Identyfikacja stron wymiany 

informacji w sieci 

 

Powszechnym problemem bezpieczeństwa we wszystkich serwisach sieciowych 
jest jednoznaczna identyfikacja użytkownika uprawnionego do wykorzystania 
określonych usług lub zasobów systemów i sieci.  

 

 
Dotyczy to zarówno osób, spoza firmy, którym zamierzamy udostępnić jakąś 
formę usług naszej sieci, jak również własnych pracowników.  
Akceptacja użytkownika i weryfikacja jego uprawnień musi nastąpić już z 
chwilą wpisania się (log-in) do sieci.  
Identyfikacja użytkownika w sieci opiera się na jednej z trzech zasad:  

coś, co znasz - np. hasło, kod PIN, Nr Pesel, nazwisko panieńskie matki, 
coś, co posiadasz - np. karta magnetyczna, karta inteligentna, "token" 

wyliczający hasło jednorazowe (OTP), 

coś, czym (kim) jesteś - bazuje na biometrii - odcisk palca, skan siatkówki 

lub tęczówki oka, kształt dłoni, tembr głosu, wizerunek twarzy, wzór 
pisma odręcznego.  

Dla podniesienia poziomu bezpieczeństwa zasady pierwsza i druga są często 
łączone np. karta magnetyczna i kod PIN w dostępie do bankomatów.  
Każde z tych rozwiązań, oczywiście za różną cenę, pozwala zweryfikować 
tożsamość osoby próbującej uzyskać dostęp do zasobów sieci.  
Cena i skuteczność identyfikacji nie zawsze idą w parze, ale trzeba mieć na 
uwadze całkowite koszty systemowe rozwiązań. Biometria jest wysoce 

niezawodna, ale droga; karty magnetyczne są tanie, ale łatwe do sfałszowania 
i wymagają czytników. Tokeny OTP bywają kłopotliwe w użyciu, bo z reguły 
mogą obsługiwać tylko jeden system. Karty inteligentne są uważane za 
najbardziej skuteczne, bezpieczne i łatwe w zastosowaniu.  
 
Dla systemów internetowych szczególnie ważna jest skuteczna identyfikacja 
tożsamości legalnych, zdalnych użytkowników. Tam gdzie nie wystarcza 
identyfikator użytkownika i hasło, ustalenie tożsamości realizuje się np. na 
podstawie kart haseł jednorazowych, kart inteligentnych lub "tokenów OTP". 
Krytycznym problemem staje się połączenie tych wszystkich ogniw w jeden 
silny łańcuch bezpieczeństwa, gdyż często doskonałe elementy, pochodzące od 
różnych producentów, po prostu nie chcą ze sobą dobrze współpracować.  
Środowiskiem technicznym, które optymalnie łączy wymagania wiarygodnej 
identyfikacji z rozsądnymi nakładami jest Infrastruktura Kluczy Publicznych, 
zwana z języka angielskiego Public Key Infrastructure, w skrócie „PKI”.  
 
Najbardziej krytycznymi atrybutami systemu działającego w otwartej sieci, 
są zaufanie i bezpieczeństwo. Zgodnie z wcześniejszymi ustaleniami, system, 
który ma zapewnić te atrybuty, powinien używać kryptografii opartej na 
kluczach publicznych. Biznesowe wymogi bezpieczeństwa oczekują istnienia 
mechanizmów, które pozwolą powiązać jednoznacznie klucze publiczne 
użytkowników i usługodawców, funkcjonujące w systemie, z ich właścicielami 
(a właściwie z identyfikatorami ich właścicieli).  
 
Celem istnienia PKI jest zapewnienie zaufanego i efektywnego sposobu 
zarządzania kluczami i ich certyfikatami. Mechanizmów kryptografii kluczy 
asymetrycznych używamy po to, aby zagwarantować:  

•  zaufanie, na poziomie właściwym dla wymogów biznesowych,  

•  autentyczność treści przekazywanej informacji,  

•  niezaprzeczalność autorstwa,  

•  poufność przekazu informacji.  

 

Wbrew pozorom, użytkownicy Internetu korzystają z mechanizmów 
kryptograficznych PKI powszechnie, często nawet nie zdając sobie z tego 
sprawy. Za każdym razem, gdy poprzez link rozpoczynający się od 

https://

 

otwieramy stronę WWW z zabezpieczonego serwera, korzystamy z dobrodziejstw 
PKI.  
 
W takim przypadku nawiązujemy sesję i uwiarygodniamy zdalny serwer. 
Przeglądarka internetowa informuje nas o tym fakcie symbolem zamkniętej 
kłódki przy adresie URL lub w rogu ekranu. Często, jako użytkownicy, na tym 
etapie pozostajemy jeszcze anonimowi. eami uwiarygodniamy się względem 
serwera usługodawcy dopiero po tym, gdy sesja eeL zostaje zestawiona.  
 
Wielu z nas zadaje sobie pytania: co to jest ta Infrastruktura Kluczy 
Publicznych, po co nam ona, z jakich elementów się składa, czy mamy wpływ 
na ich wybór? 
 
Infrastruktura Kluczy Publicznych, to w dużym skrócie mówiąc – środowisko, 
w którym możemy zrealizować bezpieczne usługi w sieci i co najważniejsze, 

w konstruktywny sposób zbudować wzajemne zaufanie pomiędzy stronami 
świadczącymi te usługi i ich odbiorcami. 
 
W modelowym rozwiązaniu skład PKI wchodzą następujące elementy:  

•  Polityka (PC) i Regulamin (RC) Certyfikacji – czyli dokumenty: co, 

po co, dla kogo, na jakich zasadach i za ile zrobią centra certyfikacji 
w tej infrastrukturze. W infrastrukturach sformalizowanych często 
wynika to z zapisów prawa. 

•  Centrum lub Centra Certyfikacji Kluczy Publicznych (Certification 

Authority - CA),  

•  Ośrodki Rejestracji abonentów systemu (Registration Authority - RA), 

•  Katalog (skorowidz) certyfikatów (X.500 Directory), 

•  Lista odwołanych certyfikatów (CRL) wraz z usługą ich udostępniania,  

•  Klienci systemu wraz z ich kluczami prywatnymi, publicznymi 

i certyfikatami,  

•  eystem zapewniający bezpieczną usługę (w tym serwery i aplikacje 

klientowskie).  

W praktyce centrum certyfikacji może być rozwinięte do hierarchicznej 
struktury wielu współzależnych CA. CA może także świadczyć usługę 
generowania par kluczy publicznych dla abonentów systemu. Centra 
rejestrujące abonentów mogą istnieć w powiązaniu z CA lub stanowić 
niezależną sieć urzędów rejestracyjnych. Katalog certyfikatów może mieć postać 
centralnej bazy danych o klientach, ich danych identyfikacyjnych  
i certyfikatach kluczy. Katalog może przy okazji spełniać funkcję informacyjną, 
typową dla tzw. "żółtych stron" (Yellow Pages). Może to być także struktura 
rozproszonej bazy danych, w której zaimplementowano mechanizmy replikacji 
i synchronizacji, zwłaszcza dla CRL. 
Istnienie PKI musi być podporządkowane celowi, jaki kreuje istnienie relacji 
Klient-eerwer, ze zdefiniowanymi przez Politykę Bezpieczeństwa (e-biznesu) 
wymogami odnośnie bezpieczeństwa informacji.  

Rola Zaufanej Trzeciej Strony (TTP) 

Centrum Certyfikacji Kluczy Publicznych jest najistotniejszym elementem PKI.  
CA realizuje następujące funkcje:  

•  pełni rolę Zaufanej (Trzeciej) etrony w systemie,  

•  ustala politykę certyfikacji i stosowne procedury wykonawcze,  

•  rejestruje i określa status subskrybentów sieci,  

•  generuje pary kluczy ReA dla subskrybentów (opcja),  

•  dokonuje dystrybucji oprogramowania do generowania kluczy (opcja),  

•  wydaje i zarządza certyfikatami kluczy,  

•  utrzymuje i obsługuje katalog wydanych certyfikatów (opcja),  

•  zarządza odwołaniem, zawieszeniem i wznowieniem certyfikatów,  

•  prowadzi depozyt i /lub archiwum kluczy (opcja),  

•  poświadcza czas dostarczenia informacji (dokumentu) lub zawarcia 

transakcji (opcja),  

•  generuje wznowione klucze dla subskrybentów po przeterminowaniu 

(opcja),  

•  uczestniczy w tworzeniu narodowej struktury Centrów Certyfikacji 

(opcja).  

 
Centrum Certyfikacji Kluczy Publicznych może być produktem - systemem 
sprzętowo-programowym lub usługą realizowaną zewnętrznie. W każdym 
przypadku krytycznymi elementami CA są poziom zaufania do wydawanych 
certyfikatów oraz poziom bezpieczeństwa kluczy prywatnych CA.  
eporadycznie, oprócz wymienionych wyżej funkcji, CA może dodatkowo 
prowadzić usługi:  

•  notariatu,  

•  archiwum,  

•  źródła czasu uniwersalnego (UT),  

•  certyfikacji innych atrybutów niż klucze publiczne,  

•  depozytu kluczy,  

•  centrum odtwarzania kluczy.  

 
Odpowiedzialność CA, zależnie od zasięgu wpływów, rozciąga się na całą 
domenę - główne CA (root CA) lub dotyczy tylko specyficznego obszaru - 
regionalne/ branżowe CA.  
CA może funkcjonować samodzielnie lub być elementem hierarchicznego 
systemu certyfikacji kluczy. Główne CA (root CA) podpisuje swój klucz 
publiczny samodzielnie (self-certificate), ponieważ nie ma jednostki nadrzędnej. 
Z tego powodu zaufanie do jego klucza publicznego jest tak krytycznym 
elementem. Opublikowanie samego klucza i jego identyfikatora w wielu 
mediach (sieć, prasa, biuletyny specjalistyczne) pozwala wzbudzić zaufanie 
także wśród "paranoicznie" nastawionych oportunistów. Konieczne jest podjęcie 
wszelkich działań mających na celu zabezpieczenie klucza prywatnego 
głównego CA.  
W internetowych usługach bezpieczeństwa spotykane są oba modele realizacji 
CA - jako własne przedsięwzięcie - element PKI instytucji handlowej, finansowej 
lub banku, regionalne/narodowe CA - element PKI państwa lub społeczności 
internetowej. O wyborze modelu decydują względy ekonomiczne - CA jest 
najbardziej kapitałochłonnym elementem PKI. Na drugiej szali wagi spoczywa 

zaufanie, jakim biznes musi obdarzyć zewnętrzną instytucję, której poręczenie 
ma wymierny skutek także w transakcjach finansowych jego klientów.  
eurfując po sieci wielu z nas natkneło się na firmy świadczące usługi 
certyfikacyjne. Znaki tych firm są dla nas często synonimem pieczęci 
notariusza, znakiem publicznego zaufania. Czy i na ile ma to swoje 
uzasadnienie, nad tym wiekszość z nas się nie zastanawia. 

Należy pamiętać, że certyfikaty kluczy publicznych, wytwarzane przez CA, 
stanowią wyłącznie potwierdzenie relacji pomiędzy kluczem publicznym 
i jego identyfikatorem. Żadną miarą nie mogą być traktowane jako certyfikaty 
wiarygodności treści prezentowanych przez posiadaczy certyfikatów, a tym 
samym jako potwierdzenie tożsamości ich właścicieli.  
 
Certyfikat klucza publicznego to nie to samo co certyfikat handlowy, wypis 
z rejestru handlowego, rejestru sądowego czy potwierdzenie notarialne. 
Zaufanie do certyfikatu nie może i nie powinno być wyłącznie konsekwencją 
faktu istnienia i otrzymania takiego certyfikatu.  
Wybierając system operacyjny i przeglądarkę internetową, przy tej okazji, 
chociaż zazwyczaj nie do końca świadomie, wybieramy także model budowy 
zaufania w sieci. Model ten określany jest przez strukturę i zawartość 
magazynu certyfikatów przeglądarki. 

epore zamieszanie wśród wielu użytkowników Internetu wywołują certyfikaty 
wbudowane do przeglądarek. eą bezkrytycznie deklarowane i niestety 
przyjmowane jako podstawa do zbudowania zaufania w eieci.  
Tym czasem są to certyfikaty miejsc, o których wiadomo tyle, że ufał im 
producent oprogramowania.  
O tym, czy wbudowanym certyfikatom winien zaufać użytkownik przeglądarki, 
powinna zadecydować analiza dokumentów CA: Polityki Certyfikacji (ang. 
Certification Policy - CP) i Regulamin Certyfikacji (ang. Certification Practice 

Statement - CPS). To z tych dokumentów wynika, czy sposób rejestracji, 
wytworzenia certyfikatu, jego obsługi, zakres obowiązków, gwarancji 
i zobowiązań instytucji certyfikującej jest właściwy do biznesu, w którym 
certyfikat ma być użyty, czy jest niewystarczający w jakimkolwiek aspekcie.  
 
W praktyce okazuje się, że pojawienie się ikony bezpiecznego połączenia na 
stronie przeglądanego serwisu winno, zdaniem właścicieli serwera, zaspokoić 
oczekiwania co do autentyczności i poufności. Domyślne zaufanie do 
certyfikatów wbudowanych jest, w myśl normalnych reguł biznesowych, 
niebezpieczną nadinterpretacją określenia "zaufany".  
To, czego w takiej sytuacji można być pewnym, to tylko tyle, że połączenie jest 
realizowane przez szyfrowany kanał z serwerem, który posiada certyfikat 
od znanego CA. Czy jest to miejsce godne zaufania, użytkownik winien 
zadecydować sam, w oparciu o własne kryteria budowy zaufania. Opis 
lokalizacji zawarty w treści certyfikatu może być pomocny jako jedna 
z informacji identyfikujących, ale nie powinien być przyjmowany bezkrytycznie 
jako wiarygodny, bez porównania z podobnym opisem z innych źródeł, np. 
dokumentów handlowych. W przeciwnym razie możemy obdarzyć zaufaniem 
dobrze zakamuflowanych oszustów, powierzając im nasze poufne informacje. 

Jeżeli chcesz się dowiedzieć więcej jak chronić swój serwis Internetowy przed 
intruzami, jak walczyć z phisingiem, jak zbudować bezpieczne środowisko 
poczty elektronicznej – zapytaj lub skorzystaj z moich szkoleń.