ADoCSI : εναλλακτική μέθοδος διάχυσης της πληροφορίας κατάστασης πιστοποιητικων

Abstract

Οι Υποδομές Δημοσίων Κλειδιών (ΥΔΚ) χαίρουν πλέον ευρείας διάδοσης και αποδοχής. Ενώ οι ΥΔΚ παρέχουν λύσεις σε αρκετά ζητήματα, την ίδια στιγμή εισάγουν ένα νέο πρόβλημα που πρέπει να επιλυθεί: αυτό της διαχείρισης του κύκλου ζωής των πιστοποιητικών. Σε αυτή τη διατριβή επικεντρωνόμαστε στην ανάκληση πιστοποιητικών και τον τρόπο με τον οποίο η Πληροφορία για την Κατάσταση των Πιστοποιητικών (ΠΚΠ) μεταδίδεται στις ενδιαφερόμενες οντότητες. Αρκετοί μηχανισμοί ΠΚΠ έχουν ήδη προταθεί, καθένας εκ των οποίων βελτιώνει κάποια πλευρά της διαδικασίας διάχυσης της Πληροφορίας Κατάστασης Πιστοποιητικών. Αυτό είναι ωφέλιμο για την έρευνα, διότι με αυτόν τον τρόπο η έρευνα εξελίσσει έναν τεχνολογικό τομέα. Βήμα με βήμα, βελτίωση επί βελτίωσης, προτάσεις και αντιπροτάσεις, δοκιμή και αποτυχία. Παρ’ όλα αυτά, φαίνεται ότι δεν υπάρχει ακόμα ένα ενιαίο πλαίσιο για τη συγκριτική αξιολόγηση (ποιοτική ή/και ποσοτική) των διαφόρων μηχανισμών ΠΚΠ που έχουν ήδη προταθεί στην επιστημονική βιβλιογραφία. Θεωρούμε ότι ένα τέτοιο πλαίσιο αξιολόγησης θα μπορούσε να αποδειχθεί χρήσιμο στο να προχωρήσει η έρευνα στον τομέα αυτό, ειδικά τώρα που διάφοροι τέτοιοι μηχανισμοί έχουν ήδη προταθεί. Ένα πλαίσιο αξιολόγησης θα μπορούσε να αποδειχθεί χρήσιμο και εκτός των πλαισίων της επιστημονικής έρευνας, προκειμένου να επιλέγονται οι κατάλληλοι μηχανισμοί ΠΚΠ για την υλοποίηση μίας Υποδομής Δημοσίου Κλειδιού ανάλογα με τις απαιτήσεις της κάθε περίπτωσης. Ένα άλλο ζήτημα σχετικά με τους προταθέντες μηχανισμούς ΠΚΠ είναι ότι εστιάζουν στη βελτίωση της απόδοσης των μηχανισμών, στην έγκαιρη πληροφόρηση, στη μείωση των απαιτήσεων σε εύρος ζώνης και στην ικανοποίηση νομικών απαιτήσεων. Όμως, υπάρχει ένας παράγοντας σχετικά με τη λειτουργία των ΥΔΚ που σχεδόν πάντα ξεχνούμε να λάβουμε υπόψη: ο τελικός χρήστης. Οι ΥΔΚ απευθύνονται σε πληθώρα χρηστών, αλλά ο μέσος χρήστης δεν έχει μεγάλη εξοικείωση με τεχνικά ζητήματα. Δεν πρέπει να περιμένουμε από τον τελικό χρήστη να κατανοεί τον τρόπο λειτουργίας ενός μηχανισμού ΠΚΠ ώστε να τον χρησιμοποιήσει αποτελεσματικά. Επίσης δεν πρέπει να περιμένουμε από τον τελικό χρήστη να κατανοεί την ανάγκη για την αναζήτηση, ανάκτηση και επαλήθευση ΠΚΠ και να ενεργεί με βάση αυτήν την ανάγκη. Φαίνεται ότι αυτή τη στιγμή, ο πιο αδύναμος κρίκος στην αλυσίδα των ΥΔΚ είναι ο τελικός χρήστης, ο οποίος ενδέχεται να (ή ενδέχεται και να μην) χρησιμοποιήσει τους διαθέσιμους μηχανισμούς ΠΚΠ για να επαληθεύσει την εγκυρότητα κάποιας ψηφιακά υπογεγραμμένης πληροφορίας ή την εγκυρότητα των στοιχείων επαλήθευσης ταυτότητας που του αποστέλλει κάποια άλλη οντότητα. Η έρευνα επί των μηχανισμών ΠΚΠ πρέπει να εστιασθεί και στη βελτίωση αυτού του τομέα, δηλαδή της διαφάνειας των μηχανισμών ΠΚΠ όσον αφορά στον τελικό χρήστη. Σε αυτήν τη διατριβή, παρουσιάζουμε μία συστηματική κατάταξη των μηχανισμών ΠΚΠ και ένα πλαίσιο αξιολόγησης αυτών. Αξιοποιούμε, επίσης, το προαναφερθέν πλαίσιο αξιολόγησης ώστε να παρουσιάσουμε και μία συγκριτική αξιολόγηση των μηχανισμών ΠΚΠ που έχουν προταθεί στην επιστημονική βιβλιογραφία. Κατόπιν εστιάζουμε στο ζήτημα το οποίο οι περισσότεροι μηχανισμοί ΠΚΠ δεν επιλύουν: αυτό της διαφάνειας του μηχανισμού ΠΚΠ απέναντι στον τελικό χρήστη. Πιστεύουμε ότι δεν πρέπει να είναι απαραίτητο για ένα χρήστη να κατανοεί τη λειτουργία ενός μηχανισμού ΠΚΠ για να τον χρησιμοποιήσει, ούτε πρέπει να είναι απαραίτητο να έχει εκπαιδευθεί σε θέματα Ασφάλειας ώστε να μπορεί να εκμεταλλευθεί και χρησιμοποιήσει τις ΥΔΚ. Αναπτύσσουμε και παρουσιάζουμε ένα πρωτότυπο μηχανισμό ΠΚΠ, τον οποίο ονομάζουμε ADoCSI (Alternative Dissemination of Certificate Status Information). Ο εν λόγω μηχανισμός χρησιμοποιεί Πράκτορες Λογισμικού ώστε να διαθέσει την Πληροφορία Κατάστασης Πιστοποιητικού και επίσης χρησιμοποιεί ορισμένες από τις ιδιότητες και τη λειτουργικότητα που προσφέρουν οι άλλοι προταθέντες μηχανισμοί ΠΚΠ. Πιστεύουμε ότι ο μηχανισμός ADoCSI επιλύει ορισμένα από τα ζητήματα που εγείρονται από τη χρήση των υπόλοιπων μηχανισμών ΠΚΠ. Σε κάθε περίπτωση, αυξάνει το επίπεδο διαφάνειας του μηχανισμού ΠΚΠ απέναντι στον τελικό χρήστη, παρέχοντας μία λύση στο προαναφερθέν πρόβλημα του «πιο αδύναμου κρίκου», ο οποίος είναι ο τελικός χρήστης, και από τον οποίο δεν πρέπει να περιμένουμε ούτε ότι διαθέτει υψηλά επίπεδα τεχνογνωσίας και ούτε ότι είναι ευαισθητοποιημένος σε θέματα Ασφάλειας Πληροφοριών.