Kryptografia

 

Oprogramowanie kryptograficzne w systemach HEUTHES

Charakterystyka
  		Oprogramowanie kryptograficzne firmy HEUTHES® umożliwia wykonywanie wszystkich działań związanych ze stosowaniem kryptografii w określonej organizacji (takiej jak bank, przedsiębiorstwa przemysłowe, organizacje wojskowe). Dzięki szyfrowaniu dane nabierają takich cech, jak nienaruszalność, poufność, niezaprzeczalność.

W skład oprogramowania kryptograficznego firmy HEUTHES® wchodzą następujące elementy:
  • Biblioteka crypto.dll pracująca w środowisku Windows 95 lub Windows NT, zawierająca funkcje kryptograficzne wykorzystywane przez aplikacje stosujące szyfrowanie (deszyfrowanie) danych.
  • Centrum Autoryzacji Kluczy - program do centralnego zarządzania i certyfikacji (autoryzacji) kluczy oraz do konfigurowania kart chipowych lub kluczy sprzętowych HASP.
  • Funkcje wbudowane w programy korzystające z kryptografii, pozwalające odpowiednio zorganizować korzystanie z kryptografii. Wymienić tu można tzw. tabelę kluczy wyświetlaną w tych programach, a umożliwiającą przede wszystkim wybranie klucza publicznego, według którego dane zostaną zaszyfrowane.
W swoim oprogramowaniu kryptograficznym firma HEUTHES® wykorzystuje algorytmy szyfrowania z kluczem publicznym (RSA) oraz kluczem symetrycznym (IDEA). Oba te algorytmy są dobrze opisane w literaturze poświęconej kryptografii i są najlepszymi z dostępnych.
Zasada działania
  		Działania związane ze stosowaniem kryptografii przy wykorzystaniu oprogramowania kryptograficznego firmy HEUTHES®, obejmują:
  • Zarządzanie kluczami.
  • Szyfrowanie i deszyfrowanie danych.
  • Podpisywanie przesyłek podpisem cyfrowym i sprawdzanie podpisu.
• Zarządzanie kluczami
 		 Klucze są liczbami, na podstawie których funkcje kryptograficzne dokonują zaszyfrowania lub odszyfrowania danych. Działania związane z zarządzaniem nimi stanowią podstawę stosowania kryptografii w określonej organizacji. Do działań tych należą:
  • tworzenie par kluczy,
  • podpisywanie kluczy publicznych,
  • usuwanie kluczy,
  • wymiana kluczy publicznych.
Każdy użytkownik posługuje się parą kluczy, kluczem publicznym oraz kluczem prywatnym, a ogólny sposób ich wykorzystania jest następujący:
  • użytkownik szyfrujący dane, używa klucza publicznego osoby, dla której dane te są przeznaczone (klucz publiczny umożliwia wyłącznie zaszyfrowanie danych, a odwrotny proces - odszyfrowanie tych danych, nie jest już możliwy przy użyciu tego samego klucza),
  • użytkownik deszyfrujący dane używa klucza prywatnego, stanowiącego parę z kluczem publicznym, według którego przesyłka została zakodowana (deszyfrowanie danych może odbywać się wyłącznie w ten sposób).
Klucz publiczny, jak wynika z nazwy, jest powszechnie znany i nie podlega ochronie, co sprawia, że operację zaszyfrowania danych może przeprowadzić praktycznie dowolna osoba. Natomiast klucz prywatny powinien być mocno chroniony i przechowywany w miejscu niedostępnym, gdyż odszyfrowanie danych powinno być możliwe tylko przez ściśle określoną osobę (właściciela tego klucza). Ujawnienie (tzw. "skompromitowanie") klucza prywatnego powoduje, że zaszyfrowane dane mogą zostać rozkodowane przez osoby niepowołane, co niweczy sens szyfrowania.

Rozwiązanie polegające na stosowaniu par kluczy (publicznego i prywatnego) jest wygodne, gdyż eliminuje konieczność ochrony klucza według którego następuje kodowanie danych. Dzięki temu dany pracownik jest zobowiązany do ochrony tylko jednego klucza (swojego prywatnego), łatwiej jest ustalić miejsce skompromitowania klucza (i osobę za to odpowiedzialną), mniejsze są także szkody w przypadku ujawnienia klucza, gdyż jest to tylko jeden klucz (pozostałe klucze będące w dyspozycji pracownika, używane do szyfrowania danych, są kluczami publicznymi, a więc nie podlegającymi ochronie).

W celu zwiększenia bezpieczeństwa używania kryptografii, stosuje się certyfikowanie kluczy publicznych. Każdy klucz publiczny może mieć wiele podpisów. Jednym z nich powinien być podpis klucza nadrzędnego wykonany przy pomocy programu służącego do centralnego zarządzania kluczami - Centrum Autoryzacji Kluczy (CAK) - który jest składnikiem oprogramowania kryptograficznego firmy HEUTHES®. Podpis ten jest konieczny do tego, aby przy użyciu danego klucza można było używać funkcji kryptograficznych, gdyż wzór tego podpisu zapisywany jest w specjalnych kluczach sprzętowych lub na kartach chipowych (czynność wykonywana centralnie), które następnie rozsyłane są do poszczególnych oddziałów organizacji i umieszczane w złączu portu równoległego komputera korzystającego z oprogramowania kryptograficznego. Dzięki temu oprogramowanie kryptograficzne jest w stanie sprawdzić, czy dany klucz publiczny posiada autoryzację CAK. Jeżeli jej nie posiada, to szyfrowanie nie będzie możliwe.
• Szyfrowanie i deszyfrowanie danych
 		 Po wygenerowaniu odpowiedniej ilości par kluczy oraz autoryzowaniu i rozesłaniu kluczy publicznych do oddziałów organizacji, można przystąpić do szyfrowania i deszyfrowania danych.
• Podpisywanie przesyłek i sprawdzanie podpisu
 		 Szyfrowanie danych polega na zakodowaniu danych z użyciem funkcji kryptograficznych i odpowiedniego klucza publicznego, natomiast ich odszyfrowanie na dekodowaniu z użyciem funkcji kryptograficznych i klucza prywatnego stanowiącego parę z kluczem publicznym wykorzystanym do zakodowania danych.

Ponieważ klucz publiczny jest powszechnie znany i każdy może przygotować przesyłkę z zaszyfrowanymi danymi, powstaje niebezpieczeństwo, że zawierać ona będzie fałszywe dane mające na celu wprowadzenie odbiorcy w błąd. Rozwiązaniem tego problemu jest sygnowanie zaszyfrowanego zbioru danych elektronicznym podpisem, który jednoznacznie pozwoli zidentyfikować nadawcę. W praktyce nadawca podpisuje przesyłkę swoim kluczem prywatnym (który jest tajny), natomiast odbiorca jest w stanie zweryfikować autentyczność podpisu przy pomocy klucza publicznego nadawcy (podpisu nie można odczytać wprost, można go jedynie zweryfikować przy pomocy klucza publicznego nadawcy).
Realizowane funkcje
  		Podsumowując przedstawioną zasadę działania kryptografii, można stwierdzić, że oprogramowanie kryptograficzne firmy HEUTHES®, pozwala realizować następujące funkcje, związane z zarządzaniem kluczami oraz bezpośrednim szyfrowaniem danych:
  • zarządzanie kluczami:
    - dodawanie nowych użytkowników (tworzenie nowej pary kluczy),
    - podpisywanie kluczy publicznych,
    - usuwanie kluczy publicznych,
    - wymiana kluczy publicznych.
  • szyfrowanie i deszyfrowanie pliku (w tym szyfrowanie dla kilku odbiorców),
  • podpisanie pliku i sprawdzenie podpisu pod otrzymaną przesyłką.
Zalety
  		Oprogramowanie kryptograficzne firmy HEUTHES® posiada szereg zalet, które sprawiają, że dane przechowywane i przesyłane w ramach określonej organizacji są maksymalnie chronione przed niepowołanym dostępem oraz przed fałszowaniem. Do najważniejszych cech tego oprogramowania należy zaliczyć:
  • wykorzystanie silnych algorytmów kryptograficznych,
  • wymuszanie centralnej autoryzacji kluczy,
  • umożliwienie podpisywania przesyłek elektronicznych, co pozwala na jednoznaczną identyfikację nadawcy.
 

CAK (BASET, CENTAUR ON-LINE)

 
Charakterystyka ogólna
  		CAK zajmuje się zarządzeniem kluczami publicznymi klientów. Zadanie jego polega na zbieraniu kluczy publicznych wygenerowanych przez użytkowników. Pracownik obsługujący CAK, weryfikuje przesłane klucze publiczne, po czym podpisuje zebrane klucze kluczem głównym i rozsyła już podpisane klucze z powrotem do użytkowników. Użytkownicy kluczy publicznych dopiero po certyfikacji swojego klucza przez CAK, mogą dokonywać transakcji z bankiem.

Do centralnego zarządzania kluczami CAK wykorzystuje kryptografię firmy HEUTHES® opartą na algorytmach szyfrowania z kluczem publicznym (RSA), oraz kluczem symetrycznym (IDEA). Oba algorytmy są dobrze opisane w literaturze poświęconej kryptografii i są to najlepsze z dostępnych algorytmów.

Kryptografia z kluczem publicznym oznacza, że każdy jej użytkownik posiada dwa klucze: publiczny i prywatny. Klucz publiczny powinien być znany, gdyż za jego pomocą są szyfrowane przesyłki do właściciela klucza, jak również odbywa się sprawdzanie, czy odebrana przesyłka była wysłana przez właściwą osobę (podpis elektroniczny). Klucz prywatny powinien być jak najmocniej chroniony. Umożliwia on odszyfrowanie przesyłki lub podpisanie przesyłki przeznaczonej dla innej osoby.

Każdy użytkownik powinien chronić swój klucz prywatny przed ujawnieniem. Klucze publiczne natomiast można łączyć w większe "partie" i udostępniać innym użytkownikom.

Sesja. Pozwala na zakończenie pracy oraz wybór plików kluczy prywatnych (wybór ten ma znaczenie przy tworzeniu nowych kluczy), oraz pliku z kluczami publicznymi, które będą brane pod uwagę, gdy wybierzemy jakąkolwiek operację z menu Klucze lub przy rozsyłaniu plików do użytkowników kryptografii.

Klucze. Menu to pozwala zarządzać kluczami: unieważnić je, usuwać itp. Klucze są pokazywane w postaci siatki. Gdy na danym kluczu chcemy przeprowadzić jakąś operację dwukrotnie na nim klikamy. Po lewej stronie powinien pojawić się znak "*". Przy wykonywaniu akcji będą brane pod uwagę tylko te wybrane klucze. Można stąd także dołączyć do pliku z kluczami publicznymi lub "wyciągnąć" z pliku kluczy publicznych klucze, które chcemy przechować w oddzielnym zbiorze. Dostępne jest także generowanie nowej pary kluczy i możemy tu określić długość klucza (od 512 do 2048 bitów) oraz okres jego ważności (od 1 dnia do wieczności).

HASP. Możemy stąd zainicjować klucz sprzętowy HASP tak, by korzystanie z kryptografii było możliwe. Bez takiego klucza kryptografia u klienta nie może działać.

Plik. Są tu funkcje pozwalające na przeglądanie informacji o szyfrogramach (kto i kiedy zaszyfrował dany plik), oraz funkcje szyfrowania i deszyfrowania plików.

Transmisja. Jeżeli mamy zainstalowaną pocztę, to możemy stąd rozesłać aktualny plik z kluczami publicznymi do wszystkich użytkowników kryptografii (gdy poczta jest odpowiednio skonfigurowania), a także odebrać przesyłki zawierające pliki z kluczami publicznymi przeznaczonymi do podpisania.
 

ISOF-CAK

 
Charakterystyka
  		Bezpieczeństwo komunikacji z serwerami systemów bankowych podczas pracy w sieci rozległej jest zapewniane przez protokół TLS. Protokół ten wykorzystuje 256-bitowe klucze symetryczne do zapewnienia poufności przesyłanych przez Internet danych oraz asymetryczne klucze RSA 2048 bity do zapewnienia integralności i autentyczności tych danych. Systemy bankowe wymagają także, żeby łączący się z nimi użytkownicy (zarówno wewnątrz banku, jak i klienci bankowi) identyfikowali się również kluczem prywatnym, którego publiczna część jest certyfikowana przez CAK i zarejestrowana w serwerze systemu bankowego. Próba połączenia z przeglądarki nie mającej dostępu do takiego klucza zostanie odrzucona. Podstawą działania jest możliwość automatycznej weryfikacji autentyczności zastosowanych w systemie kluczy. Służy do tego certyfikat klucza publicznego CAK. Opisane powyżej klucze: prywatny i CAK mogą mieć postać danych cyfrowych zapisanych na dysku komputera oraz na tokenie kryptograficzny ITSEC, będącym fizycznym urządzeniem wkładanym do portu USB i zawierającym w sobie oba klucze.

Mechanizm ISOF-CAK jest przygotowany do pełnej obsługi zagadnień związanych z administrowaniem certyfikatami kluczy publicznych używanych w systemach bankowych do ochrony transmisji sieciowej pomiędzy przeglądarką użytkownika, a serwerem.

Przewidziano dwa warianty generacji certyfikatów kluczy użytkowników:
  • Certyfikacja bez dostępu użytkownika do systemu bankowego - w sytuacji, gdy użytkownik nie posiada żadnego ważnego certyfikatu pozwalającego mu na dostęp do systemu (dotyczy to też sytuacji, gdy ważność jego certyfikatu wygasła).
  • Recertyfikacja, odnowienie aktywnego certyfikatu przez użytkownika - w sytuacji, gdy użytkownik posiada przynajmniej jeden ważny certyfikat pozwalający na dostęp do systemu. Recertyfikacja jest procedurą, podczas której użytkownik systemu bankowego, którego certyfikat jest bliski terminowi wygaśnięcia, generuje sobie nową parę kluczy i żądanie certyfikacyjne, a następnie, po wystawieniu certyfikatu przez CAK, instaluje go w swojej przeglądarce. W odróżnieniu od procedury wystawienia certyfikatu dla nowego użytkownika, ta procedura jest w całości wykonywana wewnątrz systemu bankowego.
• Certyfikacja bez dostępu użytkownika do systemu bankowego
 		 Procedura obejmuje następujące działania:
  • Administrator systemu pobiera z systemu kod PIN dla użytkownika.
  • Użytkownik generuje klucze na stronie internetowej CAK.
  • Użytkownik instaluje w przeglądarce certyfikat ze strony internetowej CAK.
• Recertyfikacja
 		 Procedura obejmuje następujące działania:
  • Użytkownik generuje nową parę kluczy oraz żądanie certyfikacyjne które może być uruchomiona bezpośrednio z dialogu powiadamiającego o bliskim wygaśnięciu obecnego certyfikatu.
  • Administrator, lub inna osoba posiadająca odpowiednia uprawnienia akceptuje żądanie, które w tym momencie zostaje wysłane do CAK.
  • Po wystawieniu certyfikatu przez CAK, użytkownik może korzystając z dialogu powiadomienia o dostępności nowego certyfikatu przejść do funkcji instalacji.
• Zmiany statusu certyfikatów
 		 W typowym wypadku, certyfikat użytkownika jest ważny przez rok, do momentu, gdy minie zapisany w nim termin ważności. W momencie gdy to nastąpi, jego status w widoku certyfikatów zmienia się automatycznie na "wygasły", a próby połączenia użytkownika z serwerem bankowym kończą się niepowodzeniem. Jeśli certyfikat użytkownika wygasł zanim został odnowiony, to należy usunąć go z magazynu przeglądarki i przeprowadzić procedurę jak dla nowego użytkownika, z użyciem strony internetowej CAK. Oprócz wygaśnięcia, możliwe są dwie inne sytuacje, w których certyfikat utraci swoją ważność:
  • Unieważnienie certyfikatu &ndash na przykład w sytuacji, gdy użytkownik zakończy na stałe swoją pracę z systemem, lub gdy klucz zostanie zagubiony.
  • Zawieszenie certyfikatu &ndash w sytuacji, gdy przez dłuższy czas certyfikat nie będzie używany, na przykład w wypadku dłuższej nieobecności pracownika.
 

Token kryptograficzny USB

 
Charakterystyka
  		Firma HEUTHES wprowadziła nowy typ tokena USB, będącego kryptograficznym zabezpieczeniem pracy w systemach bankowych. Bezpieczeństwo komunikacji z serwerami jest zapewniane przez protokół TSL. Serwis ISOF wymaga także, żeby łączący się z nim klient identyfikował się również kluczem prywatnym, którego publiczna część jest certyfikowana przez centrum autoryzacji (CA) firmy HEUTHES i zarejestrowana w serwerze systemu ISOF. Próba połączenia z przeglądarki nie mającej dostępu do takiego klucza zostanie odrzucona.

Tokeny stosowane przez HEUTHES są uniwersalne. Niekwalifikowane certyfikaty wygenerowane przez CA HEUTHES mogą być wykorzystywane do podpisu cyfrowego dokumentów, poczty elektronicznej i faktur. Token kryptograficzny ITSEC to fizyczne urządzenie USB zawierające w sobie procesor pozwalający na wygenerowanie kluczy publicznego i prywatnego oraz ich certyfikację, a także podpis cyfrowy. Podstawowe cechy i zalety tokena USB:
  • brak możliwości skopiowania;
  • umożliwienie pracy z ISOF na dowolnym komputerze;
  • wykorzystanie najnowszych technologii stosowanych w kartach z chipem ale w odróżnieniu od nich, dzięki USB, nie wymagające drogiego czytnika;
  • przy każdorazowym otwarciu ISOF konieczność znajomości kodu PIN;
  • wszelkie operacje kryptograficzne na kluczu prywatnym są wykonywane w tokenie, co uniemożliwia próby 'przechwycenia' go z zewnątrz;
  • odporność na przypadkowe zniszczenie, awarie dysku twardego czy reinstalację systemu Windows;
  • próby otwarcia powodują zniszczenie tokena;
  • praca bez baterii z zasilaniem poprzez port USB
  • poręczność (wielkość breloczka do kluczy).
Komputer użytkownika powinien posiadać: Microsoft Windows 98SE/Me/NT/2000/XP lub Linux, port magistrali USB, sterowniki (dostarczane na płycie CD z tokenem lub pobrane ze strony WWW). Token działa z przeglądarką Microsoft IE 6.0 i Firefox 2.0.

Typ tokena: CryptoIdentity ITSEC, Chip: Infineon SLE 66CX322P, certyfikowany na poziomie ITSEC E4 high/CC. System operacyjny: Siemens CardOS M4.01(a), certyfikowany na poziomie ITSEC-E4+. Obsługa standardów: ISO 7816 3-4, PC/SC, S/MIME, IPSec/IKE, PKCS#11 rel. 2.1, Microsoft CryptoAPI. Pamięć: 32 KB. Szybkość transmisji: 36 Kbit/s.
 

Kryptografia do systemu ELIXIR

 
Możliwości
 
  • W zakresie Eksportu przesyłek do ELIXIR-C zapewnione są następujące mechanizmy ochrony danych:
    • kontrola &ndash sprawdzanie zgodności pól z typem danych i ich merytoryczną zawartością;
    • autoryzacja &ndash tworzenie bloku skrótu w formacie ELIXIR; obliczanie skrótu SHA-1 z bloku BIF, zaszyfrowanie go kluczem prywatnym znajdującym się w urządzeniu kryptograficznym i sformatowanie pola podpisu w formacie ELIXIR, umieszczanego w rekordzie kończącym blok BIF;
    • utworzenie pliku &ndash przygotowanie i wysłanie pliku w formacie wymaganym przez ELIXIR-C.
  • W zakresie Import przesyłek z ELIXIR-C zapewnione są następujące mechanizmy ochrony danych:
    • odbiór zakodowanego pliku z serwera FTP;
    • autoryzacja otrzymanego pliku, weryfikacja podpisu cyfrowego w formacie ELIXIR; zliczanie rzeczywistej wartości skrótu SHA-1 bloku BIF, odczytanie pola podpisu w formacie ELIXIR, uzyskanie certyfikatu klucza publicznego podpisującego, rozszyfrowanie bloku skrótu i porównanie wartości oryginalnej skrótu z rzeczywistą;
    • wczytanie do tabeli przejściowej w systemie MULTICENTAUR.


Zobacz także systemy ERP do obsługi firm i zaplecza bankowego

Wszystkie znaki towarowe, usługowe oraz nazwy handlowe wymienione w tej witrynie są własnością odpowiednich firm

Zapytaj o więcej szczegółów! Wyślij zapytanie ›