Alt du ikke visste at du trengte å vite om PKI – I

Foto: Flavio Takemoto

Hva er PKI?

PKI betyr Public Key Infrastructure. PKI er ingen teknologi, men snarere et sett av regler, en måte å sikre kommunikasjon ved hjelp av elektroniske nøkler.

Teknisk sett så kan man beskrive PKI slik: “Med en asymmetrisk nøkkelalgoritme har avsender og mottaker hvert sitt sett nøkler som henger sammen parvis, en hemmelig privat nøkkel og en publisert offentlig nøkkel. De to partene trenger bare å kjenne hverandres offentlige nøkkel.” Et litt vanskelig ord i den tekniske beskrivelsen er «asymmetrisk». Asymmetrisk betyr at partene ikke kjenner «koden» i den andres nøkkelpar. Symmetrisk ville da være det omvendte, at man kjenner koden. En kjent symmetrisk kode er alfabetet, der begge parter kjenner til hvordan alfabetet er bygd opp.

I praksis betyr det at du har et nøkkelpar som kun passer til hverandre, og at det ikke er mulig i ettertid å gjenskape den ene på bakgrunn av den andre. Mister man dermed den ene av de to nøklene, så er nøkkelparet ubrukelig.

Hva benyttes PKI til?

PKI benyttes til 3 ulike ting:

1. Autentisering
   • Autentisere er å verifisere den digitale identiteten til en avsender. Når man logger seg inn et sted, blir man autorisert.
2. Signering
   • Signering er litt mer kompleks. I dagligtale betyr å signere, å skrive under på et papir med sin egen underskrift. Signering med PKI er på mange måter det samme, men har noen tillegg. Teknisk sett så signerer man ikke selve meldingen (f.eks. en epost) men en verdi som er beregnet matematisk ut fra meldingen (en hash-verdi). Når meldingen er signert på denne måten oppnår man to ting:
     1. Det første er verifisering av dataintegritet. Det betyr at dersom meldingen blir endret, så endres hash-verdien og signeringen blir dermed brutt. Det betyr at dersom noen signerer en epost, og sender denne til en mottager, men at meldingen blir «plukket opp» på veien og endret på noen som helst måte før den ankommer mottager, så vil signeringen bli brutt, det vil si at den blir fjernet fra meldingen.
     2. Det andre man oppnår er nærmere det man vanligvis forbinder med signering, nemlig at meldingen er blitt «ikke-avviselighet» (non-repudiation) – Juridisk bindende.
3. Kryptering
   • Kryptering er å gjøre en melding uleselig for andre enn de som er ment å motta den.

Hva er historien om PKI?

Konseptene og bruken av PKI ble oppdaget av forskere ved den Britiske etterretningen i 1969. I 1976 valgte man å offentliggjøre både sikker nøkkelutveksling og asymmetriske nøkkelalgoritmer. Dette forandret sikker kommunikasjon fullstendig.

Med videre utvikling av høyhastighets digital elektronisk kommunikasjon (internett og dets forgjengere), ble behovet tydelig for måter som brukerne kunne:

1. sikkert å kommunisere med hverandre
2. være sikre på hvem var de faktisk kommuniserte med

Internett, slik vi definerer det i dag, utviklet seg i perioden fra 1991-94. I 1991 kom det som het WorldWideWeb (Nexus), i 1993 kom nettleseren Mosaic og året etter, i 1994, kom Netscape Navigator med sitt prosjekt for å ta knekken på Mosaic. De lanserte da sin Mozilla («Mosaic Godzilla» dvs. «Mosaic killer»). Netscape var også de som i 1994 utviklet SSL-protokollen (Netscape Navigator) som du fortsatt i dag kan se ved at det står https i web-url’er.

Fra 1994 og fremover hadde man ekstremt stor tro på utviklingen av markedet for PKI-relaterte produkter og tjenester. Men, som det ofte viser seg, så vokste også markedet her saktere og på andre måter enn forventet. PKI-leverandører har funnet et marked, men det er ikke helt det markedet de så for seg i midten av 90-tallet, og det har vokst både saktere og i litt andre måter enn var forventet. I dag benytter både SSL og e-ID seg av PKI.

Hvilke unike fordeler tilbyr PKI?

1. Digitale signaturer skaper vedvarende, manipuleringsresistante beviser av «hvem gjorde hva til hvem», som er kritisk for elektroniske transaksjoner med høy juridisk risiko eller krav til overholdelse.
2. PKI, når de integreres i smartkort (viktig!), er anerkjent som den eneste praktiske løsningen mot avlytting og kapring av kontoer i dag.
3. Digitale sertifikater kan formidle autoritetsinformasjon som legitimasjon, lisenser, tilhørighet og så videre – og digitale signaturer binder denne informasjonsautoriteten direkte til meldinger, for å desentralisere og forenkle transaksjonsbehandling.

Les også: Alt du ikke visste at du trengte å vite om PKI – II

• e-ID
• Internett
• PKI
• Sikkerhet
• SSL