PGP v ╚eskΘ Republice

Josef Pojsl, SkyNet, a.s., josef.pojsl@skynet.cz
11. listopadu 1998

K dispozici je takΘ prezentace.

┌vod

Toto je p°epis p°ednß╣ky, kterß se konala 16. listopadu 1998 p°i p°φle╛itosti nßv╣t∞vy pana Philipa R. Zimmermanna v Praze. Pan Zimmermann je autorem PGP (Pretty Good Privacy), jednoho z nejroz╣φ°en∞j╣φch softwarov²ch nßstroj∙ pro bezpeΦnost elektronickΘ po╣ty. Zasazuje se takΘ o zachovßnφ soukromφ obΦan∙, kterΘ m∙╛e b²t poru╣eno vlßdnφmi zßsahy.

PGP mß za sebou nedlouhou, ale bou°livou historii. Vφce se o nφ dozvφte v literatu°e [1]. O kryptografii obecn∞ pojednßvß [2].

V prvnφ Φßsti je krßtk² ·vod o hlavnφch principech PGP. Druhß Φßst se zab²vß sv∞tovou sφtφ ve°ejn²ch server∙ a jejφm v²vojem, vΦetn∞ zapojenφ ΦeskΘho serveru. P°idal jsem ·daje, kterΘ mohou n∞co napov∞d∞t o popularit∞ PGP v ╚eskΘ republice. T°etφ Φßst je popisem zajφmav²ch technick²ch vlastnostφ komerΦnφ verze PGP, jejφ╛ roz╣φ°enφ je v na╣φ zemi teprve na poΦßtku.

PGP, Pretty Good a Pretty Good Privacy jsou registrovanΘ obchodnφ znßmky spoleΦnosti Network Associates, Inc.

1. Principy PGP

⌐ifrovßnφ se pou╛φvß od pradßvna. S nßstupem v²poΦetnφ techniky se v²razn∞ zv²╣ila dostupnß v²poΦetnφ sφla, kterß umo╛≥uje efektivn∞j╣φ ╣ifrovßnφ, ale zßrove≥ takΘ efektivn∞j╣φ ·toky na za╣ifrovanΘ zprßvy.

⌐ifrovacφ algoritmy se d∞lφ na dva odli╣nΘ typy, kter²m se °φkß symetrickΘ a asymetrickΘ. SymetrickΘ ╣ifrovßnφ je znßmo ji╛ dlouho. Jeho princip spoΦφvß v tom, ╛e autor i p°φjemce zprßvy sdφlejφ klφΦ, s jeho╛ pomocφ byla zprßva zak≤dovßna a s jeho╛ pomocφ ji lze zßrove≥ dek≤dovat. Existuje mnoho symetrick²ch ╣ifer na matematickΘm zßklad∞, mezi nejznßm∞j╣φ pat°φ DES, 3DES, CAST, Blowfish a RC4.

SymetrickΘ ╣ifry majφ nßsledujφcφ nev²hody:

• ┌vodnφ p°edßnφ sdφlenΘho klφΦe je problematickΘ.
• Ka╛dß komunikujφcφ dvojice pot°ebuje vlastnφ klφΦ, poΦet klφΦ∙ mß proto kvadratickou slo╛itost.
• Ne°e╣φ digitßlnφ podpisy.

AsymetrickΘ ╣ifry lze takΘ pou╛φt pro digitßlnφ podpisy. K tomu je t°eba algoritm∙ pro vzorkovßnφ zprßv (angl. hash algorithms). Vzorek zprßvy (nap°. MD4, MD5 nebo SHA-1) je za╣ifrovßn tentokrßt tajn²m klφΦem autora a p°φjemce ov∞°uje podpis autorov²m ve°ejn²m klφΦem.

AsymetrickΘ ╣ifry °e╣φ v╣echny t°i uvedenΘ nev²hody symetrick²ch algoritm∙, majφ v╣ak samy podstatnou nev²hodu: jsou v²razn∞ pomalej╣φ.

V²chodiskem z tΘto situace jsou kombinovanΘ ╣ifrovacφ systΘmy. Ty pou╛φvajφ symetrickou ╣ifru pro zak≤dovßnφ samotnΘ zprßvy a sdφlen² klφΦ tΘto symetrickΘ ╣ifry je p°edßn v rßmci zprßvy asymetrickou ╣ifrou. Tφm je zachovßna pot°ebnß rychlost ╣ifrovßnφ a zßrove≥ v╣echny v²hody asymetrickΘho ╣ifrovßnφ. Asymetrick² algoritmus je pou╛it pro digitßlnφ podpisy. Takovß kombinace mß dokonce jednu v²hodu oproti samotnΘmu symetrickΘmu i samotnΘmu asymetrickΘmu ╣ifrovßnφ. Je toti╛ velmi snadnΘ za╣ifrovat jednu zprßvu pro dva i vφce p°φjemc∙. Zprßva je toti╛ za╣ifrovßna symetricky a blok s asymetricky za╣ifrovan²m klφΦem tΘto symetrickΘ ╣ifry m∙╛e b²t zopakovßn pro r∙znΘ p°φjemce.

2. Servery klφΦ∙

Ve°ejnß Φßst PGP klφΦe m∙╛e b²t zve°ejn∞na. Pro pot°ebu InternetovΘ ve°ejnosti byly z°φzeny servery ve°ejn²ch PGP klφΦ∙, kterΘ slou╛φ jako jakΘsi ôtelefonnφ seznamyö nebo adresß°e u╛ivatel∙ PGP. Vß╣ PGP klφΦ nemusφ b²t certifikovßn, jako je tomu u X.509 certifikßt∙ (pou╛φvan²ch v rßmci standardu S/MIME nap°φklad v programech Netscape a Internet Explorer).

Je z°ejmΘ, ╛e identita ve°ejn²ch PGP klφΦ∙ m∙╛e b²t snadno podvr╛ena. PGP obsahuje mechanismy, kterΘ slou╛φ k ov∞°ovßnφ d∙v∞ryhodnosti klφΦ∙. Tyto mechanismy jsou zalo╛eny na distribuovanΘm principu, co╛ je opak p°φstupu zvolenΘho v X.509 pro S/MIME certifikßty, kter² je hierarchicky zalo╛en. Model d∙v∞ryhodnosti (Trust Model) PGP klφΦ∙ mß slo╛itou strukturu a nemßme v ·myslu ho zde detailn∞ popisovat. Spokojφme se s konstatovßnφm, ╛e servery PGP klφΦ∙ jsou souΦßstφ tohoto modelu a mohou slou╛it jako vynikajφcφ adresß° u╛ivatel∙ PGP na Internetu.

Servery PGP klφΦ∙ se objevily brzy po uvoln∞nφ PGP jako freewaru. P∙vodnφ server vznikl na MIT a pou╛φval dßvky napsanΘ v perlu a ke sprßv∞ PGP klφΦ∙ samotn² program PGP. Ukßzalo se v╣ak, ╛e PGP si nedokß╛e s databßzφ o velikosti tisφc∙ klφΦ∙ dostateΦn∞ efektivn∞ poradit. Na podzim roku 1995 toti╛ databßze obsahovala vφce ne╛ 20 000 klφΦ∙.

Novß generace server∙ je napsßna v jazyce C a sprßvu databßze klφΦ∙ ponechßvß na knihovn∞ DB pochßzejφcφ z KalifornskΘ univerzity v Berkeley (tato knihovna je znßmß nap°φklad ze sendmailu). Server mß dv∞ komunikaΦnφ rozhranφ, jedno zalo╛enΘ na elektronickΘ po╣t∞ a druhΘ na HTTP. Celosv∞tovß sφ╗ dnes zahrnuje asi 10 server∙, z nich╛ v∞t╣ina je nßrodnφch. Ji╛ druh²m rokem mßme i v ╚eskΘ republice server zapojen² do celosv∞tovΘ sφt∞ server∙ PGP klφΦ∙. Ka╛d² server udr╛uje celou databßzi klφΦ∙ a synchronizace je zaji╣t∞na automaticky elektronickou po╣tou. V souΦasnΘ dob∞ spravujφ tyto servery vφce ne╛ 400 000 klφΦ∙.

V∞t╣ina server∙ je souΦßstφ domΘny pgp.net. Popis tΘto domΘny najdete na strßnce http://www.pgp.net/pgpnet. Rozhranφ pro elektronickou po╣tu mß adresu pgp-public-keys@keys.pgp.net (obecn² server) nebo pgp-public-keys@keys.XX.pgp.net (nßrodnφ servery, za XX dosa∩te dvoupφsmenn² k≤d zem∞, nap°φklad cz) a rozeznßvß nßsledujφcφ p°φkazy (uvßd∞jφ se v p°edm∞tu Φi subjektu zprßvy):

• HELP - Nßpov∞da
• HELP CZ - Nßpov∞da v Φe╣tin∞
• INDEX jmΘno - Seznam PGP klφΦ∙ obsahujφcφch zadanΘ jmΘno
• VERBOSE INDEX jmΘno - Podrobn² seznam (i s podpisy) PGP klφΦ∙ obsahujφcφch zadanΘ jmΘno
• GET jmΘno - Zφskßnφ klφΦ∙ obsahujφcφch jmΘno
• LAST n - Zφskßnφ klφΦ∙, kterΘ se objevily v poslednφch n dnech. Tento p°φkaz se nedoporuΦuje, proto╛e jeho v²sledkem m∙╛e b²t obrovsk² soubor

Pro v∞t╣φ obrßzek klikni

Rozhranφ HTTP je dostupnΘ ze strßnky http://www.cam.ac.uk.pgp.net/pgpnet/wwwkeys.html. Jde o formulß°, kter² dovoluje kontaktovat libovoln² nebo jednotlivΘ nßrodnφ servery. StaΦφ vybrat si server, zadat hledanΘ jmΘno a zvolit "search". Formulß° pak kontaktuje HTTP rozhranφ danΘho serveru, kter² oΦekßvß spojenφ obvykle na standardnφm portu 11371. Servery majφ adresy wwwkeys.pgp.net (vybere nßhodn² server) nebo wwwkeys.XX.pgp.net (XX je op∞t dvoupφsmenn² k≤d zem∞, nap°φklad cz).

HTTP rozhranφ mß velmi jednoduchou syntaxi:

http://wwwkeys.pgp.net:11371/pks/lookup?
op=<operace>&search=<°et∞zec>

p°iΦem╛ <operace> m∙╛e b²t nap°. index (v²sledkem je seznam hlaviΦek klφΦ∙ obsahujφcφch <°et∞zec>) nebo get (v²sledkem jsou ji╛ samotnΘ klφΦe ve formßtu PGP, kterΘ obsahujφ <°et∞zec>).

P°φklady: seznam m²ch klφΦ∙ je na URL http://wwwkeys.pgp.net:11371/pks/lookup?
op=index&search=pojsl, jeden z t∞chto klφΦ∙ zφskßm na URL http://wwwkeys.pgp.net:11371/pks/lookup?
op=get&search=0x59159CF1.

V²voj poΦtu klφΦ∙ registrovan²ch na ve°ejn²ch serverech je dramatick². ZejmΘna od p°elomu let 1997 a 1998, kdy se objevila verze PGP 5.0, se poΦet u╛ivatel∙ zv²╣il velmi v²razn∞. Verze 5.0 toti╛ p°i╣la s vlastnφm grafick²m u╛ivatelsk²m rozhranφm pro platformy Win95/NT a MacOS a p°iblφ╛ila se tak ╣irokΘ ve°ejnosti.

Nejv∞t╣φ u╛ivatelskou zßkladnu mß PGP samoz°ejm∞ v USA. Americk²m u╛ivatel∙m je jako implicitnφ server klφΦ∙ nabφzen server spoleΦnosti PGP, Inc., dnes ji╛ Network Associates, Inc. Prßv∞ na tento server se proto dostßvß nejvφce PGP klφΦ∙. Byl v╣ak jistou dobu odpojen od ostatnφch sv∞tov²ch server∙, kter²m tak mnoho nov²ch klφΦ∙ chyb∞lo. V souΦasnΘ dob∞ probφhß sluΦovßnφ obou mno╛in klφΦ∙. Sjednocenφ v╣ech takto zφskan²ch klφΦ∙ bude obsahovat kolem p∙l milionu prvk∙. Software pro servery nebyl na takovou zßt∞╛ p°ipraven. Do budoucna existujφ dv∞ mo╛nß v²chodiska: Servery budou postaveny nad skuteΦn²m databßzov²m strojem nebo se databßze klφΦ∙ distribuuje. Druhß mo╛nost vyluΦuje redundanci a nekonzistenci databßzφ. Vedou se ·vahy nad vytvo°enφm struktury podobnΘ DNS nebo p°φmo zavedenφm n∞jakΘho novΘho typu DNS zßznam∙. Tyto my╣lenky jsou zatφm ve stadiu zrodu.

Jak jsme se ji╛ zmφnili, server PGP klφΦ∙ zapojen² do sv∞tovΘ sφt∞ funguje v ╚R ji╛ tΘm∞° dva roky. Zßrove≥ je k dispozici Φesk² mirror norskΘho serveru s mezinßrodnφmi verzemi PGP freeware na adrese ftp://ftp.cz.pgpi.com/pub/pgp/ (nebo v krat╣φ verzi ftp://ftp.pgp.cz/pub/pgp/). Absolutnφ poΦet u╛ivatel∙ PGP v ╚R se dß jen t∞╛ko odhadnout, o v²voji popularity tohoto programu se ale dß p°ece jen n∞co zjistit. Do konce m∞sφce °φjna roku 1998 bylo na ve°ejn²ch serverech zaregistrovßno 1 215 klφΦ∙ s elektronickou adresou z domΘny .cz. P°itom Φasov² v²voj mß exponencißlnφ charakter a tφm kopφruje (s jist²m koeficientem) poΦet u╛ivatel∙ p°ipojen²ch na Internet.

TakΘ z poΦtu u╛ivatel∙, kte°φ si z nßrodnφho FTP serveru PGP zkopφrovali tento software, lze usuzovat, ╛e popularita PGP v Φesk²ch zemφch je v poslednφch m∞sφcφch velmi v²znamnß.

Pro v∞t╣φ obrßzek klikni

V╣echna tato Φφsla mohou pouze naznaΦit, kolik u╛ivatel∙ v na╣φ zemi si PGP vyzkou╣elo a kolik z nich ho aktivn∞ pou╛φvß. V ╚eskΘ republice jsou lidΘ s adresou i v jin²ch domΘnßch ne╛ .cz a v╣ichni si sv∙j klφΦ neregistrujφ na serveru. Mnoho u╛ivatel∙ nepou╛φvß Φesk² FTP server pro sta╛enφ svΘ kopie PGP freeware. Proto╛e je na╣e spoleΦnost zßrove≥ distributorem Network Associates a tedy i produkt∙ °ady PGP, mohu potvrdit, ╛e takΘ zßjem o komerΦnφ licenci pro PGP pro╛φvß obrovsk² nßr∙st. V m∞sφci °φjnu jsme zajistili 400 licencφ na komerΦnφ pou╛φvßnφ PGP a v jednßnφ je projekt nasazenφ PGP ve stßtnφ sprßv∞ v objemu 1 200 licencφ. Dovolφm si odhadnout, ╛e PGP si ji╛ n∞kdy vyzkou╣elo p°es 2 500 u╛ivatel∙ v ╚R a aktivn∞ ho pou╛φvß snad 1 000 a╛ 2 000 osob.

3. KomerΦnφ verze PGP 6.0

V ╚eskΘ republice je dosud nejroz╣φ°en∞j╣φ verzφ PGP tzv. mezinßrodnφ freeware, jejφ╛ p∙vod je v Norsku a kterß je zalo╛ena na vyti╣t∞n²ch zdrojov²ch k≤dech legßln∞ vyvezen²ch z USA.

PGP ji╛ dßvno nenφ podzemnφ zßle╛itostφ, kterou pou╛φvajφ poΦφtaΦovφ rebelovΘ a ke kterΘ nenφ vhodnΘ se ve°ejn∞ p°iznßvat. KomerΦnφ verze pro organizace (tzv. PGP Enterprise Security) obsahuje mnoho vlastnostφ, kterΘ lze pou╛φt pro celopodnikovou ╣ifrovacφ politiku a jejφ vynucenφ. Pr∙myslovß ╣pionß╛ je dnes rostoucφm odv∞tvφm a PGP vßs m∙╛e proti n∞kter²m jejφm aktivitßm ochrßnit.

V souvislosti s t∞mito komerΦnφmi vlastnostmi se opakovan∞ vyskytlo podez°enφ, ╛e PGP bude mφt n∞jakou dφru nebo vadu, zßm∞rn∞ do programu zanesenou v²robcem. Cht∞l bych uvΘst na pravou mφru, ╛e nejde o ╛ßdnou technologickou nebo algoritmickou vadu, ale o za╣ifrovßnφ dokument∙ dodateΦn²m de╣ifrovacφm klφΦem (angl. Additional Decryption Key, ADK). Navφc jsou tyto vlastnosti pln∞ transparentnφ a u╛ivatel je s nimi seznßmen.

PGP v komerΦnφ verzi pro podniky obsahuje nßstroj na v²robu instalaΦnφch balφk∙ PGP. Jmenuje se PGPadmin a pou╛φvß ho pouze administrßtor PGP. Takto vyrobenΘ balφky jsou distribuovßny v organizaci a instalujφ si je jednotlivφ u╛ivatelΘ. Administrßtor m∙╛e p°i po°izovßnφ balφku vzφt v ·vahu firemnφ ╣ifrovacφ politiku a nakonfigurovat podle nφ n∞kterΘ vlastnosti instalaΦnφho balφku. Mß mo╛nost vybφrat Φi odebφrat jednotlivΘ komponenty PGP (nap°. PGPdisk) a specifikovat chovßnφ PGP tak, aby vyhovovalo bezpeΦnostnφ politice organizace.

3.1 DodateΦn² de╣ifrovacφ klφΦ pro odeslßnφ

DodateΦn² de╣ifrovacφ klφΦ pro odeslßnφ (angl. Outgoing ADK) je p°φmo implementovßn v konkrΘtnφ instanci programu PGP. Ve chvφli, kdy dotyΦn² u╛ivatel ╣ifruje zprßvu cizφm klφΦem a jeho instance PGP obsahuje administrßtorem definovan² dodateΦn² de╣ifrovacφ klφΦ pro odeslßnφ, objevφ se v seznamu p°φjemc∙ (tedy klφΦ∙, kter²mi budou zprßva nebo soubor za╣ifrovßny) tento dodateΦn² de╣ifrovacφ klφΦ pro odeslßnφ. Jednß se tedy o klφΦ, kter²m m∙╛e b²t (pokud to administrßtor bude vy╛adovat) navφc za╣ifrovßna ka╛dß zprßva nebo soubor, kterΘ jsou za╣ifrovßny u╛ivatelem z danΘ organizace pro n∞koho jinΘho.

DodateΦn² klφΦ pro odeslßnφ m∙╛e b²t u╛ivateli pouze nabφdnut s mo╛nostφ jeho odstran∞nφ ze seznamu p°φjemc∙, nebo se dß dokonce vynutit. Vynucenφ tΘto vlastnosti je v╣ak v²razn²m zßsahem do soukromφ jednotliv²ch osob uvnit° organizace a m∙╛e vΘst dokonce k tomu, ╛e tito lidΘ nebudou ochotni PGP pou╛φvat.

3.2 DodateΦn² de╣ifrovacφ klφΦ pro p°ijetφ

DodateΦn² de╣ifrovacφ klφΦ pro p°ijetφ (angl. Incoming ADK) je vlastnostφ ve°ejnΘho PGP klφΦe. Administrßtor m∙╛e zajistit, ╛e jφm rozeslanß kopie PGP bude generovat klφΦe v╛dy s dodateΦn²m de╣ifrovacφm klφΦem pro p°ijetφ, kter²m je dal╣φ administrßtorem specifikovan² klφΦ. (Ten m∙╛e b²t zajistΘ shodn² s dodateΦn²m de╣ifrovacφm klφΦem pro odeslßnφ, ale to se p°φli╣ nedoporuΦuje.) Pokud se n∞kdo jin² pokusφ za╣ifrovat zprßvu s pomocφ klφΦe obsahujφcφho dodateΦn² klφΦ pro p°ijetφ, objevφ se tento dodateΦn² klφΦ automaticky v seznamu p°φjemc∙. Tato vlastnost je op∞t vynutitelnß.

Administrßtor m∙╛e takΘ vyrobit a rozeslat instalaΦnφ balφky PGP, kterΘ v∙bec neumo╛nφ generovßnφ PGP klφΦ∙. V takovΘm p°φpad∞ bude generovßnφ v╣ech klφΦ∙ centrßlnφ.

PGP dovoluje standardn∞ pou╛φvat tzv. konvenΦnφ ╣ifrovßnφ, tedy Φist∞ symetrickou ╣ifru bez pou╛itφ asymetrick²ch klφΦ∙. V tomto p°φpad∞ je t°eba pro ka╛dou zprßvu nebo soubor uvΘst zvlß╣tnφ frßzi hesla (angl. passphrase). To by zajistΘ mohlo b²t Φasto pova╛ovßno z hlediska organizace za nebezpeΦnΘ, proto i konvenΦnφ ╣ifrovßnφ je mo╛no zakßzat.

3.3 CertifikaΦnφ klφΦ organizace

Pokud znßte PGP z vlastnφ zku╣enosti, dokß╛ete si p°edstavit, jak je jednoduchΘ vlo╛it do klφΦe podvr╛enou identifikaci. D∙v∞ryhodnost PGP klφΦ∙ m∙╛e b²t ov∞°ena mnoha r∙zn²mi zp∙soby. Jednφm z nich je podepisovßnφ PGP klφΦ∙. V rßmci organizace lze zvolit jeden klφΦ, tzv. certifikaΦnφ klφΦ organizace (angl. Corporate Signing Key, CSK), kter² slou╛φ k ov∞°ovßnφ pravosti klφΦ∙. Tento CSK klφΦ je distribuovßn v rßmci instalaΦnφho balφku po°φzenΘho administrßtorem a p°i vygenerovßnφ novΘho klφΦe v tomto balφku je nov²m klφΦem ihned podepsßn i CSK klφΦ organizace. Tφm je zaji╣t∞no, ╛e klφΦe, kterΘ jsou v danΘ organizaci ov∞°eny a tedy podepsßny CSK klφΦem, budou na stanici u╛ivatele automaticky platnΘ (ov∞°enΘ).

3.4 Pov∞°en² revokaΦnφ klφΦ

Mo╛nß jste se ji╛ dostali do tΘ nep°φjemnΘ situace: Vß╣ PGP klφΦ je rozeslßn mezi Va╣e partnery nebo na serveru PGP klφΦ∙ a Vy jste si jeho privßtnφ Φßst smazali a nemßte k dispozici ani zßlohu. Nebo jste zapomn∞li frßzi hesla Va╣eho klφΦe. Jakmile Vßm n∞kdo po╣le za╣ifrovanou zprßvu, nebudete schopni ji dek≤dovat. Nejlep╣φm °e╣enφm by byla revokace klφΦe, tedy jeho zneplatn∞nφ, a rozeslßnφ takovΘ revokovanΘ verze mezi partnery. Bohu╛el, k revokaci je nutnΘ mφt privßtnφ klφΦ k dispozici a znßt frßzi hesla.

T∞mto potφ╛φm m∙╛ete p°edem zabrßnit (nikoli zp∞tn∞ v p°φpad∞ klφΦ∙, u kter²ch tato situace ji╛ nastala). Mßte toti╛ mo╛nost p°i°adit Va╣emu klφΦi pov∞°en² revokaΦnφ klφΦ (angl. Designated Revoker Key, DRK). Vlastnφk privßtnφ Φßsti pov∞°enΘho revokaΦnφho klφΦe m∙╛e potom Vß╣ klφΦ revokovat. S touto vlastnostφ je v╣ak t°eba zachßzet opatrn∞ a pov∞°ovat revokacφ pouze velmi d∙v∞ryhodnΘ partnery, proto╛e toto prßvo je velmi snadno zneu╛itelnΘ.

3.5 PGPdisk

Od verze 6.0 je k dispozici PGPdisk takΘ na platform∞ Win95/NT. U╛ivatel si vyhradφ na disku mφsto o pevnΘ velikosti. Na tomto mφst∞ zalo╛φ PGPdisk za╣ifrovan² soubor s daty. Dostupnost je pak zaji╣t∞na prost°ednictvφm virtußlnφ diskovΘ jednotky. P°i jejφm p°ipojenφ je t°eba znßt frßzi hesla ke klφΦi PGP disku, odpojenφ lze vyvolat kdykoli ruΦn∞ nebo automaticky po urΦenΘ dob∞, po kterou je PGP disk nevyu╛φvßn.

P°i po°izovßnφ instalaΦnφho balφku pro u╛ivatele lze i pro PGPdisk zavΘst dodateΦn² de╣ifrovacφ klφΦ. V╣echny PGP disky na u╛ivatelskΘ stanici jsou pak dostupnΘ s pomocφ dvou klφΦ∙: klφΦe, kter² je vlastnφ konkrΘtnφmu PGP disku a kter² je vygenerovßn p°i zalo╛enφ novΘho PGP disku, a dodateΦnΘho de╣ifrovacφho klφΦe pro PGPdisk, kter² pat°φ administrßtorovi.

3.6 Sdφlenφ klφΦ∙

V praxi je Φasto ne·nosnΘ, aby PGP klφΦ potvrzujφcφ oficißlnφ podpis organizacedr╛enφ jedinΘ osoby. TakΘ dodateΦnΘ de╣ifrovacφ klφΦe organizace by byly mΘn∞ zneu╛itelnΘ, kdyby k nim nem∞l p°φstup pouze jeden zam∞stnanec. PGP vychßzφ t∞mto po╛adavk∙m vst°φc a zavßdφ sdφlenΘ klφΦe.

Sdφlen² klφΦ se fyzicky rozd∞lφ mezi n∞kolik osob. Ka╛dß si odnese sv∙j ôpodφlö, co╛ je soubor za╣ifrovan² ve°ejn²m klφΦem dotyΦnΘho podφlnφka, p°φpadn∞ pouze frßzφ hesla, pokud ve°ejn² klφΦ podφlnφka nenφ k dispozici. Ka╛d² podφlnφk mß n∞jakou vßhu (nebo poΦet podφl∙). KlφΦ p°itom nemusφ vy╛adovat, aby byly dostupnΘ v╣echny podφly (je to implicitnφ nastavenφ). Mφsto toho lze uvΘst minimßlnφ poΦet podφl∙ pot°ebn²ch k tomu, aby privßtnφ klφΦ mohl b²t pou╛it k podepsßnφ nebo de╣ifrovßnφ zprßvy Φi dokumentu.

P°φklad: SpoleΦnost XYZ mß sv∙j oficißlnφ klφΦ pro podepisovßnφ firemnφch dokument∙. P°itom °editel mß t°i zßstupce a oficißlnφ dokument musφ podepsat bu∩ °editel spoleΦn∞ s alespo≥ jednφm zßstupcem, nebo v nep°φtomnosti °editele v╣ichni t°i zßstupci. V tΘto situaci je mo╛nΘ vytvo°it sdφlen² PGP klφΦ, v n∞m╛ bude mφt °editel dva podφly a jeho zßstupci po jednom podφlu. Minimßlnφ poΦet shromß╛d∞n²ch podφl∙ je pak t°eba nastavit na t°i (p°esto╛e v╣ech podφl∙ celkem je p∞t).

P°i pokusu o podepsßnφ nebo de╣ifrovßnφ sdφlen²m klφΦem je nutnΘ shromß╛dit urΦen² poΦet podφl∙. Je mo╛nΘ to uΦinit na jednΘ stanici, kde jsou k dispozici v╣echny soubory s rozd∞len²m klφΦem, a jednotlivφ podφlnφci musφ b²t p°φtomni a zadat na tΘto stanici svΘ frßze hesla. Druhou variantou je zφskßnφ podφlu zvlß╣tnφm k tomu urΦen²m sφ╗ov²m protokolem, kter² je zabezpeΦen autentizacφ a ╣ifrovßnφm PGP. Jedinou podmφnkou je, ╛e podφlnφci se musφ v jednu chvφli dohodnout na odeslßnφ sv²ch podφl∙ ze sv²ch stranic jednomu z nich.

3.7 KomerΦnφ PGP server a SMTP agent

Rßd bych se je╣t∞ zmφnil o dvou dopl≥kov²ch produktech v komerΦnφ verzi PGP. Jednφm z nich je komerΦnφ PGP server klφΦ∙, kter² mß slou╛it vnit°nφm pot°ebßm organizace. Standardn∞ pracuje na zßklad∞ protokolu LDAP, ale obsahuje i CGI programy, kterΘ umo╛≥ujφ konverzi z HTTP protokolu na LDAP server. Mezi vlastnosti, kterΘ nemajφ (a ani nepot°ebujφ) sv∞tovΘ servery, pat°φ mo╛nost ov∞°enφ, zda je p°idßvan² klφΦ podepsan² jist²m klφΦem (nap°. certifikaΦnφm klφΦem organizace, CSK), odstran∞nφ podpis∙ nedovolen²mi klφΦi a odstran∞nφ nepodepsan²ch identifikacφ. NepodepsanΘ klφΦe jsou ulo╛eny do fronty, kterou by m∞l administrßtor kontrolovat a prov∞°ovat.

SMTP agent je proces, kter² obsluhuje SMTP port mφsto standardnφho SMTP serveru. Jakmile zjistφ, ╛e n∞kterß zprßva je ╣ifrovanß nebo podepsanß PGP, rozhodne podle konfiguraΦnφch pravidel, zda bude po╛adavek na odeslßnφ vy°φzen. Mezi pravidly m∙╛e b²t op∞t nap°. povolenφ zprßv za╣ifrovan²ch pouze klφΦem v organizaci ov∞°en²m (tedy podepsan²m CSK klφΦem) apod.

PGP server i SMTP agent zapadajφ do filosofie komerΦnφ verze PGP a podporujφ spoluprßci se v╣emi dal╣φmi komponentami. SpoleΦn∞ tvo°φ PGP Enterprise Security homogennφ nßstroj pro bezpeΦnou komunikaci v pr∙myslu a obchod∞. Obsahuje nejmodern∞j╣φ kryptografickΘ metody a prost°edky, kterΘ byly je╣t∞ nedßvno dostupnΘ pouze vlßdßm vysp∞l²ch zemφ.

Literatura