오픈소스 PKI 문서 - 제 5 장. PKI 표준 및 사양

제 5 장. PKI 표준 및 사양

목차

인터넷 X.509 공개 키 인프라 (PKIX)

공개 키 인프라에 대한 아키텍처 ( APKI )

NIST 공개 키 인프라 프로그램

우리는 사용 가능한 PKI 관련 표준 및 사양을 설명하고 각 PKI 와 관련된 사용성에 대해 논의합니다. 개방형 표준 및 사양은 오픈 소스 PKI 에 중요합니다. 폐쇄 소스 구현의 상호 운용성 문제를 제거하기 때문입니다.

인터넷 X.509 공개 키 인프라 (PKIX)

PKIX 는 6 장 에서 다룹니다 .

공개 키 인프라에 대한 아키텍처 ( APKI )

APKI 는 The Open Group 에서 만든 공개 키 인프라 사양입니다. PKI의 아키텍처, 요구 사항 및 구성 요소에 대해 설명합니다. 또한 프로토콜 및 기타 사양 사용에 대한 구현자의 권장 사항을 제공합니다. 이 사양 은 HTML 및 PDF 형식으로 제공 되며 WWW 사이트에 자유롭게 등록하여 다운로드 할 수 있습니다. 하드 카피도 제공됩니다.

요컨대, 이 사양은 PKI 구성 요소에 대한 간략한 개요를 제공하며 표준 기반 기능을 사용하기 위해 사용해야하는 다른 프로토콜과 사양을 권장합니다. 요약하면 다음과 같습니다.

• 6 장 : PKIX 표준 .

•  공통 데이터 보안 아키텍처 ( CDSA ) 제 9 장 : CDSA 2.0 일반적인 데이터 보안 아키텍처.

• 분산 이라는 섹션 (분산 감사 서비스 XDAS ) 제 9 장 : XDAS 감사 서비스.

• 확장 (XGSS-API) 라는 섹션 (일반 보안 서비스 API GSS-API ) 제 9 장 : GSS-API 일반 보안 API.

• 9 장의 LDAP (Lightweight Directory Access Protocol) 섹션 : LDAP 경량 디렉토리 액세스 프로토콜.

• 9 장의 S / MIME CMS [TODO] 섹션 에서 다루는 IETF S / MIME Cryptographic Message Syntax (CMS), 버전 3.

• 9 장의 SNTP (Simple Network Time Protocol) 섹션 에서 다루는 IETF (RFC2030) SNTP ( Simple Network Time Protocol ).

NIST 공개 키 인프라 프로그램

미 상무부의 일부인 NIST (National Institute of Standards and Technology Institute)는 미국 정부 전자 인프라의 내부 사용을 위한 공개 키 인프라 사양을 개발하고 있습니다. 이러한 노력은 공개 키 기술의 사용을 가능하지 않은 구현에서 통합하는 것을 용이하게 하기보다는 PKI 공급 업체의 기존 작업을 복제하는 것을 목표로 하지 않습니다.

이 작업은 업계 파트너의 도움을 받아 CRADAs (Cooperative Research and Development Agreements) 라는 협약을 사용하여 기업과 정부가 협력하여 생산 대상인 PKI 제품을 지정하여 소비자로 구매 할 것 이라는 의미에서 개발되고 있습니다. 이러한 의미에서 미국 정부는 큰 구매자이기 때문에 NIST 의 작업으로 인해 전 세계적으로 사용 되는 PKI 제품의 미래를 어떻게든 지정할 수 있습니다.

공개적으로 사용 가능한 문서 중에는 여러 공급 업체의 PKI 구성 요소 간의 상호 운용을 위한 기반을 제공하는 MISPC 사양이 있습니다. 미국 연방 정부 기관에 계약을 기꺼이 제공하는 공급 업체는 호환 가능한 PKI 구성 요소를 제공 할 수 있어야 합니다. 가능한 오픈 소스 PKI 구현은 분명히 이러한 사양을 준수해야 합니다. MISPC 명세는 NIST 참조 구현의 기본이며 제 7 장의 MISPC 참조 구현 섹션 에서 설명하고 있습니다 . 이것은 NIST 의 WWW 사이트에서 NIST Special Publication 800-15 로 이용할 수 있습니다.

또 다른 흥미로운 문서는 제안된 연방 PKI 운영 개념입니다 .

위 문서의 주요 내용 중에는 사용 가능한 PKI 유형에 대한 명확한 설명이 있습니다. 브라우저가 구현하는 PKI 는 신뢰 목록 PKI 로 설명됩니다 . 이는 한 가지 수준의 신뢰가 있다는 의미에서 다소 평면적인 유형의 PKI 입니다. 다른 두 가지 유형은 계층적 PKI 와 네트워크 (또는 메쉬) PKI 입니다. 전자는 일반적인 X.500 PKI 이고 후자는 단일 루트가 없는 메시 유형입니다. 도메인 이름 서비스의 구조로 계층형 PKI 의 유추를 찾을 수 있습니다. 네트워크 PKI 는 인터넷에서 라우터의 상호 연결과 같습니다.

또 다른 중요한 문제는 동일한 문서입니다. Bridge Certification Authority 개념을 사용합니다. 이 개념은 다른 트러스트 도메인을 연결하는 CA 입니다. 이 브리징은 이해 관계자의 합의에 따라 성립되며 그 목적은 불필요한 신뢰 전파를 제한하는 것입니다.

시범 프로그램은 브리지 CA 개념을 테스트 할 계획입니다. NIST PKI 루트 CA 테스트베드 페이지에 제공된 정보를 통해 브리지 CA가 NIST 에 의해 구현되며 상용 CA 는 이 브리지 CA 에 의해 브리지 됨으로써 테스트됩니다. 계획은 12 개의 CA 와 4 개의 X.509 디렉토리 서버를 작동시키는 것입니다. 이 파일럿 작업에서 얻으려는 정보는 성능 및 확장 성에 관련됩니다. 마지막으로 X.509 인증 경로 구축 및 유효성 검사가 테스트됩니다.

이 문서의 저자 (주 저자 또는 협력)는 William E. Burr 입니다.