Struktura PKI sustava

PKI se sastoji od više međusobno povezanih objekata, aplikacija i servisa:
  • alata za upravljanje i nadgledanje sustava
  • registracijskog centra ili registratora (Registration Authority ili skraćeno RA) koji obavlja registraciju korisnika
  • certifikacijskog centra (Certification Authority ili skraćeno CA) koji se brine za izdavanje i valjanost certifikata
  • baze izdanih certifikata (najčešće se koristi LDAP imenički servis) i liste opozvanih certifikata (Certification Revocation List ili skraćeno CRL)
  • izdavača opozvanih certifikata korisničkog certifikata korisničkih aplikacija, servera itd., koji koriste PKI autorizaciju.
PKI autorizaciju koriste subjekti certifikata (ponekad se zovu i krajnji korisnici), koji ne moraju biti fizičke ili pravne osobe već i uređaji kao što su serveri i routeri, zatim programi i procesi, odnosno sve što može biti identificirano imenom na certifikatu. Certifikacijski centar (CA) je ustanova koja potpisuje i izdaje certifikate. Osnovne operacije certifikacijskog centra su izdavanje certifikata, njihovo obnavljanje i po potrebi njihov opoziv. CA svojim potpisom jamči ispravnost podataka u certifikatu. CA izravno ili preko registracijskog centra (RA) registrira krajnje entitete ili korisnike i verificira njihov identitet na odgovarajući način. Ponekad obavlja i funkciju sigurnog pohranjivanja ključeva. On je izvor povjerenja u PKI, a povjerenje je osnova na kojoj se zasniva PKI. Registracijski centar (RA) je opcionalna komponenta PKI sustava, a može biti i dio certifikacijskog centra. Njegova uloga je registriranje korisnika PKI sustava. Osim ove uloge, RA može provjeravati posjeduje li korisnik privatni ključ koji odgovara javnom ključu koji će se nalaziti na certifikatu, ili može sam generirati par ključeva. On može biti i posrednik između korisnika certifikacijskog centra prilikom informiranja o kompromitiranju privatnog ključa. Sve ove funkcije su obavezni dio PKI sustava, te ako ih ne obavlja RA mora ih obavljati CA. RA je također i korisnik PKI sustava te ima svoj javni ključ i certifikat. RA ne smije obavljati funkcije izdavanja i opoziva certifikata. Baza važećih certifikata je sustav ili skup distribuiranih sustava koje pohranjuju certifikate i listu opozvanih certifikata, dostupnih svim unutarnjim ali i vanjskim korisnicima PKI sustava koji koriste certifikate za identifikaciju. Izdavač opozvanih certifikata je komponenta PKI sustava koja izdaje listu opozvanih certifikata. Certifikati se izdaju s određenim periodom valjanosti. Postoji više razloga zašto certifikati mogu postati nevažeći i prije isteka tog perioda, a jedan od njih je kompromitiranje privatnog ključa. Svaki opozvani certifikat identificiran je svojim serijskim brojem u listi opozvanih certifikata. Lista opozvanih certifikata je javno dostupna svima. Na slici 2-1 prikazani su osnovni dijelovi PKI sustava.
Slika 2-1 Osnovni dijelovi PKI sustava

U PKI sustavu povjerljivost podataka se osigurava enkripcijom poruka odnosno korištenjem tajnog (private key) i javnog (public key) ključa u asocijaciji s kompleksnim matematičkim algoritmom (tzv. asimetrična enkripcija). Svaka osoba u PKI sustavu ima vlastiti javni i tajni ključ, nadopunjen certifikatom. Osnovni princip sustava je sigurno pohranjivanje tajnog ključa koji mora biti dostupan i poznat samo korisniku. Korisnički certifikat, u kojem se nalazi javni ključ, je dostupan svima i najčešće se pohranjuje pomoću LDAP imeničkog servisa. Korištenjem kombinacije tajnog i javnog ključa prilikom slanja poruke, sadržaj poruke se kriptira čime poruka postaje nečitljiva. Primjenom pripadajućeg tajnog ključa, koji svaka osoba u PKI sustavu čuva za sebe, poruka se dekriptira te nanovo postaje čitljiva. Dodatna sigurnost se postiže upotrebom višenamjenske pametne kartice (smartcard) za pohranu korisničkih ključeva i certifikata. Tajni ključ se koristi i kod digitalnog potpisivanja poruka pa primatelj pomoću pošiljateljevog javnog ključa može provjeriti je li sadržaj poruke prilikom dostave mijenjan, odnosno je li dobio originalni HASH zapis. Digitalni potpis (digital ID) je dodatak koji se dodaje digitalnom dokumentu i služi kao autentifikacija osobe ili računala koje koristi neku uslugu, aplikaciju ili komunicira s drugim korisnicima putem Interneta ili drugačije. Sam certifikat u sebi sadrži korisnički javni ključ koji, korištenje HASH algoritma, mora biti potpisan, odnosno odobren od organizacije koja garantira da je certifikat izdan po pravilima. Ispravnost certifikata se garantira certifikatom višeg nivoa hijerarhije, tzv. root certifikatom odnosno certifikatom potpisanim od nekog sub CA operatera koji je potpisan od root CA. Često korisnik nema listu certifikata od korijenskog CA. Ako korisnik nema ispravnu kopiju javnog ključa od CA koji je potpisao korisnikov certifikat, zahtijeva se još jedan certifikat od CA koji je potpisao njegov certifikat. Ovaj pristup se primijenjuje rekurzivno, sve dok se ne izgradi lanac certifikata (engl. certification path) i ne otkrije se „sidro“ (anchor), tj. CA najviše hijerarhije (end-entity). Taj CA je obično specificiran certifikatom koji je izdao CA kojemu korisnik direktno vjeruje. U praksi, lanac certifikata je uređena lista certifikata, izgrađena od jednog certifikata kojeg je izdao CA najviše hijerarhije i nula ili više dodatnih certifikata. Lista certifikata obično je kodirana jednim ili više načinom kodiranja, čime se omogućava siguran prijenos liste kroz mrežu i između različitih operacijskih sustava. Slika 2-2 prikazuje listu certifikata od onog najviše hijerarhije (CA1) do korisnikovog certifikata(Ana). Lista certifikata uspostavlja povjerenje u Anin javni ključ preko posredničkog CA, CA2.
Slika 2-2 Lista certifikata