera dane osoby, która złożyła podpis (np. imię, nazwisko, adres, PESEL) Dany podpis „pasuje” tylko do jednego, konkretnego dokumentu i do jednego klucza, którym został złożony podpis może być przesyłany i składowany niezależnie od dokumentu 89473CB91E79134E82743 Podpis Jana Kowalskiego 309488E2438700C41234D Podpis Stanisława Nowaka A2CB7939E9173BC80134 Podpis Jana Kowalskiego 7B02419348253948B8093 Podpis Stanisława Nowaka Składanie podpisu elektronicznego:  Składanie podpisu elektronicznego „Wejście” – czyli co trzeba mieć wiadomość w formacie zrozumiałym dla odbiorcy narzędzie do przygotowania podpisu klucz prywatny do złożenia podpisu certyfikat związany z tym kluczem, pozwalający na naszą identyfikację na podstawie klucza wystawiony przez Centrum Certyfikacji Kluczy akceptowane przez odbiorcę Składanie podpisu elektronicznego:  Składanie podpisu elektronicznego Co może pójść źle: Błędy ludzkie: podpisanie i wysłanie nie tego co trzeba Ataki: zmiana wiadomości przed przygotowaniem podpisu kradzież klucza służącego do składania podpisów kradzież PINu do urządzenia z kluczem (karty) złożenie podpisu nie tylko na jednym dokumencie, ale i na kilku innych (przygotowanych przez atakującego) Składanie podpisu elektronicznego:  Składanie podpisu elektronicznego Na ile te ataki są możliwe/prawdopodobne? Kradzież klucza do podpisywania jeśli używamy kart/urządzeń – atak prawdopodobnie niemożliwy jeśli używane karty/urządzenia mają odpowiednie certyfikaty – atak niemożliwy (wg akt. stanu wiedzy) Inne ataki kradzież PINu – bezp. komp. – możliwe dodatkowe podpisy - bezp. komp. – możliwe, wymaga wcześniejszego przygotowania Składanie podpisu elektronicznego:  Składanie podpisu elektronicznego Co z tym można zrobić ? bezpieczeństwo komputera firewall, antywirus, IDP/IPS, ... inne, dodatkowe metody Czy można zagwarantować bezwzględne bezpieczeństwo procesowi podpisywania ? ... Czy podpis odręczny jest bardziej bezpieczny ? ? Weryfikacja podpisu:  Weryfikacja podpisu Co trzeba mieć ? podpisaną wiadomość w zrozumiałym formacie (podpisu, a następnie wiadomości) certyfikat do weryfikacji (może być załączony do wiadomości) klucz publiczny Centrum Certyfikacji Kluczy, służący do zweryfikowania certyfikatu narzędzie do weryfikacji podpisów aktualną listę unieważnionych certyfikatów, wydaną przez Centrum Certyfikacji Kluczy Weryfikacja podpisu:  Weryfikacja podpisu Przebieg procesu Sprawdzenie integralności wiadomości matematyczna weryfikacja podpisu Identyfikacja podmiotu składającego podpis weryfikacja certyfikatu, wystawionego przez akceptowane Centrum Certyfikacji Kluczy klucz publiczny z certyfikatu służy do weryfikacji podpisu dane „osobowe” z certyfikatu identyfikują podmiot składający podpis Sprawdzenie „ważności” podpisu certyfikat nie może być przeterminowany certyfikat nie może być unieważniony przyjmuje się (za X.509) że lista CRL jest aktualna, jeśli nie nastąpiła jeszcze data planowego wystawienia następnej listy CRL Weryfikacja podpisu:  Weryfikacja podpisu W przypadku unieważnienia certyfikatu występuje określony czas propagacji informacji o tym unieważnieniu nie jest jasno określone czy podpis jest wtedy ważny ani kto odpowiada za działania wynikające z przyjęcia ważności potencjalnie nieważnego podpisu ze względu na zakres zastosowań (uwierzytelnienie) ta niepewność nie jest zazwyczaj szkodliwa Weryfikacja podpisu „kwalifikowanego”:  Weryfikacja podpisu „kwalifikowanego” Co się zmienia ? „grupa docelowa” i wartość dowodowa podpis „zwykły” służy do podniesienia bezpieczeństwa normalnej komunikacji między podmiotami „znającymi się”, mającymi relacje podpis kwalifikowany zastępuje „dowód osobisty” – może służyć jako identyfikacja osoby „obcej” podpis kwalifikowany ma moc dowodową podpisu własnoręcznego potrzeba dużo większej precyzji w weryfikacji „ważności” (mocy dowodowej) podpisu Weryfikacja podpisu kwalifikowanego:  Weryfikacja podpisu kwalifikowanego Przebieg procesu Sprawdzenie integralności wiadomości matematyczna weryfikacja podpisu Identyfikacja podmiotu składającego podpis weryfikacja certyfikatu, wystawionego przez kwalifikowane Centrum Certyfikacji Kluczy klucz publiczny z certyfikatu służy do weryfikacji podpisu dane osobowe z certyfikatu identyfikują podmiot składający podpis Sprawdzenie „ważności” podpisu certyfikat nie może być przeterminowany certyfikat nie może być unieważniony lub zawieszony na określony moment Odpowiedzialność za skutki prawne podpisu kwalifikowanego:  Odpowiedzialność za skutki prawne podpisu kwalifikowanego Podpis jest ważny jeśli został złożony przed momentem unieważnienia Unieważnienie certyfikatu wywołuje skutki prawne od momentu unieważnienia, które znajduje się w liście CRL/ARL Niezbędne jest określenie relacji między datą złożenia podpisu a datą unieważnienia (znakowanie czasem) Weryfikacja kwalifikowanego podpisu – co mówi prawo ?:  Weryfikacja kwalifikowanego podpisu – co mówi prawo ? Rozporządzenie i normy EU określają trzy możliwe wyniki weryfikacji podpisu: poprawnie zweryfikowany negatywnie zweryfikowany niekompletnie zweryfikowany - gdy bezpieczny podpis elektroniczny lub poświadczenie elektroniczne jest poprawne w rozumieniu specyfikacji zastosowanego algorytmu szyfrowego, ale podczas weryfikacji nie udało się potwierdzić, że kwalifikowany certyfikat lub zaświadczenie certyfikacyjne służące do jego weryfikacji oraz użyta ścieżka certyfikacji zawiera ważne w określonym czasie poświadczenia elektroniczne, w szczególności gdy kwalifikowany certyfikat służący do weryfikacji tego podpisu jest zawieszony Weryfikacja kwalifikowanego podpisu – jak to robić dobrze (1) ?:  Weryfikacja kwalifikowanego podpisu – jak to robić dobrze (1) ? Aby uzyskać jednoznaczny wynik weryfikacji podpisu należy: Oznakować podpis czasem Uzyskać listy CRL i ARL, które są nowsze niż znacznik czasu Tak uzyskany wynik weryfikacji nie może już ulec zmianie i ma wartość dowodową Weryfikacja podpisu kwalifikowanego (2):  Weryfikacja podpisu kwalifikowanego (2) Przebieg procesu Oznakowanie czasem podpisanej wiadomości kwalifikowany znacznik czasu lub inne metody (np. tzw. timemark, dopuszczony przez europejskie normy dot. podpisów kwalifikowanych) Sprawdzenie integralności wiadomości matematyczna weryfikacja podpisu Identyfikacja podmiotu składającego podpis weryfikacja certyfikatu, wystawionego przez kwalifikowane Centrum Certyfikacji Kluczy klucz publiczny z certyfikatu służy do weryfikacji podpisu dane osobowe z certyfikatu identyfikują podmiot składający podpis Sprawdzenie „ważności” podpisu – na moment oznaczenia czasem certyfikat (wtedy !) nie może być przeterminowany certyfikat (wtedy !) nie może być unieważniony lub zawieszony – na podstawie listy CRL wystawionej po momencie oznaczenia czasem Weryfikacja kwalifikowanego podpisu:  Weryfikacja kwalifikowanego podpisu Co może pójść nie tak ? bezpieczeństwo komputera narzędzia weryfikujące mogą być podmienione klucz publiczny min. wł. ds. gosp. może być podmieniony możemy użyć „zwykłego” narzędzia do kwalifikowanych podpisów pomimo informacji „podpis poprawny” może się okazać, że podpis nie ma mocy dowodowej (nie jest równoważny podp. odręcznemu) możemy użyć właściwego narzędzia, ale z komunikatami wprowadzającymi w błąd ENIGMA – produkcja i wdrażanie narzędzi:  ENIGMA – produkcja i wdrażanie narzędzi Narzędzia dla centrów certyfikacji Centaur CCK (Centrum certyfikacji Kluczy), Centaur PR - punkty rejestracji Centaur OCSP (OCSP) Centaur DAT - znakowanie czasem Centaur SCEP Centaur ETA (CCK dla certyfikowanych szyfratorów VPN) inne Certyfikat Agencji Bezpieczeństwa Wewnętrznego jedyne takie oprogramowanie w Polsce deklaracja zgodności z ustawa o podpisie elektronicznym ENIGMA – produkcja i wdrażanie narzędzi:  ENIGMA – produkcja i wdrażanie narzędzi Narzędzia serwerowe PKI dla klientów Centaur SU – serwer uwierzytelnienia Radius, SSL, inne – integracja z serwerami pocztowymi, bazami danych, aplikacjami do logowania itd. Centaur WER – elektroniczna skrzynka podawcza odbieranie dokumentow elektronicvznytch, weryfikacja podpisów elektroniczncyh we wszystkich obecnmych w Polsce formatach, wystawianie urzędowego poświadczenia odbioru deklaracja zgodności z ustawą o podpisie elektronicznym PEM-HEART Serwer – generowanie i weryfikacja podpisów elektronicznych, szyfrowanie i deszyfrowanie deklaracja zgodności z ustawą o podpisie elektronicznym ENIGMA – produkcja i wdrażanie narzędzi:  ENIGMA – produkcja i wdrażanie narzędzi Narzędzia PKI na stacje klienckie PEM-HEART – podpisy elektroniczne, szyfrowanie, SSL ... oprogramowanie interakcyjne biblioteka wysokiego poziomu PEM-HEART API dla programistów deklaracja zgodności z ustawa o podpisie elektronicznym ENCARD karta procesorowa, zgodna z ustawą o podpisie elektronicznym (na bazie karty SETEC) ENCARD Login – logowanie przy pomocy karty na stacji Windows bez środowiska domeny ENIGMA – produkcja i wdrażanie narzędzi:  ENIGMA – produkcja i wdrażanie narzędzi Inne narzędzia Kryptodysk 2.0.1 szyfrowanie dysków wirtualnych Kryptomail szyfrowanie poczty bez użycia infrastruktury PKI ENIGMA Systemy Ochrony Informacji Sp. z o.o.:  ENIGMA Systemy Ochrony Informacji Sp. z o.o. Zapraszamy do współpracy biuro@enigma.com.pl www.enigma.com.pl

Add a comment

Related presentations

Related pages

Enigma #1 - physalia.de

Enigma #1. Im folgenden findet Ihr die 10 Rätselfragen und die drei Schatzkarten, die Ihr benötigt, um den Cache zu finden. Achtung! Nicht immer ...
Read more

Enigma (Maschine) – Wikipedia

Enigma C: 1926: 3: 1: 1 fest: 1: Kruh 5ff: Enigma D: 1927: 3: 1: 1 setzbar: 1: Bauer 114: Enigma G: 1936: 3 aus 3: 6: 1 rotiert: 11, 15, 17: Hamer: Enigma ...
Read more

Enigma 1.21 - Download - COMPUTER BILD

Enigma 1.21 kostenlos in deutscher Version downloaden! Weitere virengeprüfte Software aus der Kategorie Spiele finden Sie bei computerbild.de!
Read more

Enigma 1 oder 2 - Dreambox DM500, DM500+, DM600, DM5600 ...

Warum willst Du auf einer single Tuner Box enigma 2 verwenden? E2 ist ge-script-ted und daher leicht aenderbar, und unterscheidet sich zu E1 erheblich im ...
Read more

Geocaching-Fun.de » Enigma #1 Auto-Reviewer

[1c] Der einmal den Namen „Blut“ trug, arbeitete bei einem Projekt, das nach einem historischen Verkehrsweg benannt wurde, mit einem Menschen zusammen ...
Read more

OC0149 Enigma #1 – Geocaching mit Opencaching

Opencaching.de ist das freie Portal für Geocaching, ein Schatzsuche-Spiel. Mittels GPS-Koordinaten sind Behälter oder Objekte zu finden.
Read more

Geocaching: Der Mythos um Enigma #1 (Spoilerfrei!) | Gassipods

Endlich gefunden. Enigma #1, links oben hält die Käschkollegin den "Heiligen Gral" aller deutschen Geocacher!
Read more

OC0149 Enigma #1 - Geocaching mit Opencaching

Das zweite große und erklärte Ziel von heute und von meinem Agenten und mir das Wunschziel seit einem guten Jahr. Das Final der Enigma. Hier musste nicht ...
Read more

Enigma (Musikprojekt) – Wikipedia

Enigma ist ein internationales Musikprojekt des deutsch-rumänischen Musikproduzenten und Komponisten Michael Cretu in den Bereichen elektronische Musik ...
Read more

Sadeness (Part I) - Wikipedia

"Sadeness (Part I)" is a song by German musical project Enigma. The song was released in November 1990 as the first of four singles from the project's ...
Read more